13

我想测试我的网站是否可以维持强大的DDoS，但我不知道我可以使用哪些工具在我的网站中模拟它们。哪些工具用于模拟DDoS？

我找到了bonesi，但是最近一次更新是在2年前。

ddos

— 于尔根·保罗
source

13

基本上有三种类型的DDOS攻击：

----->Application-layer DDOS attack
----->Protocol DOS attack
----->Volume-based DDOS attack

> Application layer

 DDOS attack: Application-layer DDOS attacks are attacks that target Windows,
               Apache, OpenBSD, or other software vulnerabilities 
               to perform the attack and crash the server.

> Protocol DDOS attack

DDOS attack : A protocol DDOS attacks is a DOS attack on the protocol level. 
               This category includes Synflood, Ping of Death, and more.

> Volume-based

 DDOS attack: This type of attack includes ICMP floods,
               UDP floods, and other kind of floods performed via spoofed packets.

有许多免费的免费工具，可用于充斥服务器并测试服务器的性能。一些工具还支持僵尸网络来执行DDOS。

— 强大的
source

1

显然LOIC中存在病毒

— Alex W

1

而学分转到resources.infosecinstitute.com/...

— 迭戈·维埃拉

还有一个RUDY的GO端口，该端口也运行得很好

— Matt Fletcher

这些链接的大量死亡或覆盖在病毒警告...

— 利亚姆

7

首先，您需要定义要模拟的攻击类型。
一些常见的选项包括：

TCP连接池耗尽
带宽耗尽
CPU /内存耗尽

可以用来模拟这种攻击的下一步（或编写）工具（通常使用HTTP负载测试程序，但是那里也有专用工具。我将不列出它们-您也可以使用Google如我所能。）

最后，对您的环境进行攻击。
这可能需要其他机器（用于内部测试）或多个外部环境（以有效地模拟外部威胁）。

大警告

您应该安排并宣布您的测试窗口，以便用户意识到中断的可能性。通常，模拟会导致实际故障。

在任何情况下，您都应在未事先通知托管提供商的情况下针对您的环境运行DoS模拟/测试攻击。 对于将通过提供商网络进行的外部/完整堆栈测试尤其如此。

— voretaq7
source

抱歉，很讽刺，但是，是的，攻击者要做的第一件事就是通知您的提供者。

— berezovskyi

4

@ABerezovskiy我要假设您的讽刺是因为您没有收到通知的原因：大多数提供商协议（实际上是我签署的每一份协议）都禁止这种测试，恕不另行通知。如果您违反该协议，并且您的测试中断了他人的服务，则您会发现自己已退出网络，并可能面临法律诉讼。在这种情况下，攻击者没有损失，系统管理员或公司有损失。

— voretaq7年

1

您在法律事务及其后果方面是完全正确的。但是，进行此类测试的主要原因是为意外攻击做好准备，并且拥有DDoS保护的廉价提供商通常会在攻击10分钟后使您无效。在许多情况下，您实际上测试了提供程序的响应。快速检查Kimsufi登陆页面：Anti-DDos受保护并已连接到高性能的全球网络。TOS：如果OVH威胁到OVH基础架构的稳定性，则保留中断客户服务的权利。

— berezovskyi

我认为您可以根据您真正想测试的内容使用这两种方法：在沙盒环境中进行透明的压力测试，或者为组织准备好应对危机做好适当/道德规范的攻击/测试。这些是具有不同目标的2种不同测试。

— 艾米·佩莱格里尼

1

我没有太多经验，但是请看一下LOIC（http://sourceforge.net/projects/loic/）。您必须设置许多客户端，但实际上您应该能够自己进行DDoS。

— 吉姆·G。
source

这是一个利用HTTP协议关闭Web服务器的DoS工具（基本上是打开大量连接，但从未完成连接）。不适用于测试用例。

— 内森·C

1

“强力” DDoS攻击与您的环境高度相关，如果我们谈论的是公共网站而不是在受控环境中，则几乎无法自己复制。DoS攻击是一回事，为了模拟真正的分布式拒绝服务攻击，您需要一个真正的僵尸网络测试平台，我敢肯定您不拥有该僵尸网络（<<）。找到可以与某些“黑客外站点”应用程序一起使用的免费/免费的僵尸网络并不难，但是您会/应该真的相信它们不会造成比预期更多的破坏吗？您想要的最后一件事是在黑客的监视下，和/或与易受攻击的站点相关联。

恕我直言，好的DDoS总是会赢得胜利……特别是如果您没有好的灾难恢复/业务延续计划。

这是来自经历过DDoS（DNS放大攻击）攻击的人，这不是野餐，即使它非常令人兴奋，但您也不希望网络/网站/主机发生任何事情。

— l0c0b0x
source

1

https://www.blitz.io/

他们可以为您模拟DDOS攻击。他们使用Amazon Web Services获取一大堆IP以模拟DDOS。考虑到大多数DDOS攻击会在各个地理区域使用大量受损的服务器，因此如果不拥有整个全球僵尸网络，将很难“模拟” DDOS攻击。

虽然有多种服务可以模拟高负载DOS攻击。一些资源是：

https://httpd.apache.org/docs/2.0/programs/ab.html

“ ab是用于对Apache超文本传输协议（HTTP）服务器进行基准测试的工具。它旨在使您对当前Apache安装的执行情况有一个印象。这特别向您显示了Apache安装每秒可以处理多少个请求。 ”

— El Chapo Gluzman
source

看来闪电战已不再可行，他们的首页上目前显示“闪电战将于2018年10月1日关闭” ：-（

— Nexus

1

另一种解决方案是使用带蜜蜂的机枪。它是一个用于武装（创建）许多蜜蜂（微型EC2实例）以攻击（负载测试）目标（Web应用程序）的实用程序。

同样，这些实例都不能真正复制“真实的” DDOS攻击，因为您可能使用的某些策略（例如，阻止IP范围）将无法与全球范围内受感染IP的真实DDOS僵尸网络配合使用。

— El Chapo Gluzman
source

模拟DDoS攻击的工具

大警告