DDoS攻击一小时要花多少钱？成本揭秘与防御指南

“黑客发动 DDoS 攻击，一小时到底要花多少钱？”这个问题我经常在安全交流群里看到，每次有人抛出来，底下总是一半好奇、一半当玩笑在聊。但说真的，这不是什么段子，而是一个值得认真拆解的商业问题。DDoS 攻击早已不是电影里那种“天才黑客敲几下键盘、全屏跑代码”的浪漫想象，它背后是一条成熟的产业链：有人卖攻击能力，有人卖防御能力，有人专门做流量清洗，还有人靠中间商赚差价。作为常年和网络攻击打交道的从业者，我见过学校、电商站、游戏服被捶到彻底离线，也见过运维同事半夜爬起来加高防、切解析、扛流量。这篇内容我不教攻击，只把一个冷冰冰的问题放到台面上算清楚：发动一小时 DDoS，黑产那边的报价到底是多少？这笔账背后反映的技术原理是什么？被攻击的一方又要为此付出多大成本？不管你是做运维、搞等保，还是单纯对网络安全感兴趣，把这笔账看明白，对“为什么必须做防护”这件事会有更实在的理解。

1. 黑产是怎么给 DDoS 攻击定价的

DDoS 攻击的本质就是短时间内把海量请求塞向目标，把带宽、连接数或服务器资源打爆。黑产卖的不是“攻击”这个动作，而是“持续制造不可用状态的能力”。这种能力被商品化之后，定价方式其实和很多服务行业类似：按时长、按体量、按效果档次收费。

1.1 三种主流计价模式

第一种是按时长计费。这是最常被提到的模式，黑产站点上大量“套餐”都写着“XX元/小时”“XX元/天”。按小时计费的好处是门槛低，买家可以小额试水，先花个百来块钱看看效果，再决定要不要加钟续费。这种模式适合攻击那些防御比较薄弱的小站点，比如学校论坛、创业公司官网、个人游戏服务器，基本属于“一波流”打法。

第二种是按流量计费。攻击流量是 DDoS 的核心资源，流量越大，打瘫目标的概率越高。按流量计价更像买宽带：你买多少 Gbps 的峰值流量、打多久，价格按总流量折算。公开报道和研究中常见的行情是，1Gbps 左右的攻击流量持续几分钟，报价在几美元到十几美元不等；如果要持续一小时，价格会按阶梯上涨，体量越大单价越贵，但整体还是在黑产网站上明码标价。

第三种是按攻击手法计费。普通的 UDP Flood、ICMP Flood 比较廉价，因为技术含量低、放大手段固定；而混合型攻击，比如 TCP SYN Flood 加 HTTP 慢速攻击再加 DNS 反射同时上，需要更精细的调度，资源消耗更大，价格自然高出一截。黑产会把“打得更狠、更难防”作为一种溢价服务，对应到买家那边，就是“花更多钱确保打死”。

1.2 一小时行情到底在什么区间

先把话说在前面：黑产报价波动很大，不同渠道、不同时间段、不同目标强弱，价格能差出几倍甚至十几倍。综合一些安全厂商的威胁报告和研究者暗网调研的数据来看，目前面向中小型站点的按小时计费攻击，主流报价大致落在几十美元到两三百美元这个区间；如果目标是带了高防的站点，需要更大流量去怼穿防护，报价就可能冲到上千美元一小时，因为攻击方需要协调更多肉鸡资源或租用更大的反射放大资源池。

换算成人民币，一小时攻击成本大约就是几百元到几千元。听起来好像不算特别贵？但这笔钱对攻击者来说只是“弹药费”，真正的成本大头不在钱本身，而是在于资源积累和风险。黑产运营者需要持续维护僵尸网络、挖掘反射服务器、租用基础设施、躲避追踪，这些隐性投入分摊下来，才是真正的“成本”。买家看到的报价只是零售价，运营者的综合成本要比这个高得多。

1.3 为什么价格差异这么大

同样是“打一小时”，为什么有人花几百能搞定，有人花几千还嫌不够？差距主要由三个因素决定。

第一个因素是目标防御强度。一个裸奔的学校官网，出口带宽就几百兆，防护设备基本为零，可能几十 Gbps 的流量就能把它打瘫；而一个接入了云高防、清洗能力几百 Gbps 的商业站点，攻击方得把流量堆到超过清洗阈值才能真正形成伤害，这中间消耗的资源完全不是一个量级。

第二个因素是攻击源质量。用一堆免费扫描到的 IoT 摄像头组成的肉鸡，和用长期潜伏、稳定可控的服务器肉鸡，效果天差地别。高质量肉鸡的并发能力、稳定性、地理位置分布都更好，也更加难以被应急流量清洗策略快速识别，这种资源在黑产市场里是稀缺品。

第三个因素是时效性。突发下单、高峰时段（比如电商大促、游戏开服、学校选课）攻击需求旺盛，价格会水涨船高；平时淡季则相对便宜。这就跟打车一样，高峰期溢价，低价时段还能捡漏。很多黑产平台甚至搞“会员制”和“包月套餐”，本质上就是按照客户预期的攻击频率和规模做分层定价。

2. 成本背后的技术账：一次攻击到底消耗了什么

报价只是表面数字，真正理解 DDoS 攻击的成本，得弄清楚攻击流量是怎么来的。DDoS 最大的特点是“借刀杀人”——攻击者不是用自己的机器直接打目标，而是通过控制大量分散的“肉鸡”或者利用互联网上无辜的服务器作为“放大器”，把火力集中在目标身上。

2.1 僵尸网络从哪来：肉鸡的积累与租赁

僵尸网络是 DDoS 攻击最大的“兵工厂”。攻击者通过漏洞利用、弱口令爆破、软件供应链投毒等方式，往大量主机植入木马，把这些机器变成可以远程调度的肉鸡。一个控制了几万台肉鸡的僵尸网络，平时可能啥也不干，一旦收到指令，就能同时向目标发起请求。

这种肉鸡资源不只是自己养，黑产之间还会互相买卖“肉鸡使用权”。按小时租一批肉鸡来打攻击，也是常见模式，费用会计入攻击定价里。近几年有个明显趋势是 IoT 设备沦为重灾区：摄像头、路由器、智能门锁，这些设备计算能力弱、系统更新滞后，厂商又不重视安全，被植入木马后用户完全无感。攻击者手里攥着大量 IoT 肉鸡，单台流量不大，但架不住数量多，合起来就能形成几十 Gbps 甚至上百 Gbps 的洪流。

2.2 反射放大攻击：花小钱办大事的技术原理

如果说僵尸网络是“人多势众”，那反射放大攻击就是“四两拨千斤”。以 DNS 反射为例：攻击者伪造受害者的 IP 地址作为源 IP，向互联网上大量开放的 DNS 服务器发送一个很小的查询请求，DNS 服务器收到后会把响应结果发到受害者那边。由于响应数据比请求数据大几十倍，攻击者用很小的带宽就能诱导出巨大的攻击流量，自己被掩盖在伪造源 IP 背后，很难追踪。

类似的协议还有 NTP、Memcached、CLDAP 等，放大倍数从几十倍到几百倍不等。早年有研究案例显示，利用某些放大倍数极高的协议，攻击者只用了少量请求就堆出了数百 Gbps 的攻击流量，直接把大型平台打得短暂离线。这种“杠杆效应”大大降低了攻击成本，也是 DDoS 始终难以根除的原因之一：攻击者花小钱，防御者却要花大钱去扛。

2.3 攻击流量的物理意义：Gbps、Mpps 和并发连接数

衡量 DDoS 攻击强弱一般看三个核心指标：带宽（Gbps）、包速率（Mpps）、并发连接数。很多人只盯着 Gbps，其实三者各有侧重。

带宽决定的是“管道粗细”。如果目标服务器的上行带宽就 1Gbps，攻击流量堆到 10Gbps，交换机先瘫痪，服务器根本收不到正常请求，网站直接失联。包速率决定的是“设备处理能力”。很多网络设备对每秒处理的数据包数量有上限，即使总流量不高，但全是小包，也能把 CPU 打满，这就是典型的小包攻击。并发连接数决定的是“表项容量”。服务器和中间设备能维护的连接状态是有限的，攻击者建立大量假连接，占满连接表，新来的正常用户就挤不进去了，经常表现为网站“能 ping 通但打不开”。

理解了这三个指标，就能明白为什么价格差异如此之大：有些攻击用便宜的方式就能打死裸奔目标，但如果想打穿有防护的站点，必须在多个维度同时施压，资源消耗几何级上升，报价自然跟着水涨船高。

3. 攻击之外的钱：防御和损失的账单

聊完攻击方的成本，再算另一本账：被攻击的一方，一小时要损失多少钱？很多非技术背景的人觉得“网站挂了就挂着呗，一会儿就恢复了”，但实际上，DDoS 带来的损失远远超过那点攻击费用，而且很多时候是不可逆的。

3.1 学校网站被攻击之后的真实处境

学校一直是 DDoS 攻击的高发目标，这和“钱多不多”关系不大，更多是因为“好打且影响大”。校园网的出口带宽往往有限，很多学校网站部署在本地机房，防护设备老旧甚至没有，只要来一波持续攻击，全校上外网都受牵连。

我参与过一所高校官网被攻击后的应急处理。攻击持续了大约四十分钟，流量不算很大，但刚好卡在选课系统开放的时间段。结果就是学生进不去选课页面、教务系统间歇性抽风、学校官网 ERR_CONNECTION_TIMED_OUT，紧接着舆情发酵，贴吧和微博全在吐槽。技术团队紧急切了备用链路、临时加了 CDN 和黑洞路由，才算把服务捞回来。事后算账：网络中心全员加班、租用临时高防流量、学生体验受损、学校声誉受损，这些都远超攻击者支付的几百块钱。

3.2 云防与等保：SSL 和 DDoS 防护到底要不要做

这几年等保合规逐渐普及，很多单位在测评时都会遇到一个问题：DDoS 防护到底算不算必须项？答案不是简单的“是”或“否”。等保 2.0 里对通信网络、安全计算环境有明确要求，而 DDoS 防护更多被归入安全通信网络的抗拒绝服务攻击能力项。对于三级及以上系统，基本要求里明确提到了应具备防范 DDoS 攻击的能力，所以已经不是“做不做”的问题，而是“怎么做才能过测”的问题。

至于 SSL，它和 DDoS 防护是两码事，却经常被混为一谈。SSL（全站 HTTPS）解决的是数据传输加密和身份验证问题，防止中间人窃听和篡改；DDoS 防护解决的是服务可用性问题，防止系统被流量打瘫。很多等保整改单位把精力全花在部署 SSL 证书上，觉得“上了 HTTPS 就安全了”，结果在被攻击时才发现证书救不了可用性。正确的做法是两者并行：先保证传输安全，再考虑抗 D 能力，同时把日志留存、入侵检测、流量监测这些配套都跟进到位。

3.3 算一笔总账：一小时攻击的社会成本

把攻击方的成本、中间商的成本、防御方的成本、业务损失的成本全部摊开，一小时攻击的社会总账其实非常吓人。

攻击方这边，假设花了五百元买到一小时攻击服务；攻击平台的运营成本分摊到单次订单里，可能也是几百元；但被攻击方这边的支出就完全不成比例了：临时调用高防 IP 或者云清洗服务，按小时计费的话，通常每小时几十到上百元不等，但如果是持续几小时甚至几天，费用轻松破万；业务中断的营收损失，小网站几千、电商平台几十万起跳；如果涉及数据泄露的次生灾害，比如攻击期间被拖库，后面面临的处罚和赔偿更是无底洞。

对比之下，攻击者用几百块撬动了几万甚至上百万的损失，这就是 DDoS 这门“生意”最让人无奈的地方。杠杆极高、追责极难、单次风险极低，导致黑产屡禁不绝。防御侧能做的就是尽量抬高攻击方的成本，同时压低己方的损失，这也是为什么高防、清洗、应急响应这些服务有存在的价值。

4. 实战视角：从流量分析看攻击痕迹

光谈成本和原理太抽象，落到实际操作层面，DDoS 攻击是有迹可循的。很多安全初学者第一次接触 DDoS 都是从抓包分析开始的，比如拿 Wireshark 打开一个捕获文件，试着找出攻击源 IP、判断攻击类型。这个过程看着简单，真上手了会发现不少坑。

4.1 用 Wireshark 定位攻击源 IP 的基本思路

假设你手里有一个从靶机抓下来的 pcapng 文件，目标是找出攻击者的 IP 地址。第一步肯定是用 Wireshark 打开文件，先看整体统计，Protocol Hierarchy 能告诉你各种协议的流量占比，如果 TCP 占据了绝大多数，多半和 SYN Flood 有关；如果 UDP 占大头，可能是 UDP Flood 或者反射放大攻击。

第二步是看 Endpoints 统计。Wireshark 的统计菜单里可以直接查看所有通信端点的收发字节数、包数量。攻击源通常是发送包数量最多的那个 IP，但要注意过滤掉正常业务流量，不然容易误判。实际操作中，我会先按目标 IP 过滤，再用统计功能找出向目标发送大量数据的源 IP，然后交叉验证攻击时段和流量特征。

第三步是盯着关键包的交互行为。SYN Flood 的典型特征是大量 TCP SYN 包发出后，没有对应的 SYN-ACK 响应，说明源 IP 是伪造的或者根本不监听端口。ICMP Flood 的特征更简单，就是同一源 IP 疯狂发送 Echo Request，目标机器忙于响应。通过这些特征，不仅能找到源地址，还能判断攻击手法的类型。

4.2 识别 DDoS 攻击特征的一般套路

分析抓包文件时，判断攻击类型比找到源 IP 更重要，因为源 IP 常被伪造，而攻击特征能指向攻击者的工具和手法。

一个非常实用的观察点是“包大小的分布”。正常网页浏览流量中，TCP 包大小分布比较均匀，有大量小包也有大包；而某些放大攻击，比如 NTP 反射，响应包巨大且结构固定，一眼就能在数据包列表里看到异常。另一个观察点是“时间序列”。攻击流量往往是突发性的、持续性的，呈现“脉冲突击”或“恒定洪流”两种模式，结合起来看就能对攻击剖面有个基础判断。

还有一个容易被忽略的维度是 TTL（存活时间）值。不同操作系统发送数据包的默认 TTL 不同，如果同一个源 IP 发出的包 TTL 变化很大，很可能经过了 NAT 或者是由僵尸网络中转，说明源 IP 可能是肉鸡，背后还有真正的控制者。这部分继续深挖就需要 Pcap 之外的威胁情报联动了。

4.3 在靶机实验里验证防御思路

光会找攻击源只是基本功，真正的安全能力在于“找到之后能做什么”。在靶机里做 DDoS 防御实验，我建议按这样的路径练手：先在无防护状态下抓一份攻击流量，记录下来；然后启用最简单的防御手段，比如防火墙对单 IP 限速、连接数限制，再抓一份对比流量，观察攻击前后差异；最后模拟真实业务场景，在加了 SYN Cookie、连接超时缩短等内核参数之后，看服务还能不能正常响应。

这个过程中最值得体会的一点是：防御永远是在“可用性”和“安全性”之间找平衡。限速太狠，正常用户也会被误伤；阈值太高，攻击流量又压不下来。没有一劳永逸的规则，只有根据业务情况不断调参的过程。靶机实验的价值就在于你可以在完全合法的环境里反复折腾，把这种“手感”练出来，而不是等真被打的时候手忙脚乱。

5. 常见问题与防御清单

说到这，很多人对 DDoS 还是一堆细节上的疑问，尤其是一些在等保整改和安全运维里反复被问到的点。我把这些年实操中高频出现的问题整理成一个速查表，再附上自己总结的防御经验，方便大家直接用。

5.1 常见问题速查表

5.2 我的实操心得：给中小站长的防御建议

这些年我看过太多中小站点在 DDoS 上栽跟头，几乎都是同一个套路：平时觉得“没人会打我”，直到真被打才四处求助。如果你手头管着学校网站、小公司官网或者个人项目，这几条建议值得认真参考。

第一，永远假设自己会被攻击。先把基础防御做好：接入 CDN 隐藏源站 IP，配置防火墙和 WAF，给 SSH 设置强密码和密钥登录，关闭不必要的端口。这些措施成本很低，但能把攻击者的门槛抬高一大截。很多攻击者一看目标有 CDN、源站 IP 不好挖，直接换下一个目标了。

第二，搞清楚自己的“安全水位”。知道自己网站的出口带宽、服务器并发上限、正常流量基线，这些数据平时好像没什么用，但被攻击时就是判断攻击强度、决定是否上高防的依据。我见过一个运维兄弟，平时不记录基线数据，被攻击时连“现在流量比正常高了十倍还是百倍”都说不上来，应急决策全靠猜。

第三，提前找好应急资源。至少把云厂商的高防 IP、流量清洗服务的开通流程走一遍，留好联系人电话，别等到被打瘫痪了才注册账号、走审批流程。关键时刻，能快一分钟接入防御，就能少被薅一分钟羊毛。

第四，被攻击时保持冷静，按应急处置预案走。第一步确认攻击类型和强度，第二步切备用链路或者临时开启 CDN 高防，第三步保留日志和抓包文件，第四步同步业务方和管理层。不要想着“立刻反打回去”，那既不合法也不理智，还容易把自己搭进去。

DDoS 防御说到底是一个成本博弈问题：攻击方在用相对低的成本试探你的底线，防御方则需要用持续投入的资源来证明“打我不划算”。从学校到企业，从个人站长到云服务商，没有人能完全免疫 DDoS，但通过合理的防护架构、及时的应急响应和日常的安全基线建设，完全可以把攻击的影响控制在可承受的范围内。

我在实际应急里最深的体会是：真正决定损失大小的，往往不是你买了多贵的防护设备，而是你有没有在攻击发生前把流程和预案想清楚。攻击永远会来，早做准备的人，才能在流量洪峰过后，依然稳稳站住。