仅请求静态资源能否对无授权保护的Web服务器实施DDoS攻击？

嘿，这两个问题问得很实在，我来给你详细拆解下：

1. 是否仅通过请求静态资产即可对服务器实施DDoS攻击？ #

当然可以，这其实是**应用层DDoS（Layer 7 DDoS）**里非常常见的攻击手段。别以为静态资产（比如图片、字体、静态HTML）不需要服务器做复杂计算就没法搞事情——每一次请求都会消耗服务器的核心资源：

• 哪怕是几KB的小文件，当请求量冲到百万、千万级时，服务器的带宽会被瞬间占满，正常用户的请求根本挤不进来；
• 另外，服务器得为每个请求建立TCP连接、解析HTTP头、从磁盘或内存读取文件再返回，这些操作累计起来，会快速耗尽服务器的CPU、内存和可用连接数，直接导致服务瘫痪。

2. 向未授权保护的服务器十亿次请求Logo图片，能否实现DDoS攻击？ #

绝对可以，而且这种攻击的破坏力还不小，原因如下：

• 十亿次请求是个恐怖的量级：就算你的Logo只有1KB，总流量也接近100TB，普通服务器甚至中小规模的CDN节点都扛不住这么大的带宽压力；
• 就算目标用了CDN，如果攻击能绕过CDN直接打源站，或者把CDN节点的带宽占满，一样会让正常用户无法获取静态资源；
• 很多服务器对静态请求的并发连接数没做限制，大量请求会占满服务器的可用端口，新的连接根本建立不起来，服务直接就挂了。

当然，现在不少云服务商和CDN都有基础的DDoS防护（比如流量清洗、连接数阈值限制），但如果是分布式发起的十亿次请求（来自成千上万个不同IP），突破常规防护也不是难事。

内容的提问来源于stack exchange，提问作者user2167582