【DDoS攻擊】UDP 洪水攻擊是什麼？｜Skycloud

UDP 洪水攻擊

　UDP(User Datagram Protocol) 使用者資料包通訊協定，特性是不需要建立連結，就可以直接發送資料，在資料包送出後不會等待確認、重傳或保證封包是否送達，這使得 UDP 能夠做到低延遲、高效率的特性，常廣泛應用在影音平台或遊戲等大量且即時的資料傳輸中，但高效率的同時，也意味著缺乏錯誤檢查與重傳機制，可靠性較低，容易成為攻擊者利用的目標。

　UDP 洪水攻擊是屬於 OSI模型中的第四層傳輸層攻擊，攻擊者利用 UDP 協定「無連線、高效率、來源可偽造」的特性，產生大量封包癱瘓伺服器，使其資源耗盡並無法處理正常流量。

　由於 UDP 洪水攻擊經常依賴偽造 IP 來掩飾攻擊的來源，因此發生阻止困難的狀況，保護網站伺服器的防火牆，也可能因為 UDP 洪水攻擊而耗盡，最終導致服務阻斷發生。

延伸閱讀：UDP 是什麼？UDP 工作原理與 UDP常見的 DDoS攻擊

UDP 洪水攻擊運作方式

　UDP 洪水攻擊的關鍵在於利用 UDP 的「無連線」特性，以及系統對未開放埠口的預設回應機制，進行資源耗盡攻擊，這種不需要三次握手也不需要建立連線的機制，非常適合用殭屍網路大量發送，造成網站伺服器癱瘓。

　UDP 洪水攻擊的攻擊方式，攻擊者會利用 UDP 的漏洞和特性，向目標伺服器發送大量 UDP 封包，消耗目標系統的資源，使其無法回應正常使用者的請求。具體流程如下。

1. 隨機發送大量 UDP 封包
   攻擊者會將大量的 UDP 封包，發送到目標伺服器的隨機或特定埠號(Port)，這些封包可能攜帶垃圾資料或為空，通常不包含合法的應用層協定資訊。

2. 觸發 ICMP 回應(Port Unreachable)
   當伺服器收到這些 UDP 封包後，若目標埠沒有對應的應用程式在監聽，系統會根據協定回應一個 ICMP「目的地不可達：埠不可達(Port Unreachable)」的封包給來源 IP。即使攻擊者偽造來源 IP，伺服器仍會照常嘗試回送 ICMP 回應，進一步浪費頻寬與系統資源，這也是 UDP 洪水攻擊難以防禦的原因之一。

3. 資源消耗與頻寬耗盡

• 伺服器需要檢查每一個封包，產生 ICMP 回應，這會消耗 CPU 與記憶體資源。

• 如果攻擊來源是分散式(即 DDoS)，還會造成網路頻寬大量被佔用。

• 最終可能導致系統無法正常運作或完全癱瘓，其他合法用戶無法存取服務。

UDP 洪水攻擊情境

　我們用簡單的比喻來說明 UDP 洪水攻擊的情境，讀者可能更容易理解。

情境一：狂按門鈴但不說話

　你家有一個門鈴，每次有人按門鈴，你都要去門口開門查看是誰，結果發現沒有人，你就關門回去；過幾秒又有人按門鈴，你又去開門，還是沒人，你只能再關門回去。

　這樣的情況一而再再而三的發生，搞得你忙到不行，甚至沒辦法專心做事或接待真正的客人。

【對應到 UDP 攻擊】

• 門鈴 ➜ 就像是 UDP 封包

• 你去開門 ➜ 就像是 伺服器檢查埠口

• 沒人 ➜ 就像是 沒有對應應用程式在那個埠口

• 你回應(例如：嘆氣或說怎麼沒人?) ➜ 就像是 伺服器送出 ICMP 回應

• 如果這樣的惡作劇是成千上萬個人一起做 ➜ 就像是 DDoS 攻擊

　UDP 洪水攻擊就像是一群人瘋狂亂按你家的門鈴，但從來都不是真正的要找你，只是讓你不斷白跑、筋疲力盡。伺服器也會因此消耗大量資源，最終可能癱瘓，無法提供正常服務。

情境二：快遞公司收到大量假包裹

　假設你是一間快遞公司的接收站，你的工作是處理每天送來的包裹；突然間，有人瘋狂地送來上千個包裹，但是這些包裹的收件人都是假的地址或根本不存在。

你必須：

1. 開每一個包裹查看收件人(就像伺服器檢查 UDP 封包的目標埠)

2. 發現收件人不存在(沒有對應的應用程式)

3. 根據流程，還要回信通知寄件人「查無此人」(就像發送 ICMP 回應)

4. 包裹一直送來，你一直忙著處理，連真正的包裹也開始無法處理

【對應到 UDP 攻擊】

• 包裹 ➜ 就是 UDP 封包

• 假的收件人地址 ➜ 是 隨機或不存在的埠口

• 你還要通知寄件人 ➜ 就是 伺服器送出 ICMP 回應

• 包裹不斷湧入 ➜ 攻擊流量持續進攻伺服器

• 真正的包裹也被耽誤 ➜ 正常用戶的流量也受影響

　UDP 洪水攻擊就像是讓你處理一大堆垃圾包裹，逼你把所有資源耗在處理「無效任務」上，最終連正常的工作也做不了，這就是伺服器遭遇 UDP 攻擊時的狀態。

如何防禦UDP洪水攻擊

　UDP 洪水攻擊由於封包無連線、不需三次握手、來源可偽造，因此難以從單一封包識別惡意行為，不過，我們可以透過幾種策略進行UDP洪水攻擊的防禦與緩解。

1. 設定防火牆與封包過濾
   限制不必要的 UDP 埠口與來源，丟棄異常封包。

2. 使用 Anti-DDoS 服務
   導入像 Cloudflare、SkyCloud騰雲運算 等具流量清洗與自動防禦功能的服務。

3. 啟用速率限制（Rate Limiting)
   控制單一 IP 或 UDP 封包的傳輸頻率，減少濫用。

4. 部署流量監控與警報
   透過工具監控流量異常，提前應對攻擊。

5. 限制 ICMP 回應與資源耗用
   降低系統對無效 UDP 封包的回應頻率，避免資源被拖垮。

6. 封鎖未使用的 UDP 埠
   如果某些服務沒用到 UDP，建議直接封鎖其埠口，減少攻擊面。