如何应对js的ddos攻击？

如何应对js的ddos攻击？

DDoS（Distributed Denial of Service，分布式拒绝服务）攻击的主要目的是让指定目标无法提供正常服务，甚至从互联网上消失，是目前最强大、最难防御的攻击之一。这是一个世界级的难题并没有解决办法只能缓解。

按照发起的方式，DDoS可以简单分为三类。

第一类以力取胜，海量数据包从互联网的各个角落蜂拥而来，堵塞IDC入口，让各种强大的硬件防御系统、快速高效的应急流程无用武之地。这种类型的攻击典型代表是ICMP Flood和UDP Flood，现在已不常见。
第二类以巧取胜，灵动而难以察觉，每隔几分钟发一个包甚至只需要一个包，就可以让豪华配置的服务器不再响应。这类攻击主要是利用协议或者软件的漏洞发起，例如Slowloris攻击、Hash冲突攻击等，需要特定环境机缘巧合下才能出现。

第三类是上述两种的混合，轻灵浑厚兼而有之，既利用了协议、系统的缺陷，又具备了海量的流量，例如SYN Flood攻击、DNS Query Flood攻击、js攻击，是当前的主流攻击方式。在传统的DDoS攻击中，攻击者会控制大量的傀儡机，然后向目标服务器发送大量请求，阻止合法用户访问网站。

然而，最近几年DDoS攻击技术不断推陈出新：攻击者用一种新型且很有趣的方式欺骗用户参与到攻击活动中：使用恶意的JavaScript欺骗用户参与DDoS攻击。

基于JavaScript的DDOS攻击有一个非比寻常的特点：任何有浏览器的设备都可能参与攻击，其潜在攻击规模接近无限。

基于JavaScript的DDOS攻击原理

现代网站的交互作用大多数都是采用JavaScript。JavaScript脚本可直接注入HTML中，或者通过 HTML从远程服务器载入。

function imgflood() {
var TARGET = ''victim-website.com'
var URI = '/index.php?'
var pic = new Image()
var rand = Math.floor(Math.random() * 1000)
pic.src = 'http://'+TARGET+URI+rand+'=val'
}
setInterval(imgflood, 10)

该脚本会在目标网页上生成一个图片按钮，图片按钮会指向“'victim-website.com” 网站。只要用户访问了含有该脚本的网页，那么他就会成为 “'victim-website.com”DDoS攻击中的一员。

浏览器发出的每一个请求都是有效请求，于是该攻击又变成了Layer 7 攻击。

由于是JS代码，所以通过查看网页源码，可以直接的看到攻击代码，发现是攻击网页。

但如果以上的代码经过JShaman平台（jshaman.com）的混淆，JS代码会被保护起来，更难以被识别和发现：

var _0x9ea1=['victim\\x2dwebsite\\x2ecom','\\x2findex\\x2ephp\\x3f','floor','random','src','http\\x3a\\x2f\\x2f','\\x3dval'];(function(_0xa439d7,_0x7a3f17)};_0x2fcd4b(++_0x7a3f17);}(_0x9ea1,0xa1));var _0x19ea=function(_0x3ac308,_0x2c1ecf);function imgflood()setInterval(imgflood,0xa);

如何防止这种攻击？

目前HTTP还没有相关的机制来阻止该脚本的运行，但W3C已经提出了名叫子资源完整性（SRI）的新功能，使用加密哈希值验证脚本，如果哈希值不匹配浏览器可以阻止其运行。

例如，如下脚本标签：

浏览器会自动下载该.js文件，并且会不分青红皂白的运行它。

即使该文件中被攻击者注入了恶意脚本，浏览器也不会识别（也识别不出）。然而如果网站发现了哈希值验证脚本不匹配，子资源完整性（SRI）会告诉浏览器不要运行该脚本。

integrity="sha256-C6CB9UYIS9UJeqinPHWTHVqh/E1uhG5Twh+Y5qFQmYg=" crossorigin="anonymous">

注：目前Chrome和Firefox支持子资源完整性校验。