本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

# 應用程式層攻擊
<a name="application-layer-attacks"></a>

 攻擊者可以通過使用第 7 層或應用程序層攻擊來定位應用程序本身。在這些攻擊中，與SYN洪水基礎結構攻擊類似，攻擊者會嘗試超載應用程式的特定功能，使應用程式無法使用或對合法使用者沒有回應。有時候，這可以通過非常低的請求量來實現，這只會產生少量的網絡流量。這可能會使攻擊難以檢測和緩解。應用層攻擊的例子包括HTTP洪水，緩存破壞攻擊和-洪水。 WordPress XML RPC
+  在*HTTP洪水攻擊中，攻擊*者會傳HTTP送看似來自 Web 應用程式有效使用者的要求。一些HTTP洪水針對特定資源，而更複雜的HTTP洪水試圖模擬人與應用程序的互動。這可能會增加使用常見緩解技術（例如請求速率限制）的難度。
+  *緩存破壞攻擊*是一種HTTP洪水類型，它使用查詢字符串中的變化來規避內容交付網絡（）緩存。CDN而不是能夠返回緩存的結果，CDN必須聯繫原始服務器為每個頁面請求，這些來源提取會導致應用程序 Web 服務器的額外壓力。
+  通過*RPC洪水攻擊*（也稱為 WordPress pingback 洪水），攻擊者將 WordPress 內容管理軟件上託管的網站作為目標。WordPress XML攻擊者錯誤使用 [XML-RPC](https://docs.python.org/3/library/xmlrpc.client.html#%3A~%3Atext%3DXML%2DRPC%20is%20a%20Remote%2Cand%20get%20back%20structured%20data) API 函數來產生大量HTTP要求。pingback 功能可讓託管於 WordPress (網站 A) 的網站透過網 WordPress 站 A 建立至站台 B 的連結，通知不同的網站 (網站 B)，然後嘗試擷取站台 A 以驗證連結是否存在。在 pingback 洪水中，攻擊者會濫用此功能，造成網站 B 攻擊網站 A。此類型的攻擊具有明確的簽章："`WordPress:`" 通常存在於要求標頭的使用者代理程式中HTTP。

 還有其他形式的惡意流量會影響應用程式的可用性。*Scraper 漫遊器*會自動嘗試訪問 Web 應用程序以竊取內容或記錄競爭性信息，例如定價。*暴力*破解和*憑證填充*攻擊是編程努力，以獲得對應用程序安全區域的未經授權訪問。這些不是嚴格的DDoS攻擊，但它們的自動化性質看起來與DDoS攻擊類似，並且可以通過實施本 paper 中涵蓋的一些相同的最佳實踐來緩解它們。

 應用程式層攻擊也可以鎖定網域名稱系統 (DNS) 服務。這些攻擊中最常見的是*DNS查詢洪水*，其中攻擊者會使用許多格式良好的查DNS詢來耗盡DNS伺服器的資源。這些攻擊還可能包括緩存破壞組件，其中攻擊者隨機化子域字符串以繞過任何給定解析器的本地緩存。DNS因此，解析器無法利用緩存的域查詢，而必須反复聯繫權威DNS服務器，該服務器可以放大攻擊。

 如果 Web 應用程式是透過傳輸層安全性 (TLS) 傳送，攻擊者也可以選擇攻擊交TLS涉程序。TLS計算成本非常昂貴，因此攻擊者透過在伺服器上產生額外的工作負載來處理無法讀取的資料 (或無法理解 (密文) 作為合法握手，可降低伺服器的可用性。在此攻擊的變化中，攻擊者完成TLS交握，但永遠重新協商加密方法。攻擊者也可以透過開啟和關閉許多TLS工作階段來嘗試耗盡伺服器資源。