DDoS攻击手段是在传统的DoS攻击基础之上产生的一类攻击方式。单一的DoS攻击一般是采用一对一方式的，当攻击目标CPU速度低、内存小或者网络带宽小等等各项性能指标不高它的效果是明显的。随着计算机与网络技术的发展，计算机的处理能力迅速增长，内存大大增加，同时也出现了千兆级别的网络，这使得DoS攻击的困难程度加大了-目标对恶意攻击包的"消化能力"加强了不少，例如你的攻击软件每秒钟可以发送3,000个攻击包，但我的主机与网络带宽每秒钟可以处理10,000个攻击包，这样一来攻击就不会产生什么效果。
这时侯分布式的拒绝服务攻击手段(DDoS)就应运而生了。你理解了DoS攻击的话，它的原理就很简单。如果说计算机与网络的处理能力加大了10倍，用一台攻击机来攻击不再能起作用的话，攻击者使用10台攻击机同时攻击呢?用100台呢?DDoS就是利用更多的傀儡机来发起进攻，以比从前更大的规模来进攻受害者。
攻击特性
对分布式攻击进行必要的分析，就可以得到这种攻击的特性。分布式拒绝服务在进行攻击的时候，要对攻击目标的流量地址进行集中，然后在攻击的时候不会出现拥塞控制。在进行攻击的时候会选择使用随机的端口来进行攻击，会通过数千端口对攻击的目标发送大量的数据包，使用固定的端口进行攻击的时候，会向同一个端口发送大量的数据包。
ddos攻击原理及防范方法
DDoS攻击五花八门，防不胜防，当你想建立一个防御系统对抗DDoS的时候，你需要掌握这些攻击的变异形态。
最笨的防御方法，就是花大价钱买更大的带宽。拒绝服务就像个游戏一样。如果你使用10000个系统发送1Mbps的流量，那就意味着你输送给你的服务器每秒钟10Gb的数据流量。这就会造成拥堵。这种情况下，同样的规则适用于正常的冗余。这时，你就需要更多的服务器，遍布各地的数据中心，和更好的负载均衡服务了。将流量分散到多个服务器上，帮助你进行流量均衡，更大的带宽能够帮你应对各种大流量的问题。但现代的DDoS攻击越来越疯狂，需要的带宽越来越大，你的财政状况根本不允许你投入更多的资金。另外，绝大多数的时候，你的网站并不是主要攻击目标，很多管理员都忘了这一点。
1、Filter。对于特征明显的DDoS攻击包，在路由器或者防火墙就可以搞定。当然，如果跟踪技术能够确定攻击包的来源则可以设置路由器或防火墙过滤掉所有来自攻击源的包，在攻击源被伪造的情况下，是通过识别攻击包的一些特征来实现的。然而有些攻击包并不容易识别出来。
2、随机丢包。如果不能非常有把握地识别攻击包，但是能对攻击包的做概率性的判断，则可以用随机丢包的方法来过滤一大部分的攻击流量，然而使用这种方法就必须考虑如何能够使合法用户的流量被尽可能好的保留。可以加上一些限制条件，如果判定一个包“一定是”合法的，则不对它做丢包。
3、SYN Cookie等特定防御办法。针对一些固定的攻击手段来防御和过滤。这类方法主要是减少主机对一些可能的攻击的容忍能力。比如为了减轻SYN Flood攻击占用TCP半连接队列，在SYN Cookie的执行过程中，当服务器接收到一个SYN包的时候，返回一个SYN-ACK包，这个数据包的ACK序列号是经过加密的，也就是说，它由源地址，端口源次序，目标地址，目标端口和一个加密种子计算得出。然后SYN释放所有的状态。如果一个ACK包从客户端返回，服务器将重新计算它来判断它是不是上个SYN-ACK的返回包。如果这样，服务器就可以直接进入TCP连接状态并打开连接。这样，服务器就可以避免守侯半开放连接了。
分布式拒绝服务攻击最大的一个特点就是它的攻击手段，它的攻击模式不再是传统的点对点的攻击模式，而是分布式的攻击模式，所以它的攻击是没有规律可循的。而且这种DDoS在攻击的时候，它发送的也都是合法的数据请求，使用的也都是常见的协议和服务，所以对于这种攻击的区分也是比较困难的。DDoS攻击说白了，它的特点就是攻击模式是分布式的，对攻击的区分也很难，而且攻击的数据包都是经过伪装的。
DDoS的检测
DDoS的表现形式主要有两种，一种为流量攻击，主要是针对网络带宽的攻击，即大量攻击包导致网络带宽被耗尽，正常的网络包无法到达主机;另一种为资源耗尽攻击，主要是针对服务器主机的攻击，即通过大量攻击包导致主机的内存、CPU或某个缓冲区耗尽而无法提供正常的服务。
防范DDOS攻击的方法:
一些常用的防DDOS攻击的方法，罗列如下：
1.增加硬件防火墙和增加硬件设备来承载和抵御DDOS攻击，最基本的方法，但成本比较高。
2.修改SYN设置抵御SYN攻击：
SYN攻击是利用TCP/IP协议3次握手的原理，发送大量的建立连接的网络包，但不实际建立连接，最终导致被攻击服务器的网络队列被占满，无法被正常用户访问。
Linux内核提供了若干SYN相关设置，使用命令：
sysctl -a | grep syn
看到：
net.ipv4.tcp_max_syn_backlog = 1024
net.ipv4.tcp_syncookies = 0
net.ipv4.tcp_synack_retries = 5
将DNS解析器处于开放状态这是绝对不可取的，你应当把它锁定，从而减少一部分攻击风险。但这样做了以后，我们的服务器就安全了吗?答案当然是否定的，即使你的网站，没有一个可以链接到你的DNS服务器，帮你解析域名，这同样是非常糟糕的事情。大多数完成注册的域名需要两个DNS服务器，但这远远不够。你要确保你的DNS服务器以及你的网站和其他资源都处于负载均衡的保护状态下。你也可以使用一些公司提供的冗余DNS。比如，有很多人使用内容分发网络(分布式的状态)给客户发送文件，这是一种很好的抵御DDoS攻击的方法。若你需要，也有很多公司提供了这种增强DNS的保护措施。
禁止使用网络访问程序如Telnet、Ftp、Rsh、Rlogin和Rcp，以基于PKI的访问程序如SSH取代。SSH不会在网上以明文格式传送口令，而Telnet和Rlogin则正好相反，黑客能搜寻到这些口令，从而立即访问网络上的重要服务器。此外，在Unix上应该将.rhost和hosts.equiv文件删除，因为不用猜口令，这些文件就会提供登录访问!
