攻擊者所在機(jī)

控制機(jī)（用來(lái)控制傀儡機(jī)）

傀儡機(jī)

受害者

先來(lái)看一下最重要的控制機(jī)和傀儡機(jī)：它們分別用做控制和實(shí)際發(fā)起攻擊。請(qǐng)注意控制機(jī)與攻擊機(jī)的區(qū)別，對(duì)受害者來(lái)說(shuō)，DDoS的實(shí)際攻擊包是從攻擊傀儡機(jī)上發(fā)出的，控制機(jī)只發(fā)布命令而不參與實(shí)際的攻擊。對(duì)控制機(jī)和傀儡機(jī)，黑客有控制權(quán)或者是部分的控制權(quán)，并把相應(yīng)的DDoS程序上傳到這些平臺(tái)上，這些程序與正常的程序一樣運(yùn)行并等待來(lái)自黑客的指令，通常它還會(huì)利用各種手段隱藏自己不被別人發(fā)現(xiàn)。在平時(shí)，這些傀儡機(jī)器并沒(méi)有什么異常，只是一旦黑客連接到它們進(jìn)行控制，并發(fā)出指令的時(shí)候，攻擊傀儡機(jī)就成為害人者去發(fā)起攻擊了。

"為什么黑客不直接去控制攻擊傀儡機(jī)，而要從控制傀儡機(jī)上轉(zhuǎn)一下呢？"。這就是導(dǎo)致DDoS攻擊難以追查的原因之一了。做為攻擊者的角度來(lái)說(shuō)，肯定不愿意被捉到，而攻擊者使用的傀儡機(jī)越多，他實(shí)際上提供給受害者的分析依據(jù)就越多。在占領(lǐng)一臺(tái)機(jī)器后，高水平的攻擊者會(huì)首先做兩件事：1.考慮如何留好后門(mén)，2. 如何清理日志。這就是擦掉腳印，不讓自己做的事被別人查覺(jué)到。比較初級(jí)的黑客會(huì)不管三七二十一把日志全都刪掉，但這樣的話網(wǎng)管員發(fā)現(xiàn)日志都沒(méi)了就會(huì)知道有人干了壞事了，頂多無(wú)法再?gòu)娜罩景l(fā)現(xiàn)是誰(shuí)干的而已。相反，真正的好手會(huì)挑有關(guān)自己的日志項(xiàng)目刪掉，讓人看不到異常的情況。這樣可以長(zhǎng)時(shí)間地利用傀儡機(jī)。但是在攻擊傀儡機(jī)上清理日志實(shí)在是一項(xiàng)龐大的工程，即使在有很好的日志清理工具的幫助下，黑客也是對(duì)這個(gè)任務(wù)很頭痛的。這就導(dǎo)致了有些攻擊機(jī)弄得不是很干凈，通過(guò)它上面的線索找到了控制它的上一級(jí)計(jì)算機(jī)，這上級(jí)的計(jì)算機(jī)如果是黑客自己的機(jī)器，那么他就會(huì)被揪出來(lái)了。但如果這是控制用的傀儡機(jī)的話，黑客自身還是安全的?？刂瓶軝C(jī)的數(shù)目相對(duì)很少，一般一臺(tái)就可以控制幾十臺(tái)攻擊機(jī)，清理一臺(tái)計(jì)算機(jī)的日志對(duì)黑客來(lái)講就輕松多了，這樣從控制機(jī)再找到黑客的可能性也大大降低。