殭屍網絡（Botnet）的形成與控制
DDoS攻擊之所以能夠匯聚如此龐大的流量，核心在於殭屍網絡（Botnet）。Botnet是由大量被惡意軟件感染並受到攻擊者（Botmaster）集中控制的計算機、智能設備（IoT）組成的網絡。
1. 形成過程：感染與潛伏
殭屍網絡的形成始於感染。攻擊者利用操作系統漏洞、弱口令、網絡釣魚郵件或惡意軟件下載等方式，將特定的惡意程序（Bot/Zombie）植入受害者的設備中。這些設備一旦感染，便成為了“殭屍主機”。通常情況下，殭屍主機會隱藏在後台運行，用户很難察覺異樣，直到攻擊者下達攻擊指令。
2. 控制體系：C&C架構
殭屍網絡的核心是命令與控制（Command and Control，簡稱C&C或C2）服務器。這是攻擊者向殭屍主機發送指令的中樞。架構主要有兩種模式：
- 集中式架構（Centralized）：所有殭屍主機直接連接到一台或幾台C&C服務器。優點是控制簡單，缺點是C&C服務器一旦被發現並封鎖，整個殭屍網絡就會癱瘓。IRC和HTTP是常見的協議。
- P2P分佈式架構（Peer-to-Peer）：沒有中心節點，殭屍主機之間通過對等網絡互相傳遞指令。這種架構極其隱蔽，抗打擊能力極強，因為很難通過摧毀單一節點來癱瘓整個網絡。
Cloudflare 視角的 Botnet
Cloudflare 在其安全報告中多次指出，隨着 5G 和 IoT 的普及，Mirai 及其變種殭屍網絡依然是主要的威脅來源。利用默認憑證（弱口令）仍然是這類殭屍網絡擴張的主要手段。Cloudflare 建議所有聯網設備在部署前必須更改默認密碼並及時更新固件。
DDoS攻擊者的目的與動機
理解攻擊者的動機有助於預測攻擊趨勢並制定針對性的防禦策略。DDoS攻擊背後的驅動力多種多樣：
1. 經濟利益（敲詐勒索）
這是最直接和常見的動機。攻擊者向目標（通常是電商、金融、遊戲等對即時性要求極高的企業）發起小規模試探性攻擊，展示其能力，然後發送勒索郵件，要求受害者支付比特幣等加密貨幣以停止或避免更大規模的攻擊。
2. 商業競爭
不道德的競爭對手可能僱傭黑客攻擊同行的網站或服務，使其服務中斷，導致用户流失，從而搶佔市場份額。這種情況在網絡遊戲、博彩和小型電商領域尤為常見。
3. 黑客激進主義（Hacktivism）與政治目的
出於政治立場、意識形態分歧或社會抗議，黑客組織（如Anonymous）會對政府機構、大型企業或特定組織的網站發起DDoS攻擊，以表達抗議、製造輿論或干擾其運作。
4. 掩護其他攻擊行為（聲東擊西）
有時DDoS攻擊只是煙霧彈。攻擊者利用大規模流量吸引安全團隊的注意力，使其忙於應對拒絕服務攻擊，而在背後悄悄進行數據竊取、SQL注入或植入後門等更具破壞性的入侵活動。
DDoS即服務（DDoS-as-a-Service）
DDoS攻擊鏈已高度產業化。互聯網上存在大量"Booter"或"Stresser"平台（名義上提供"網絡壓力測試"服務），用户只需花費數十美元即可購買一次持續數十分鐘的DDoS攻擊。這些平台通常支持多種攻擊向量（如UDP Flood、SYN Flood、HTTP Flood），支持加密貨幣支付，並提供"客户支持"。
攻擊成本 vs 防禦成本
DDoS 攻防的核心不對等在於：發起一次 100Gbps 的攻擊可能只需要 $50-$500/天（通過地下平台租用殭屍網絡），而防禦同等規模的攻擊，企業可能需要每月投入數千至數萬美元購買高防服務。這種巨大的成本差異是 DDoS 攻擊長期活躍的經濟根源，也説明了選擇專業防護平台的重要性。
總結
DDoS攻擊不再是單純的技術炫耀，而是一條成熟的黑色產業鏈。殭屍網絡作為其基礎設施，正變得更加龐大和隱蔽。DDoS-as-a-Service讓發動攻擊變得跟網購一樣簡單。防禦方如果還只盯着流量清洗，遠遠不夠，得搞清楚攻擊者的動機和產業鏈，才能做到有針對性的防護。