常见 DDoS 攻击软件有哪些
讨论DDoS相关工具，先要理清一个关键点。这类工具不全是黑客专属，官方定位很多是网络压力测试工具，帮助运维人员检验服务器流量承载上限。但同一套工具，用来测试自己的站点和攻击他人服务器，性质完全不同。
公开可获取的DDoS工具，按照攻击方式可以分成几类。
比较知名的一类是离子炮工具。LOIC全称Low Orbit Ion Cannon，低轨道离子炮，2009年发布，最初由Praetox公司开发。工具开源，Windows、Linux、Mac、Android系统都能运行，操作界面简单，填入目标地址，选定TCP、UDP或是HTTP模式，点击按钮就可以持续向目标发送流量。LOIC能够大范围传播，很大程度是黑客组织Anonymous使用带来的影响。2010年前后Anonymous发起Operation Payback行动，号召普通用户下载LOIC一同发起攻击，数千台普通电脑同时请求，形成可观攻击流量。
LOIC的升级版是HOIC，High Orbit Ion Cannon高轨道离子炮，2011年推出。HOIC相比LOIC增加boosters机制，可以自定义HTTP请求头，伪造请求，让访问请求更接近正常用户访问，绕过基础防护规则，同样是Anonymous常用工具。
第二类属于慢速攻击工具，代表程序Slowloris和R.U.D.Y.。这类工具攻击思路和离子炮完全不同，离子炮依靠海量请求打满带宽。慢速攻击核心是长时间占用服务器连接资源。Slowloris和服务器建立连接之后，只发送一半HTTP请求头，间断补充少量字节，服务器会判定请求还未传输完成，持续保持连接不释放。单台设备发起连接影响有限，数千个这类连接并发，服务器连接池就会被占满，正常访客无法接入。R.U.D.Y.原理相近，专门针对POST请求，向服务器声明要提交超大表单，逐字发送内容，迫使服务器持续等待接收数据。这类攻击不需要大带宽，一台普通电脑就能让配置不错的Web服务瘫痪。
第三类是命令行工具，典型代表hping3。这个工具本身不是专门的攻击程序，是网络工程师用来构造、发送自定义TCP/IP数据包做网络诊断的工具。但支持伪造源IP，自定义数据包标志位，可以用来发起SYN洪水攻击。向目标服务器发送大量伪造源地址的SYN包，服务器收到数据包分配资源回复，回复报文没有接收方，服务器资源持续消耗，连接队列很快占满。hping3预装在Kali Linux系统，网络安全学习人员做实验经常使用。
第四类严格来说不属于独立软件，是恶意程序Mirai。Mirai在2016年出现，属于僵尸网络木马，主要感染IoT设备，路由器、网络摄像头、智能音箱这类设备，只要开启SSH或者Telnet端口，并且使用出厂默认密码，Mirai就能入侵设备，把设备变成肉鸡。单台被感染设备攻击能力有限，但Mirai能够感染几十万台设备，统一下发指令，同时向目标发送流量。2016年Mirai攻击DNS服务商Dyn事件，峰值流量达到Tbps级别，造成美国大范围网站无法访问。Mirai源码后续泄露，衍生出大量变种，直到现在依旧是IoT设备安全的重大威胁。
还有一类称作压力测试平台或者Booter，本质是把攻击封装成线上服务。网站注册账号充值，填入目标IP，选定攻击时长和攻击类型，平台代为发起流量攻击。之前有案例，有人搭建“极客DDOS压力测试平台”，用户花费2035元购买服务，对26个IP发起攻击，造成10台服务器无法正常提供服务。这类平台把攻击门槛压得很低，不懂技术的人付费就能攻击站点，也是近些年DDoS攻击频发的原因。
了解这些工具名称，重点不是记住工具本身，而是建站者要清楚攻击原理。知道Slowloris依靠耗尽连接资源而非打满带宽，就能理解只采购大带宽高防服务器并不足够，WAF配置慢速连接限制规则同样关键。明白Mirai依靠IoT设备默认密码入侵，就能意识到家用联网设备修改初始密码的必要性。
这些工具源码大多能在GitHub检索到，但利用工具攻击他人服务器，在国内属于刑事犯罪。刑法第二百八十六条破坏计算机信息系统罪、第二百八十五条提供侵入非法控制计算机信息系统程序工具罪，覆盖制作、售卖、使用DDoS工具的相关行为。学习攻击原理是运维和安全人员的必修课，直接使用工具实施攻击就是另外一回事。