怎么能逃脱推荐算法，斗罗大陆海神说了什么

1，斗罗大陆海神说了什么

斗罗大陆312章

尊敬的海神大人，唐三前来接受您的传承唐三高声喊道同时双手握住海神三叉戟，向面前的大门微微躬身行礼

你已经失去了海神之心，还妄想要传承我的力量么？威严的声音突然想起，这声音根本令人听不出它是从何而来，但却可以令听灵魂颤栗无形的压力令唐三有些喘不过气来

低下头，注视着手中的海神三叉戟，唐三眼中流露出惭愧的神色，是地，我失去了海神之心是海神之心选择了我，但我却没有保护好它但是，我依旧要前来传承您的力量我需要您地力量保护我的亲人，朋友，也需要您的力量，为破碎的海神之心复仇请您给我一个机会，我愿意接受因为海神之心破碎地惩罚

既然如此，那你就进来吧

嘎嘎嘎嘎嘎伴随着一连串的轰鸣声，那两扇百米高的巨门缓缓开启，朝着海神神殿内侧展开顿时，强烈的金光从海神神殿中射出，晃地唐三都有些睁不开眼睛庞大的神圣之力笼罩，

小的感觉再次出现在唐三心中此时的他，感觉自泡在大海中的一粒沙，是那么的微不足道

这就是神地威压？唐三脸上突然流露出一丝微笑，充满自信的微笑，曾经面对过真正的神，哪怕那时候的千仞雪还是不成熟的神，但她也已经是神当时地唐三还远不如现在强大，他都敢于和千雪战斗，并且活了下来又怎么可能和神的差距有如此巨大呢？他差的只是这最后一步况且，就算自己真地是大海中的一粒沙，那么，自己这粒沙子也要搅动整个大海

正是因为有了这样地念头，唐三的笑容才充满了自信，昂阔步，此时此刻，他地身体和海神神殿相比虽然渺小，但他却已经将自己当成了这里的中心

海神大殿之内，两旁各有三十六根巨大的柱子支撑着大殿殿顶，中央一条宽达三百米的通道一直通向最内侧通道的尽头，是一张巨大的椅子，那张椅子上端坐着一个人，不，应该说是一个巨人

唐三停下了脚步，微微的愣了一下，那巨人看上去外貌与人类并没有什么区别，一件白色镶金边的长袍披在身上，头戴一个三叉圆环，圆环中央，镶嵌着一枚水蓝色的宝石他的身形看上去十分熟悉，就像是唐三曾经见过的，由海神之心释放出的海神神念所化身形只不过，那时候他看到的只是一个虚幻的身影，而此时看到的，却是一个真实的存在

海神？

海神面容古朴，算不上英俊，但却极为威严一双平和而略带严厉的目光注视着通道另一头走入的唐三，淡淡的光芒在他眼神中流转先前在外面已经感觉到的巨大压力，在这里变得更加强盛起来给唐三的感觉，就像他在经历海神第一考时踏入的海神之光似的只不过那时候他承受的是身体上的威压，而此时所承受的，却是来自灵魂深处的压力

您好，尊敬的海神大人真没想到，这传承的仪式竟然是您亲自主持唐三在短暂的惊讶过后立刻冷静下来

他秉承着存在既是合理的心态，平静的注视着通道尽头的海神，不卑不亢的说道

见到我，为何不拜？海神开口了，威严的声音充满了压迫力

唐三淡然道：我只是您的传承，却并不是您的仆人，为何要拜？

海神笑了，缓缓的从座位上站了起来，他这一站起来，顿时给人一种泰山压顶的感觉要知道，这位海神大人的身高足足超过了百米

你在因为波赛西的献祭而不满么？海神微笑着向唐三说道

唐三道：先不说波赛西前辈对我的帮助单是她为了守护您的神殿，守护海神岛所付出的一生，她最后却以献祭而结束自己的生命您认为，我应该有什么样的感觉呢？

唐三也知道，顶撞一个神，绝不是什么聪明的举动单是，一想到波赛西的死，他的心就充满了义愤

海神淡淡的道：她只是回到了我的怀抱，生又如何？死又如何？有的时候，一个人活着，甚至比死更加痛苦哪怕是神，也不例外

唐三冷笑一声，所以，你就决定了她的命运，是么？

海神摇头道：不，你错了是她自己决定了她的命运哪怕是神，也不能决定一个人的命运那是她的选择每个人都会有自己的选择，你也不例外你能来到这里，就是你的选择波赛西的祖先，乃是随我一同争战在大海中的臣下海神岛上原住民地祖先几乎都是如此他们守护着海神岛不只是为了等待你这个传承的到来，同时也是为了守护那一份记忆那是他们地选择，而并非是我的要求我留下的，只有通往这里的方法，却从未规定她必须要这么做只有当海神岛地大祭司认为这样做是值得的时候，才会如此选择你明白么？

唐三没想到海神会这样平静的向自己解释，是的，每个人都有自己地选择，这并没有错只是，波赛西的献祭却依旧不能领他释怀

海神又笑了，每个人的死亡，其实就是身体与灵魂的分离唐三，你告诉我对于一个人来说，是身体重要，还是灵魂更加重要？

唐三道：从某种意义上来说，身体应该算是灵魂的寄体，但是，如果没有身体的话，难道灵魂还会存在么？恐怕就会消散吧

海神点了点头，道：既然你明白这个道理，那我就很容易向你解释了没错，普通地人类死后，灵魂就会在短时间内消散哪怕是魂师也例外但是，波赛西在献祭之后，她的虽然死亡了，可她的灵魂却并不会消散她的灵魂，会在我的力量引导下，去到另一个世界凡是神死后，灵魂都会去地那个世界

神死后会去的世界？唐三有些茫然的看着海神

海神微微一笑，从来都不会有白白地付出波赛西的付出我又怎么会不知道呢？我能做地，就是赋予她灵魂永生的力量而灵魂永生，是神才能达到地她的身体虽然一生都没有达到神的境界，但在她死后，却能等同于神，你还认为她是白白的牺牲么？而且，波赛西的心意我知道你那曾祖在死时他的灵魂已经有一部份受到了神力的影响，我就帮了他一把，令他的灵魂也能继续生存下来这样一来虽然他们在人类世界已经死亡，但他们的灵魂却永远也不会分开那么，现在我问你，你认为波赛西是活着好，还是死了好呢？

这唐三目瞪口呆的看着海神，已经说不出话来，但可以肯定的一点是，他内心的义愤已经悄然消失了

你不是早就猜测过，神其实就是人的力量达到一定程度之后达到的境界么？没错，你的猜测很对所以，神其实也是人所以，神的生命也是有限的只不过和人类相比，要漫长的多当神死后，神的灵魂却并不会像人类那样消散，而是化为神魂神魂不会停留在人类世界，最多只能留下几个年头，而神魂本身，却要进入到另一个也必须进入另一个空间你可以将其理解为神界人界之间的通道是单向的，只有神魂才能进入神界，而人是不可能进入其中，神魂也不可能从那里离开的

说到这里，海神脸上流露出一丝无奈，如果可以转世**的话，其实我宁可不做神神界的生活和人界相比，要枯燥乏味的多你知道么？连我都有些羡慕波赛西，因为她所化的神魂可以在神界找到自己的爱人，并不孤单孤单才是最可怕的在神界，大家都是不死的神魂，力量根本就没有任何意义

唐三忍不住道：难道您就不能寻找一个自己的爱人么？

海神失笑道：你以为那么容易么？而且，现在的我也无法做到因为，我的神位还没有传承下去，并不是无牵无挂的神魂等待了这么久，我才选定了你你也没有让我失望，一直走到了这一步你很好，比我想象中还要好，我原本以为，你来到这里后见到我，会想尽一切办法传承了我的神位再说可你却因为波赛西的死而敢于挑战我的权威单是你这份性情，你就有资格传承我的力量了

唐三看向自己手中的海神三叉戟，可惜，我没有保护好海神之心您的神念不只一次救了我

海神叹息一声，道：当初在人间的时候，我的成神之路是最快的，用了一生的时间都在征服大海上等到了神界，我才感觉到了后悔因为我没有一个朋友能和我一样修炼到神级程度本来，你传承海神神诋之位，我是不应该和你相见地，但对我来说，这却是个难得的机会，能与人类交流幸好没让修罗神那家伙把你抢走传承神力，是极为痛苦地没有了神器的保护，你的身体很可能承受不住不过，你和普通人类不一样，你有两个武魂魂环配置更是令我也要感到惊讶，这就让你拥有了远超常人的身体条件不过，有一点我要提醒你在进行传承地时候，不能使用你那柄昊天锤的力量因为它已经被修罗神的神力浸透会影响到我的神力对你进行传承

你地传承分为八个部分，会经历不同的痛苦和考验以你的身体条件，是有机会成功的你要记住，不论经历怎样的痛苦，都一定要守住本心，只有信心不动摇，方能新的海神

如果此时千仞雪能看到眼前这一幕，一定会痛心疾同样是神诋传承，这待遇怎么就差那么多呢？当初她在传承地时候可没有任何人指点，天使之神的神魂更没有与她进行任何沟通虽然勉强传承完毕，但也因为心魔，多少出现了些瑕疵，更留下了唐三这个巨大的破绽在心中而此时的唐三，有了海神神魂的亲自指点，虽然海神说地并不多，但这一番交流，先就令唐三不会再因为波赛西的死和曾祖唐晨的死内心出现障碍，能够全心全意地进行传承，另一个，海神神魂也将整个传承的过程告诉了唐三，无会令唐三在传承时要少走弯路也更加坚定信心

如果说神诋传承也能走后门地话，唐三这肯定算得上当然，他并不知道千仞雪传承时的过程，自然也不可能知道自己这神诋传承竟然占了那么大地优势

不过，海神显然还认为自己的提示不够多，又补充了一句，哦，对了，忘记告诉你了你从深海魔鲸王脑袋里拿到的那个珠子，在最后那部分的传承要用上这样你能省却很多麻烦

听海神这么一说，唐三心中一动，赶忙问道：那我最后的传承是不是和三叉戟有关，那鲸珠是不是能够帮我复原它？

听了唐三这一问，海神脸色一变，先前的温和顿时消失了，是你接受传承还是我接受传承？少废话传承现在开始一边说着，海神的双眼突然亮了起来，就像是两颗太阳一般，唐三只觉得自己的灵魂仿佛被一下子吸了进去似的，周围的一切都变得不真实起来，空气中升腾起无数金色的雾气，甚至还有一个个金色的气泡，在那剧烈的扭曲中，他已悄然迷失

光影一闪，一团巨大的金色光球出现在海神胸前的位置，刹那间，光芒大放，整座海神神殿都剧烈的抖动起来，疯狂的律动中，就像是要净化所有的一切

嗡，迷失在金光中的唐三就在这巨大的金色光团爆中消失了，海神神殿也伴随着金光消散而恢复

海神长出口气，抹了抹额头上根本就不可能存在的汗水，看着唐三先前消失的地方，喃喃的自言自语道：这小子也太聪明了，幸好本神反应快，才没让他聪明反被聪明误哼哼，反正我什么明确的指示都没给他，就算是神界执法也怪不到我头上嘿嘿，嘿嘿嘿嘿

要是唐三看到眼前这个样子的海神，恐怕他会目瞪口呆的想起一个伙伴，此时海神脸上的笑容，就和大香肠叔叔奥斯卡笑的最猥琐的时候没什么两样哪还有一点先前那威严的样子

哼突然，一声冰冷的闷哼想起，整座海神殿都剧烈的震颤了一下，先前还一脸猥琐笑容的海神顿时警觉，笑容凝固，神的威严重现，转过身，凝视着海神神殿的入口处

一个与他同样巨大，却全身都包裹在暗红色魔纹中的身影缓缓走了进来他踏出的每一步，都会令这巨大无比的海神神殿为之颤抖暗红色的光芒围绕着他的身体，令人无法看清他的样子只能隐约看到，他身上穿着一件布满了暗红色魔纹的铠甲

整座海神殿内的空气仿佛凝固了似的，海神的脸色也变得有些难看，修罗，你跑到我这里来干什么？

被海神称作修罗地男人冷冷的道：波塞东，你自己干了什么，自己不清楚么？这个全身包裹在暗红色魔纹铠甲中地男人，声音竟然像是金铁交鸣般的铿锵，而且每一个字吐出，空气仿佛都要变得冰冷几分似的

海神不屑的撇了撇嘴，我根本不知道你在说什么

你在装糊涂修罗冷然道：你不但亲自降临传承之地，还给予传承指

试图降低他传承地难度你已经违背了神界的规则知道后果是什么违背神界规则，抹杀

海神脸色一变，声音同样变得冰冷起来，修罗，你少血口喷人不要以为你是神界执法就可以随便诬陷好神你哪只耳朵听到我给予降低传承难度的指点了？

修罗此时已经走到距离海神还有五步的地方，两个同样身材高大地神级强面对而立，先前你对那名叫唐三的人类说过什么，难道你自己忘了？

海神突然笑了，而且笑得比先前更加猥琐，哈哈，哈哈哈哈

修罗那血红色的双眼顿时变得更加寒冷，你笑什么？难道，你以为还能逃脱神界的制裁？

海神有些轻挑的看着修罗神，谁告诉你我说了那些就要受到制裁了？修罗，哥哥我做的一切，可都是在神界规则允许内地难道，你不知道传承有超限亲和度这一说法么？

超限亲和度？你是说，那唐三

不等修罗说完，海神已经抢着道：没错，唐三在通过我海神九考前面八考中，就拥有了百分之一百一十五的亲和度尽管因为他所掌握的海神之心破碎而令他自我感应只有百分之九十九亲和度但海神之心破碎却是因为天使之神传承的影响导致因为神级强导致亲和度无法正常评价，本身不受影响，超过百分之百，依旧按照实际亲和度计算，这一点你不会不知道吧？我的执法大人

修罗沉默了，显然，海神地话令他无法反驳

海神继续道：当传承在进行神诋传承之前，与传承之神的亲和度超过百分之百那么，在传承之时，传承之神的本尊神魂就可以来到传承之地对其进行一定程度地指点所以，我来到这里，可是完全在神界规则内允许的可是，据我所知，哪怕是身为执法，你也不能轻易离开神界来到这里才对吧传承之地虽然处于神界与人界中间，属于缓冲地带，但没有特殊情况，神也是不能来到这里地你是执法，竟然还知法犯法，小心我到神界委员会弹劾你

修罗冷冷的看着海神，不用逞口舌之利你刚才对唐三说地话我都听到了你敢说你的话没有超出允许范围么？你给他的指点已经过于明显了

海神强辩道：谁说我给他的指点过于明显我可是在他还没明白怎么回事的时候，就已经将他弄去接受传承了修罗啊修罗，别以为我不知道你为什么跑过来还不是为了唐三你自己的神力没能得到唐三身体的认可，被我的神力压制了，就想假公济私前来影响他的传承你肯定是打算，当唐三在传承海神神诋的时候，因为海神之心破碎，半途坚持不住，你正好出手相救，转而让他传承你的修罗神神诋，我说的对不对？我跟你说，你别做梦了这么多年了，我找这么个传承容易吗，我这边都完成了八考了，你突然跑出来想要摘桃子想都别想谁告诉你没有海神之心就不能传承了？无非就是危险一点而已而且，有件事你可能没想到当初那曾经给我带来过一些麻烦的小鲸鱼都被唐三杀死了，还获得了他的鲸珠，有了那东西，恢复海神之心也不是什么问题

修罗神冷冷的瞥了海神一眼，他能杀死深海魔鲸王是凭借你海神的力量？

呃海神这才想起，唐三杀死深海魔鲸王似乎有很大程度是因为杀神领域变异，引出了修罗神的力量，借助修罗神的强大杀戮气息，才彻底镇住了深海魔鲸王，从而制胜而实际上，就算唐三的海神亲和度超过了百分之百，海神也是可来可不来的可他知道修罗神有抢夺唐三的意思，这才屁颠屁颠的用最快速度赶了过来，就是不希望唐三在传承的时候出现什么问题，给修罗神抓到机会神的力量是不能干遇到人界的，永远都不能，只有成神时留在人界的一丝神念可以辅助被选完成考核，而且还绝不能徇私否则，海神早就动用自己的力量对付当时威胁到唐三生命的千仞雪了海神的想法是，先用最快速度帮助唐三完成海神传承，说起来也算是生米煮成熟饭，就算修罗神在神界地位崇高，也不可能再强行抢夺唐三了

就算当时借助了你的力量又如何？你明知道他是我的传承，还横插一杠子，修罗神大家都是主神，就算到神界委员会去告神状我也不怕你看什么看？不服气啊？别老用你那死鱼眼睛看我这里是我的海神殿，就算动手你也未必打得过我

修罗神并没有作，他的声音依旧是那种冰冷的金属铿锵，你是在和我说先来后到了？

海神挺起胸膛，没错总要有个先来后到吧你等唐三都完成了我的海神八考才钻出来想要抢人，身为执法，你这还不是知法犯法？

修罗神缓缓点了点头，好，那我就和你到神界委员会理论一下何为先来后到我只问你一句，唐三为何会在猎杀深海魔鲸王的时候能够动用我的力量？神界不可能将力量传递到人界，那是我给他的吗？波塞东，咱们神界委员会见

说完这句话，修罗神酷酷的转过身，直接朝着海神殿外走去

听了他的话，海神先是愣了一下，但很快就反应过来，忍不住爆了句粗口，我靠脸上的神色也顿时变得尴尬起来

他一直想的都是修罗神在唐三即将完成海神传承，继承自己神诋之位的时候突然跑出来摘桃子，可是，听了修罗神的提醒他才突然想起来，唐三那杀神领域好像是在自己的海神之心遇到他之前就已经有了那东西似乎本身就带着修罗神的气息也就是修罗神被选的特征-

滴一句：我就是海神，

2，如何最有效安全防御ddos

据美国最新的安全损失调查报告，DDoS攻击所造成的经济损失已经跃居第一传统的网络设备和周边安全技术，例如防火墙和IDSs(IntrusionDetectionSystems)，速率限制，接入限制等均无法提供非常有效的针对DDoS攻击的保护，需要一个新的体系结构和技术来抵御复杂的DDoS拒绝服务攻击

DDoS攻击揭秘DDoS攻击主要是利用了internet协议和internet基本优点无偏差地从任何的源头传送数据包到任意目的地DDoS攻击分为两种：要么大数据，大流量来压垮网络设备和服务器，要么有意制造大量无法完成的不完全请求来快速耗尽服务器资源

有效防止DDoS攻击的关键困难是无法将攻击包从合法包中区分出来：IDS进行的典型签名模式匹配起不到有效的作用；许多攻击使用源IP地址欺骗来逃脱源识别，很难搜寻特定的攻击源头

有两类最基本的DDoS攻击：●带宽攻击：这种攻击消耗网络带宽或使用大量数据包淹没一个或多个路由器，服务器和防火墙；带宽攻击的普遍形式是大量表面看合法的TC

P，UDP或ICMP数据包被传送到特定目的地；为了使检测更加困难，这种攻击也常常使用源地址欺骗，并不停地变化●应用攻击：利用TCP和HTTP等协议定义的行为来不断占用计算资源以阻止它们处理正常事务和请求

HTTP半开和HTTP错误就是应用攻击的两个典型例子

DDoS威胁日益致命DDoS攻击的一个致命趋势是使用复杂的欺骗技术和基本协议，如HTTP，Email等协议，而不是采用可被阻断的非基本协议或高端口协议，非常难识别和防御，通常采用的包过滤或限制速率的措施只是通过停止服务来简单停止攻击任务，但同时合法用户的请求也被拒绝，造成业务的中断或服务质量的下降；DDoS事件的突发性，往往在很短的时间内，大量的DDoS攻击数据就可是网络资源和服务资源消耗殆尽

现在的DDoS防御手段不够完善不管哪种DDoS攻击，，当前的技术都不足以很好的抵御现在流行的DDoS防御手段例如黑洞技术和路由器过滤，限速等手段，不仅慢，消耗大，而且同时也阻断有效业务如IDS入侵监测可以提供一些检测性能但不能缓解DDoS攻击，防火墙提供的保护也受到其技术弱点的限制其它策略，例如大量部署服务器，冗余设备，保证足够的响应能力来提供攻击防护，代价过于高昂

黑洞技术黑洞技术描述了一个服务提供商将指向某一目标企业的包尽量阻截在上游的过程，将改向的包引进黑洞并丢弃，以保全运营商的基础网络和其它的客户业务但是合法数据包和恶意攻击业务一起被丢弃，所以黑洞技术不能算是一种好的解决方案被攻击者失去了所有的业务服务，攻击者因而获得胜利路由器许多人运用路由器的过滤功能提供对DDoS攻击的防御，但对于现在复杂的DDoS攻击不能提供完善的防御

路由器只能通过过滤非基本的不需要的协议来停止一些简单的DDoS攻击，例如ping攻击这需要一个手动的反应措施，并且往往是在攻击致使服务失败之后另外，现在的DDoS攻击使用互联网必要的有效协议，很难有效的滤除路由器也能防止无效的或私有的IP地址空间，但DDoS攻击可以很容易的伪造成有效IP地址

基于路由器的DDoS预防策略在出口侧使用uRPF来停止IP地址欺骗攻击这同样不能有效防御现在的DDoS攻击，因为uRPF的基本原理是如果IP地址不属于应该来自的子网网络阻断出口业务然而，DDoS攻击能很容易伪造来自同一子网的IP地址，致使这种解决法案无效本质上，对于种类繁多的使用有效协议的欺骗攻击，路由器ACLs是无效的包括：●SY

N，SYN-AC

K，FIN等洪流

●服务代理因为一个ACL不能辨别来自于同一源IP或代理的正当SYN和恶意SYN，所以会通过阻断受害者所有来自于某一源IP或代理的用户来尝试停止这一集中欺骗攻击●DNS或BGP当发起这类随机欺骗DNS服务器或BGP路由器攻击时，ACLs类似于SYN洪流无法验证哪些地址是合法的，哪些是欺骗的

ACLs在防御应用层（客户端）攻击时也是无效的，无论欺骗与否，ACLs理论上能阻断客户端攻击例如HTTP错误和HTTP半开连接攻击，假如攻击和单独的非欺骗源能被精确的监测将要求用户对每一受害者配置数百甚至数千ACLs，这其实是无法实际实施的

防火墙首先防火墙的位置处于数据路径下游远端，不能为从提供商到企业边缘路由器的访问链路提供足够的保护，从而将那些易受攻击的组件留给了DDoS攻击此外，因为防火墙总是串联的而成为潜在性能瓶颈，因为可以通过消耗它们的会话处理能力来对它们自身进行DDoS攻击其次是反常事件检测缺乏的限制，防火墙首要任务是要控制私有网络的访问

一种实现的方法是通过追踪从内侧向外侧服务发起的会话，然后只接收不干净一侧期望源头发来的特定响应然而，这对于一些开放给公众来接收请求的服务是不起作用的，比如We

b，DNS和其它服务，因为黑客可以使用被认可的协议（如HTTP）第三种限制，虽然防火墙能检测反常行为，但几乎没有反欺骗能力其结构仍然是攻击者达到其目的

当一个DDoS攻击被检测到，防火墙能停止与攻击相联系的某一特定数据流，但它们无法逐个包检测，将好的或合法业务从恶意业务中分出，使得它们在事实上对IP地址欺骗攻击无效IDS入侵监测IDS解决方案将不得不提供领先的行为或基于反常事务的算法来检测现在的DDoS攻击但是一些基于反常事务的性能要求有专家进行手动的调整，而且经常误报，并且不能识别特定的攻击流

同时IDS本身也很容易成为DDoS攻击的牺牲者作为DDoS防御平台的IDS最大的缺点是它只能检测到攻击，但对于缓和攻击的影响却毫无作为IDS解决方案也许能托付给路由器和防火墙的过滤器，但正如前面叙述的，这对于缓解DDoS攻击效率很低，即便是用类似于静态过滤串联部署的IDS也做不到DDoS攻击的手动响应作为DDoS防御一部份的手动处理太微小并且太缓慢

受害者对DDoS攻击的典型第一反应是询问最近的上游连接提供者IS

P，宿主提供商或骨干网承载商尝试识别该消息来源对于地址欺骗的情况，尝试识别消息来源是一个长期和冗长的过程，需要许多提供商合作和追踪的过程即使来源可被识别，但阻断它也意味同时阻断所有业务好的和坏的其他策略为了忍受DDoS攻击，可能考虑了这样的策略，例如过量供应，就是购买超量带宽或超量的网络设备来处理任何请求

这种方法成本效益比较低，尤其是因为它要求附加冗余接口和设备不考虑最初的作用，攻击者仅仅通过增加攻击容量就可击败额外的硬件，互联网上上千万台的机器是他们取之不净的攻击容量资源有效抵御DDoS攻击从事于DDoS攻击防御需要一种全新的方法，不仅能检测复杂性和欺骗性日益增加的攻击，而且要有效抵御攻击的影响

完整的DDoS保护围绕四个关键主题建立：1．要缓解攻击，而不只是检测2．从恶意业务中精确辨认出好的业务，维持业务继续进行，而不只是检测攻击的存在3．内含性能和体系结构能对上游进行配置，保护所有易受损点4．维持可靠性和成本效益可升级性建立在这些构想上的DDoS防御具有以下保护性质：??通过完整的检测和阻断机制立即响应DDoS攻击，即使在攻击者的身份和轮廓不断变化的情况下

??与现有的静态路由过滤器或IDS签名相比，能提供更完整的验证性能??提供基于行为的反常事件识别来检测含有恶意意图的有效包??识别和阻断个别的欺骗包，保护合法商务交易??提供能处理大量DDoS攻击但不影响被保护资源的机制??攻击期间能按需求布署保护，不会引进故障点或增加串联策略的瓶颈点??内置智能只处理被感染的业务流，确保可靠性最大化和花销比例最小化

??避免依赖网络设备或配置转换??所有通信使用标准协议，确保互操作性和可靠性最大化完整DDoS保护解决技术体系基于检测，转移，验证和转发的基础上实施一个完整DDoS保护解决方案来提供完全保护，通过下列措施维持业务不间断进行：1．时实检测DDoS停止服务攻击攻击2．转移指向目标设备的数据业务到特定的DDoS攻击防护设备进行处理

3．从好的数据包中分析和过滤出不好的数据包，阻止恶意业务影响性能，同时允许合法业务的处理4．转发正常业务来维持商务持续进行

ddos(distributeddenialofservice，分布式拒绝服务)攻击的主要手段是通过大于管道处理能力的流量淹没管道或通过超过处理能力的任务使系统瘫痪，所以理论上只要攻击者能够获得比目标更强大的动力，目标是注定会被攻陷的对于ddos攻击来说并没有100%有效的防御手段

但是由于攻击者必须付出比防御者大得多的资源和努力才能拥有这样的动力，所以只要我们更好的了解ddos攻击，积极部署防御措施，还是能够在很大程度上缓解和抵御这类安全威胁的增强防御力对抗ddos攻击一个很重要的要素就是增强自身的防御能力使用更大的带宽及提升相关设备的性能是面对ddos攻击最直接的处理方法

虽然这必定需要耗用一定的资源，但是对于那些将生存寄托于这些在线系统的企业来说，进行这种投入是具备足够理由的只是在执行这类硬性增幅的时候，我们需要把握适度的原则因为我们的资源是有限的，如果增加100%的投入仅能在相关性能及ddos防御力上获得10%的提升，明显是一种得不偿失的处理方式，毕竟这并不是我们仅有的选择

而且攻击者的资源同样是有限的，在我们增加防御强度的同时，就意味着攻击者必须集合比原来多得多的攻击傀儡机来实施攻击，并且会提高攻击者暴露的风险不过应该记住的是，真正有效的ddos防御并不是陷入与攻击者角力的恶性循环当中，而是应该综合各种方法，为攻击者设置足够的障碍目标系统处理攻击者的最终目标可能是一台主机，也可能是一台网络设备

除了对其目标的硬件能力进行增强之外，我们同样应该充分发挥系统自身的潜能，通过对目标系统的针对性处理，可以有效地放大现有资源的能量最基本的任务是做好更新补丁的工作特别是一些操作系统的通讯协议堆栈存在着问题，很容易成为拒绝服务攻击的利用对象因为利用漏洞实施拒绝服务攻击相对于纯粹的设施能力比拼要容易的多如果不能保证消除明显可被拒绝服务攻击利用的漏洞，其它的防御工作将只能成为摆设

好在现在各类系统的补丁更新速度还是比较令人满意的，只要根据自身环境的情况注意对相关系统的补丁发布情况进行跟踪就可以了一些经常被使用的方法还包括限制连接队列的长度以及减少处理延时等前者可以缓解系统资源的耗尽，虽然不能完全避免拒绝服务的发生，但是至少在一定程度上降低了系统崩溃的可能性

而后者能够加强系统的处理能力，通过减少延时，我们可以以更快的速度抛弃队列里等待的连接，而不是任其堆满队列;不过这种方法也不是在所有情况下都有效，因为很多ddos的攻击机制并不是建立在类似synflood这样以畸形连接淹没队列的方式之上纵深防御攻击者和目标通常并非直接相连，两者之间要经过很多网络节点才能进行通信所以我们可以在受保护系统之前尽可能部署有效的屏障，以缓解系统的压力

设置屏障最主要的工具就是防火墙，先进的防火墙产品能够有效识别和处理数据包的深层内容，这样有助于我们设置更加细致的过滤现在有很多防火墙产品集成了反ddos功能，进一步提高了对常见ddos攻击包的识别能力这样的产品可以在很大程度上增强ddos防御能力，并且可以做到不对数据包进行完全检查就可以发现恶意行为

这是非常有帮助的能力，因为如果判断ddos攻击所耗费的处理越少，就越不容易被耗尽处理能力，从而极大的增加攻击者的成本包括很多路由器产品在内的网络设备都具备一些_blankgt;防火墙功能，我们应该尽可能充分的利用特别是路由器本身负责对数据流进行导向，应尽可能将其置于前哨位置

这样既可以起到御敌于千里之外的作用，又可以灵活地将攻击包导向到其它无害的位置甚至化攻击于虚无当然，攻击者对这些防御层也会有或浅或深的体认，不会一味地以目标系统作为惟一的打击点，他们很可能会在受到这些设施的阻挠之后转而组织针对这些设施的攻击，这就需要我们动态的对防御设施进行调整，随机应变

3，请问:什么是缓冲区益出啊?

缓冲区溢出是当前一些软件存在的最常见的安全隐患之一，通过提供一个恶意的输入黑客可以改变进程的执行流程，缓冲区溢出能够威胁到整个进程，机器，甚至相关的系统领域如果运行的进程是在权限比较高的用户下面，比如administrator或者本地的系统帐户(LocalSystemAccount),那么黑客破坏所导致的损失将会很严重而且将会面临更广泛的潜在危胁最近时期爆发的一些众所周知的病毒像，红色代码病毒和震荡波蠕虫病毒，都是C/C++代码里存在着缓冲区溢出的结果

1.什么是缓冲区溢出?

bufferoverflow,bufferoverrun,smashthestack,trashthestack,

scribblethestack,manglethestack,spam,aliasbug,fandangooncore,

memoryleak,precedencelossage,overrunscrew...

指的是一种系统攻击的手段，通过往程序的缓冲区写超出其长度的内容，造成缓冲区的溢出，从而破坏程序的堆栈，使程序转而执行其它指令，以达到攻击的目的据统计，通过缓冲区溢出进行的攻击占所有系统攻击总数的80%以上造成缓冲区溢出的原因是程序中没有仔细检查用户输入的参数

2.制造缓冲区溢出

一个程序在内存中通常分为程序段，数据端和堆栈三部分程序段里放着程序的机器码和只读数据数据段放的是程序中的静态数据动态数据则通过堆栈来存放在内存中，它们的位置是:

+------------------+内存低端

|程序段|

|------------------|

|数据段|

|------------------|

|堆栈|

+------------------+内存高端

当程序中发生函数调用时，计算机做如下操作：首先把参数压入堆栈；然后保存指令寄存器(IP)中的内容做为返回地址(RET)；第三个放入堆栈的是基址寄存器(FP)；然后把当前的栈指针(SP)拷贝到FP，做为新的基地址；最后为本地变量留出一定空间，把SP减去适当的数值

3.通过缓冲区溢出获得用户SHELL

如果在溢出的缓冲区中写入我们想执行的代码，再覆盖返回地址(ret)的内容，使它指向缓冲区的开头，就可以达到运行其它指令的目的

低内存端buffersfpret*str高内存端

lt;-----]]]]

栈顶^|栈底

|________________________|

通常，我们想运行的是一个用户shell

4.利用缓冲区溢出进行的系统攻击

如果已知某个程序有缓冲区溢出的缺陷，如何知道缓冲区的地址，在那儿放入shell代码呢？由于每个程序的堆栈起始地址是固定的，所以理论上可以通过反复重试缓冲区相对于堆栈起始位置的距离来得到但这样的盲目猜测可能要进行数百上千次，实际上是不现实的解决的办法是利用空指令NOP在shell代码前面放一长串的NOP，返回地址可以指向这一串NOP中任一位置，执行完NOP指令后程序将激活shell进程这样就大大增加了猜中的可能性

三.缓冲区溢出的保护方法

目前有四种基本的方法保护缓冲区免受缓冲区溢出的攻击和影响在3.1中介绍了强制写正确的代码的方法在3.2中介绍了通过操作系统使得缓冲区不可执行，从而阻止攻击者殖入攻击代码这种方法有效地阻止了很多缓冲区溢出的攻击，但是攻击者并不一定要殖入攻击代码来实现缓冲区溢出的攻击(参见2.1节)，所以这种方法还是存在很弱点的在3.3中，我们介绍了利用编译器的边界检查来实现缓冲区的保护这个方法使得缓冲区溢出不可能出现，从而完全消除了缓冲区溢出的威胁，但是相对而言代价比较大在3.4中我们介绍一种间接的方法，这个方法在程序指针失效前进行完整性检查这样虽然这种方法不能使得所有的缓冲区溢出失效，但它的的确确阻止了绝大多数的缓冲区溢出攻击，而能够逃脱这种方法保护的缓冲区溢出也很难实现然后在3.5，我们要分析这种保护方法的兼容性和性能优势(与数组边界检查)

3.1编写正确的代码

编写正确的代码是一件非常有意义但耗时的工作，特别象编写C语言那种具有容易出错倾向的程序(如:字符串的零结尾)，这种风格是由于追求性能而忽视正确性的传统引起的尽管花了很长的时间使得人们知道了如何编写安全的程序，具有安全漏洞的程序依旧出现因此人们开发了一些工具和技术来帮助经验不足的程序员编写安全正确的程序

最简单的方法就是用grep来搜索源代码中容易产生漏洞的库的调用，比如对strcpy和sprintf的调用，这两个函数都没有检查输入参数的长度事实上，各个版本C的标准库均有这样的问题存在

为了寻找一些常见的诸如缓冲区溢出和操作系统竞争条件等漏洞，代码检查小组检查了很多的代码然而依然有漏网之鱼存在尽管采用了strncpy和snprintf这些替代函数来防止缓冲区溢出的发生，但是由于编写代码的问题，仍旧会有这种情况发生比如lprm程序就是最好的例子，虽然它通过了代码的安全检查，但仍然有缓冲区溢出的问题存在

为了对付这些问题，人们开发了一些高级的查错工具，如faultinjection等这些工具的目的在于通过人为随机地产生一些缓冲区溢出来寻找代码的安全漏洞还有一些静态分析工具用于侦测缓冲区溢出的存在

虽然这些工具帮助程序员开发更安全的程序，但是由于C语言的特点，这些工具不可能找出所有的缓冲区溢出漏洞所以，侦错技术只能用来减少缓冲区溢出的可能，并不能完全地消除它的存在除非程序员能保证他的程序万无一失，否则还是要用到以下3.2到3.4部分的内容来保证程序的可靠性能

3.2非执行的缓冲区

通过使被攻击程序的数据段地址空间不可执行，从而使得攻击者不可能执行被殖入被攻击程序输入缓冲区的代码，这种技术被称为非执行的缓冲区技术事实上，很多老的Unix系统都是这样设计的，但是近来的Unix和MSWindows系统由于实现更好的性能和功能，往往在在数据段中动态地放入可执行的代码所以为了保持程序的兼容性不可能使得所有程序的数据段不可执行

但是我们可以设定堆栈数据段不可执行，这样就可以最大限度地保证了程序的兼容性Linux和Solaris都发布了有关这方面的内核补丁因为几乎没有任何合法的程序会在堆栈中存放代码，这种做法几乎不产生任何兼容性问题，除了在Linux中的两个特例，这时可执行的代码必须被放入堆栈中:

信号传递:

Linux通过向进程堆栈释放代码然后引发中断来执行在堆栈中的代码来实现向进程发送Unix信号非执行缓冲区的补丁在发送信号的时候是允许缓冲区可执行的

GCC的在线重用:

研究发现gcc在堆栈区里放置了可执行的代码作为在线重用之用然而，关闭这个功能并不产生任何问题，只有部分功能似乎不能使用

非执行堆栈的保护可以有效地对付把代码殖入自动变量的缓冲区溢出攻击，而对于其他形式的攻击则没有效果(参见2.1)通过引用一个驻留的程序的指针，就可以跳过这种保护措施其他的攻击可以采用把代码殖入堆或者静态数据段中来跳过保护

3.3数组边界检查

殖入代码引起缓冲区溢出是一个方面，扰乱程序的执行流程是另一个方面不象非执行缓冲区保护，数组边界检查完全放置了缓冲区溢出的产生和攻击这样，只要数组不能被溢出，溢出攻击也就无从谈起为了实现数组边界检查，则所有的对数组的读写操作都应当被检查以确保对数组的操作在正确的范围内最直接的方法是检查所有的数组操作，但是通常可以采用一些优化的技术来减少检查的次数目前有以下的几种检查方法:

3.3.1CompaqC编译器

Compaq公司为AlphaCPU开发的C编译器(在Tru64的Unix平台上是cc，在AlphaLinux平台上是ccc)支持有限度的边界检查(使用-check_bounds参数)这些限制是:

只有显示的数组引用才被检查，比如a3]会被检查，而*(a+3)则不会

由于所有的C数组在传送的时候是指针传递的，所以传递给函数的的数组不会被检查

带有危险性的库函数如strcpy不会在编译的时候进行边界检查，即便是指定了边界检查

由于在C语言中利用指针进行数组操作和传递是如此的频繁，因此这种局限性是非常严重的通常这种边界检查用来程序的查错，而且不能保证不发生缓冲区溢出的漏洞

3.3.2Jonesamp;Kelly:C的数组边界检查

RichardJones和PaulKelly开发了一个gcc的补丁，用来实现对C程序完全的数组边界检查由于没有改变指针的含义，所以被编译的程序和其他的gcc模块具有很好的兼容性更进一步的是，他们由此从没有指针的表达式中导出了一个基指针，然后通过检查这个基指针来侦测表达式的结果是否在容许的范围之内

当然，这样付出的性能上的代价是巨大的:对于一个频繁使用指针的程序如向量乘法，将由于指针的频繁使用而使速度比本来慢30倍

这个编译器目前还很不成熟;一些复杂的程序(如elm)还不能在这个上面编译，执行通过然而在它的一个更新版本之下，它至少能编译执行ssh软件的加密软件包其实现的性能要下降12倍

3.3.3Purify:存储器存取检查

Purify是C程序调试时查看存储器使用的工具而不是专用的安全工具Purify使用目标代码插入技术来检查所有的存储器存取通过用Purify连接工具连接，可执行代码在执行的时候数组的所有引用来保证其合法性这样带来的性能上的损失要下降3-5倍

3.3.4类型-安全语言

所有的缓冲区溢出漏洞都源于C语言缺乏类型安全如果只有类型-安全的操作才可以被允许执行，这样就不可能出现对变量的强制操作如果作为新手，可以推荐使用具有类型-安全的语言如Java和ML

但是作为Java执行平台的Java虚拟机是C程序，因此通过攻击JVM的一条途径是使JVM的缓冲区溢出因此在系统中采用缓冲区溢出防卫技术来使用强制类型-安全的语言可以收到意想不到的效果

3.4程序指针完整性检查

程序指针完整性检查和边界检查由略微的不同与防止程序指针被改变不同，程序指针完整性检查在程序指针被引用之前检测到它的改变因此，即便一个攻击者成功地改变了程序的指针，由于系统事先检测到了指针的改变，因此这个指针将不会被使用

与数组边界检查相比，这种方法不能解决所有的缓冲区溢出问题;采用其他的缓冲区溢出方法就可以避免这种检测但是这种方法在性能上有很大的优势，而且在兼容性也很好

程序完整性检查大体上有三个研究方向在3.4.1中会介绍Snarskii为FreeBSD开发了一套定制的能通过监测cpu堆栈来确定缓冲区溢出的libc在3.4.2中会介绍我们自己的堆栈保护方法所开发的一个编译器，它能够在函数调用的时候自动生成完整性检测代码最后在3.4.3，我们介绍正在开发中的指针保护方法，这种方法类似于堆栈保护，它提供对所有程序指针的完整性的保护

3.4.1手写的堆栈监测

Snarskii为FreeBSD开发了一套定制的能通过监测cpu堆栈来确定缓冲区溢出的libc这个应用完全用手工汇编写的，而且只保护libc中的当前有效纪录函数这个应用达到了设计要求，对于基于libc库函数的攻击具有很好的防卫，但是不能防卫其它方式的攻击

3.4.2堆栈保护:编译器生成的有效纪录完整性检测

堆栈保护是一种提供程序指针完整性检查的编译器技术，通过检查函数活动纪录中的返回地址来实现堆栈保护作为gcc的一个小的补丁，在每个函数中，加入了函数建立和销毁的代码加入的函数建立代码实际上在堆栈中函数返回地址后面加了一些附加的字节而在函数返回时，首先检查这个附加的字节是否被改动过如果发生过缓冲区溢出的攻击，那么这种攻击很容易在函数返回前被检测到

但是，如果攻击者预见到这些附加字节的存在，并且能在溢出过程中同样地制造他们，那么他就能成功地跳过堆栈保护的检测通常，我们有如下的两种方案对付这种欺骗:

终止符号:

利用在C语言中的终止符号如0(null)，CR，LF，-1(EOF)等不能在常用的字符串函数中使用，因为这些函数一旦遇到这些终止符号，就结束函数过程了

随机符号:

利用一个在函数调用时产生的一个32位的随机数来实现保密，使得攻击者不可能猜测到附加字节的内容而且，每次调用，附加字节的内容都在改变，也无法预测

通过检查堆栈的完整性的堆栈保护法是从Synthetix方法演变来的Synthetix方法通过使用准不变量来确保特定变量的正确性这些特定的变量的改变是程序实现能预知的，而且只能在满足一定的条件才能可以改变这种变量我们称为准变量Synthetix开发了一些工具用来保护这些变量

攻击者通过缓冲区溢出而产生的改变可以被系统当做非法的动作在某些极端的情况下，这些准不变量有可能被非法改变，这是就需要堆栈保护来提供更完善的保护了

实验的数据表明，堆栈保护对于各种系统的缓冲区溢出攻击都有很好的保护作用，并能保持较好的兼容性和系统性能随后，我们用堆栈保护的方法重新构造了一个完整的Linux系统(RedHat5.1)然后我们用XFree86-3.3.2-5和lsof的漏洞对此进行了攻击，结果表明，这个系统有效地抵御了这些攻击这些分析表明，堆栈保护能有效抵御现在的和将来的基于堆栈的攻击

堆栈保护版本的RedHatLinux5.1已经在各种系统上运行了多年，包括个人的笔记本电脑和工作组文件服务器从我们的Web服务器上可以得到这个版本，而且在我们的邮件列表里已经有了55个成员出了仅有的一次例外，这个系统和本来的系统工作完全一样，这表明堆栈保护并不对系统的兼容性构成很大的影响

我们已经用各种性能测试来评测堆栈保护的性能Mircobenchmarks的结果表明在函数的调用，堆栈保护中增加了系统的

开销而在网络的测试中(需要用到堆栈保护的地方)，则表明这种开销不是很大

我们的第一个测试对象是SSH，它提供了极强的加密和认证，用来替代Berkeley的r系列指令SSH使用了软件加密，因此系统的占用的带宽不大，我们用网络间复制一个大的文件来测试带宽:

scpbigsourcelocalhost:bigdest

测试结果表明:堆栈保护几乎不影响SSH的网络吞吐性能

第二个测试使用了ApacheWeb服务器如果这种服务器存在基于堆栈的攻击，那么攻击者就可以轻易地取得Web服务器的控制权，允许攻击者阅读隐秘的内容和肆意篡改主页的内容同时，Web服务器也是对性能和带宽要求较高的一个服务器部件

我们用WebStone对带有和不带堆栈保护的ApacheWeb服务器进行了测试

和SSH一样，他们的性能几乎没有区别在客户数目较少的情况下，带有保护的服务器性能比不带保护的略微好些，在客户端数目多的时候，不带保护的性能好些在最坏的情况下，带保护的服务器比不带保护的要差8%的连接性能，而在平均延时上保持优势象以前一样，我们把这些归结为噪声的影响因此，我们的结论是:堆栈保护对Web服务器系统性能没有重大的影响

3.4.3指针保护:编译器生成程序指针完整性检查

在堆栈保护设计的时候，冲击堆栈构成了缓冲区溢出攻击的常见的一种形式有人推测存在一种模板来构成这些攻击(在1996年的时候)从此，很多简单的漏洞被发现，实施和补丁了，很多攻击者开始用在第二部分中描述的更一般的方法实施缓冲区溢出攻击

指针保护是堆栈保护针对这种情况的一个推广通过在所有的代码指针之后放置附加字节来检验指针在被调用之前的合法性如果检验失败，会发出报警信号和退出程序的执行，就如同在堆栈保护中的行为一样这种方案有两点需要注意:

附加字节的定位:

附加字节的空间是在被保护的变量被分配的时候分配的，同时在被保护字节初始化过程中被初始化这样就带来了问题;为了保持兼容性，我们不想改变被保护变量的大小，因此我们不能简单地在变量的结构定义中加入附加字还有，对各种类型也有不同附加字节数目

检查附加字节:

每次程序指针被引用的时候都要检查附加字节的完整性这个也存在问题;因为从存取器读在编译器中没有语义;编译器更关心指针的使用，而各种的优化算法倾向于从存储器中读入变量

还有随着不同类型的变量，读入的方法也各自不同

我们已经开发了指针保护的一个原型(还是基于gcc的)，通过附加字节来保护静态分配的函数指针，但不适用于结构和数组类型这个计划还远没有完成一旦这个项目完成了，那么用它和堆栈保护构成的可执行代码将不会受到缓冲区溢出的攻击了

目前为止，只有很少一部分使用非指针变量的攻击能逃脱指针保护的检测但是，可以通过在编译器上强制对某一变量加入附加字节来实现检测，这时需要程序员自己手工加入相应的保护了

3.5兼容性和性能的考虑

程序指针完整性检查与边界检查相比，并不能防止所有的缓冲区溢出问题然而在执行的性能和兼容性上具有相当的优势:

性能:

边界检查必须在每个数组元素操作时完成一次检查相比之下，程序指针检查只在被引用的时候实现检查无论在C还是在C++中，这种花在程序指针引用上的开销始终比数组的指针引用小

应用效能:

边界检查最难实现之处在于在C语言中，很能确定数组的边界这是由于在C中，数组的概念和通用指针的混用造成的由于一个指针是一个独立的对象，没有与特定的边界条件关联，只有一个系统的机器字来存储它，而标识边界信息的数据却没有存放因此需要特殊的方法来恢复这些信息;数组的引用将不在是一个简单的指针，而是一个对缓冲区描述的指针组

与现有代码的兼容性:

一些边界检查方法为了与现有的代码保持兼容而在系统的性能上得到了损失而另一些则用别的方法达到目的这样就打破的传统的C的转换规则，转而产生了一类新的C编译器，只能编译C的一个子集，有的还不能使用指针或者需要别的改变

四有效的组合

在这里我们研究，比较在第二部分描述的各种漏洞攻击和在第三部分描述的防卫方法，以此来确定何种组合能完全消除缓冲区溢出问题但是我们没有把边界检查计算在内，因为它能有效地防止所有的缓冲区溢出，但是所需的开销也是惊人的

最普通的缓冲区溢出形式是攻击活动纪录然后在堆栈中殖入代码这种类型的攻击在1996年中有很多纪录而非执行堆栈和堆栈保护的方法都可以有效防卫这种攻击非执行堆栈可以防卫所有把代码殖入堆栈的攻击方法，堆栈保护可以防卫所有改变活动纪录的方法这两种方法相互兼容，可以同时防卫多种可能的攻击

剩下的攻击基本上可以用指针保护的方法来防卫，但是在某些特殊的场合需要用手工来实现指针保护全自动的指针保护需要对每个变量加入附加字节，这样使得指针边界检查在某些情况下具有优势

最为有趣的是，第一个缓冲区溢出漏洞--Morris蠕虫使用了现今所有方法都无法有效防卫的方法，但是却很少有人用到，也许是这种方法过于复杂的缘故吧

五.结论

在本文中，我们详细描述和分析了缓冲区溢出的攻击和防卫方法由于这种攻击是目前常见的攻击手段，所以进行这个方面的研究工作是有意义和成效的研究的结果表明，堆栈保护方法和非执行缓冲区方法对于当前绝大多数的攻击都能有效地防御，指针保护的方法可以对剩下的攻击进行有效的防御最后声明的是对于Morris蠕虫的攻击，迄今还没有有效的防御手段