黑产DDoS平台新增 “慢速攻击” 套餐，低流量隐蔽攻击成为黑产标准化服务

近期暗网多家DDoS租赁平台更新业务菜单，正式上架慢速攻击付费套餐。攻击者无需巨大带宽资源，依靠Slowloris、RUDY这类低速会话耗尽手法，以极小流量消耗占满Web服务连接池，实现业务瘫痪。该套餐定价低廉、隐蔽性强，绕过传统基于带宽阈值的防护告警，面向网站、跨境独立站、游戏Web后台、政务站点开放订购，标志慢速拒绝服务攻击已经从手工脚本，演变为黑产即买即用的标准化攻击能力。

一、慢速攻击核心原理：低流量长期占住会话资源

和UDP洪水、HTTPFlood产生大量流量峰值不同，慢速攻击核心逻辑是维持大量不完整的长连接，缓慢分片传输数据，持续占用Web线程与会话表。

典型的Slowloris攻击，攻击者建立大量TCP连接，只发送部分HTTP请求头，每隔一小段时间发送少量字节，刻意不完成完整请求；服务器会持续保持连接等待剩余数据，不会主动释放线程。当Web服务最大并发连接、工作线程被全部占满，正常用户新请求无法接入，直接出现网站卡顿、访问超时、页面无响应。

RUDY变种则针对POST表单接口，声明大长度请求体，却以极慢速度提交表单数据，持续霸占后端处理资源。整套攻击带宽消耗极低，单IP流量微乎其微，不会产生带宽尖峰，传统流量阈值告警完全无法触发，很容易被运维误认为正常用户访问行为。

黑产平台的慢速攻击套餐依托分布式代理与僵尸网络，支持分布式发起，可选择攻击持续时长，部分平台将其定位为“绕过普通高防”的进阶选项，相比大流量洪水套餐，价格更低，降低攻击者使用门槛。

二、黑产商业化之后带来新的攻击特征

随着慢速攻击成为公开售卖套餐，攻击行为出现几个新变化。

第一，攻击门槛大幅下降。以往需要攻击者自己调试Slowloris脚本，现在只需在黑产面板输入目标域名、设置时长即可一键发起，新手攻击者也可以实施。

第二，偏向脉冲式、长时间骚扰。攻击者不一定追求瞬间打瘫，经常间断式发起，持续数小时甚至一两天，反复消耗服务端连接资源，消耗运维人力。

第三，优先瞄准Web业务薄弱点。网站首页、登录、表单提交、查询接口都是重灾区；游戏后台管理面板、跨境独立站下单接口、中小型企业门户成为高频受害对象。

第四，善于规避基础防护。很多普通防护只清洗大流量洪水，对每个连接流量很小的慢速会话缺少识别，恶意流量可以穿透抵达源站。即便接入普通CDN，如果没有开启专门慢速防护策略，防护效果会大打折扣。

三、受害业务的典型现象，容易产生误判

遭遇慢速攻击时，业务现象和传统DDoS有明显区别。

服务器出口带宽使用率并不高，CPU、内存指标有可能接近正常，但Web服务大量连接处于“读取请求”状态，并发连接数异常暴涨，请求完成率急剧下滑，大量408请求超时报错。网站表现为随机卡顿、部分用户打不开，而不是全部彻底断网，容易被误认为程序Bug、数据库性能问题，延误处置时间。

未针对慢速攻击优化的Web服务、云主机，哪怕配置较高，也会被大量低速半完成连接耗尽线程资源。而部分简易WAF、基础防火墙，缺少连接时长、最小传输速率管控，无法识别这类恶意会话。

四、中小业务普遍存在的防护短板

不少企业防护建设，重心放在抵御Tbps级大流量DDoS，却忽视慢速应用层攻击，暴露出多重短板。

运维监控只关注带宽、CPU、内存，缺少对并发连接数、连接存活时长、未完成请求占比、单连接传输速率这类业务层指标告警，攻击发生后很晚才察觉。

Web服务配置保守，未设置连接超时、最小传输速率限制，允许客户端长时间保持空闲慢速连接。

使用普通云主机、自建源站，直接暴露公网，没有反向代理、云清洗作为前置接入，恶意慢速会话直达源站Web服务。

部分CDN、高防只侧重网络层洪水清洗，没有开启针对低速会话的防护规则，无法拦截慢速攻击。

五、行业启示：DDoS黑产正在走向精细化分层

DDoS黑产平台持续迭代套餐，从粗暴带宽洪水，到现在专门推出慢速攻击这类隐蔽型应用层套餐，反映黑产的经营思路变化：提供差异化攻击工具，用更低成本达成破坏效果。

大带宽洪水攻击成本高、特征明显；而慢速攻击成本低廉、隐蔽性强，更适合骚扰、勒索、竞争打击场景。对于政企、跨境电商、中小网站运营者，DDoS防护不再只抵御超大流量，应用层会话资源耗尽攻击已经成为必须补齐的防护环节。

攻防博弈持续演进，只依靠硬件扩容和带宽，已经不足以应对黑产商业化带来的多样化DDoS威胁。