DDoS 攻击到底多猛？从 1.2Tbps 洪水到"高防 VPS"为啥那么贵

2016 年 10 月 21 日早上，美国东部一大片人醒来发现"互联网坏了"：Twitter 刷不出新内容，Netflix 转圈圈，Spotify 也哑火了。一开始大家以为是自家网络抽风，后来才发现，是有人在互联网的"总电话交换机"上泼了一大桶流量，把半个美国的大网站全给淹了。这一天，峰值约 1.2Tbps 的攻击流量涌向 DNS 服务商 Dyn，成了当年全球最大的 DDoS 事件。你可能觉得这事离自己很远，但只要你买过 VPS、开过服务器，这篇文章就跟你有关——因为"被打"这件事，每天都在便宜服务器上发生。

延伸阅读

更多相关攻略推荐：2G 内存无显卡 VPS 也能跑 AI！Ollama + 1.5B/、Web 与数据库分在两台 VPS？跨机房 MySQL 3306 安全、2026 边缘 CDN 加速对决：Cloudflare 还是 Bun、【VPS 进阶玩法精选 032】用 Headscale 在 VPS 、2026 游戏服 VPS 怎么选：高主频 CPU、内存与 DDoS 。

DDoS 是什么？就像一万个人同时挤进一家小饭店

DDoS 全称是"分布式拒绝服务攻击"。翻译成人话：你的服务器是家小饭店，平时一桌桌正常翻台。攻击者喊来成千上万个"人"（其实是联网设备），同一时间全冲进店里，把座位全占了、把门口堵死，真正想吃饭的客人一个都进不来。饭店没被打砸，但生意彻底瘫痪了，这就叫"拒绝服务"。

具体到技术上，攻击通常走三种套路：

• 带宽耗尽：像拿一根超粗的水管往你店里灌水。用 UDP Flood 这类招数，把服务器所在机房的上行带宽全部塞满，数据包进不来也出不去，网页自然打不开。
• 连接耗尽：占着座位不点菜。最常见的是 SYN Flood，疯狂发送"我要连接"的请求，但永远不回最后一步确认，把服务器的连接队列全部占满，正常用户连不上。
• CPU 耗尽：人肉排队点单但不付钱，逼着后厨一直干活。这是应用层攻击（也叫 CC 攻击），用海量看似正常的网页请求，把服务器的 CPU 和内存活活烧干。

三种套路可以单用，也可以混着上，全看攻击者的钱包厚度。

僵尸网络进化史：从网吧肉鸡到你家摄像头

要发动这么大的攻击，攻击者自己没那么多设备，得"借"。被黑掉的设备组成的军团，就叫僵尸网络（Botnet），每一台被控制的设备都是"肉鸡"。

早期僵尸网络主要靠感染个人电脑。大家用同一个 Windows 漏洞，或者用流氓软件捆绑，悄悄把程序装进普通人的电脑里，攒一批"肉鸡"。这种模式效率一般：电脑会杀毒、会重启、用户会重装系统，肉鸡流失得很快。真正改变游戏规则的，是 2016 年的 Mirai。

Mirai 干的事简单得可笑——它专门扫描路由器、摄像头、DVR 这些物联网小设备，挨个尝试出厂默认密码，什么 admin/admin、root/12345，一试一个准。这些设备常年 24 小时开机、没人管、不会杀毒，简直是完美的肉鸡。高峰时期，Mirai 据称控制了超过 60 万台设备。更讽刺的是，它的作者是三个美国大学生，最初只是为了在《我的世界》服务器生意里干翻竞争对手，结果玩脱了，还把源码公开到论坛上，直接开启了全球 DDoS 的"开源时代"。

接下来是里程碑事件：

• 2016 年 10 月：Mirai 攻击 Dyn，峰值 1.2Tbps，Twitter、Netflix、Spotify、Reddit、GitHub 大面积掉线，光 Twitter 一家当时的损失估算就超过 7000 万美元。
• 2018 年 2 月：GitHub 遭 1.35Tbps 攻击，靠 Memcached 反射放大（放大倍数可达五万多倍），持续约 20 分钟。
• 2023 年 2 月：Cloudflare 拦截超 7100 万次/秒的 HTTP 洪水，创下应用层攻击纪录，攻击来自 3 万多个 IP。
• 2024 年 10 月：Cloudflare 又扛下 5.6Tbps 的 UDP 洪水，幕后还是 Mirai 的变种——它"后代"至今仍是最活跃的攻击武器。

流量清洗中心：给互联网"洗衣服"

既然攻击是往你身上倒脏水，防御的思路就是：在水到你家门口之前，先把脏东西过滤掉。这就是流量清洗中心（Scrubbing Center）干的事，本质是互联网上的"洗衣房"。

• 黑洞路由：最简单粗暴。一旦发现某 IP 被打，直接把它的流量全部丢进"垃圾桶"（黑洞），谁也别想访问——包括正常用户。这是机房最后的保命手段，副作用是"同归于尽"。
• BGP 流量牵引：正规清洗是"洗衣服"，而不是"烧衣服"。通过 BGP 协议把被攻击 IP 的流量先引到清洗中心，过滤完再把干净的流量回注给源站，攻击流被拦在半路，正常用户不受影响。
• 指纹识别与限速：清洗中心里的设备靠流量特征（包大小、频率、行为模式）区分正常和恶意流量，对可疑流量限速、丢包，甚至用 JavaScript 挑战先"验明正身"再放行。
• SYN Cookie：专门治 SYN Flood。不急着分配资源，先给对方发个"暗号"，能对上来才建立连接，假连接全部自然消散。

清洗中心什么时候动手，也有讲究。高防机房一般盯着流量阈值，一旦发现某个 IP 的流量异常冒头，立刻触发牵引清洗。但这有个鸡生蛋的问题：检测太灵敏，正常流量高峰也被误杀；检测太迟钝，攻击早就把你打趴了。所以真正的高防拼的是"清洗精度"——洪水要挡，真用户不能误伤，这也是高防服务贵得有道理的地方。

一句话总结：普通服务器是"敞着门迎客"，高防服务是在门口装了安检+洗车机，流量再脏也进不来。

为什么高防 VPS 那么贵？成本全在"防"上

同样一台 1 核 1G 的 VPS，普通商家一年收你十几美元，带 DDoS 防护的可能一个月就要十几美元，贵的还不止一个数量级。这不是商家黑心，而是防御本身真的烧钱：

• 带宽贵：普通 VPS 几十 M 带宽就够用了，高防要预留几百 G 甚至上 T 的"防弹带宽"。以香港机房为例，1G 带宽月成本约 800 到 1200 元人民币，100G 就是一个月 8 万到 12 万。这钱不可能商家自己全扛。
• 设备贵：机房里那些专用抗 D 设备（比如华为 AntiDDoS 系列），单台采购价几十万到上百万，还要定期升级。
• 人工贵：7×24 小时的安全运维团队、全球骨干网的合作关系、清洗中心本身的水电租金，全是固定成本。
• 生意模型：更阴暗的一点是，现在流行"勒索 DDoS"——攻击者先打你一下，再发邮件要保护费，"你永远打不完"。而普通人花一个月 30 美元就能租到 DDoS 服务，门槛低到离谱，防守方永远处于劣势。

所以别嫌高防贵，你买的不是性能，是"不被黑"的确定性。市面上阿里云这类高防 IP，100Gbps 防御档位月费大概 3 万元人民币起步，你可以感受一下这个量级。

还有一个很多人没意识到的点：攻击者的成本按小时算，防守者的成本却要按年算。租一个能打出几百 Gbps 的僵尸网络，一小时可能只要几百块；而机房为了防住这一刻，得常年养着几千 G 的闲置防御带宽。这种不对称决定了普通中小网站根本拼不起，所以聪明的做法不是硬扛，而是让攻击者觉得"打了也白打"。

对普通买 VPS 的人，这件事有什么启发？

看完这些大数字，普通人最容易慌："我买的便宜 VPS 是不是分分钟被打？" 答案是：分人。

• 便宜 VPS 确实没高防：RackNerd 这类一年十几美元的机器，被打通常就是机房直接黑洞你，封 IP 几小时甚至一两天，解封遥遥无期。如果被打得太狠，商家甚至直接删机退款。
• 谁才需要高防：游戏服务器、加密货币交易所、金融业务——这些是攻击者的"提款机"，打你有钱赚，必须上高防。OVH 这类自带免费高防的商家、或 Vultr 自带基础 DDoS 防护的套餐，是预算有限时的折中选择。
• 个人博客基本不用担心：攻击者图的是钱和利益，不是情怀。没人会为了打你的个人博客，花钱租一堆肉鸡。把精力花在内容上，比花在防 D 上划算得多。
• 低成本自保：最有效的办法是套一层 Cloudflare 免费 CDN，把域名解析指到 Cloudflare，它挡在前面，你的真实 IP 不暴露。小攻击被 CDN 直接吃下，大攻击 Cloudflare 的分布式网络也能硬扛。真被盯上了，开一下它的"攻击模式"（Under Attack Mode），也算有备无患。

说到底，DDoS 这场仗拼的是"谁的钱多"。大公司买高防，个人借 CDN，普通人保住源站 IP 不泄露，就已经赢过 90% 的同级网站了。选 VPS 的时候心里有数：便宜机器图的是性价比，别指望它替你挡子弹——知道风险在哪，才能用得安心。

常见问题 FAQ

问：DDoS 现在有多猛？ 答：现代攻击常以 Tbps 级 volumetric 洪水（UDP/放大攻击）为主，配合应用层（HTTP floods、慢速攻击）更难防。1.2Tbps 以上事件已不罕见，普通 VPS 单机根本扛不住。

问：为什么高防 VPS 那么贵？ 答：高防靠大规模清洗中心与冗余带宽吸收洪水，按防护峰值（如 100G/500G）计费，硬件与带宽成本高。便宜 VPS 无此能力，被打了只能换 IP 或靠服务商基础防护。

问：普通用户怎么自保？ 答：前置 CDN（隐藏源站 IP）、关不必要端口、用 WireGuard/隧道代替裸 3306/22、开速率限制与应用层防护。源站 IP 不暴露，大部分流量被 CDN/高防在边缘消化。