DDoS 压力测试服务商和打压服务有什么区别？

打压服务（booter/stresser）把攻击流量卖给任何付钱的人，不核实买家是否拥有目标。正规的 DDoS 压力测试服务商会核实资产归属，在书面授权与测试规则下进行，与您的防护商和云平台协调，并交付一份关于防御表现的报告。流量可能长得一样，不同的是授权、控制和交付物。

DDoS 压力测试报价应该包含什么？

至少包括：点名的目标与攻击层范围、由资产所有者签署的书面授权、流量上限与测试窗口、带指定叫停人的停止条件、通知您的 DDoS 防护商与云平台的方案，以及记录缓解表现的报告。只写每 G 单价和时长的报价，缺了让测试安全的大部分东西。

压测前需要告诉我的 DDoS 防护商吗？

几乎总是需要。云平台和防护商都公布了测试政策，未经通知的类攻击流量可能被当作事件处理或违反服务条款。通知应是服务商流程里的既定步骤，而不是留给您自己去做。

怎么确保压测不会把生产环境打挂？

无法百分之百确保，所以合同要为此做安排：分级加压而不是一上来全力，约定好停止条件并指定能立即叫停的人，准备回滚或沟通预案。对着预发环境测可以消除风险，但也测不到想测的东西，所以多数团队选择受控的生产环境测试。

DDoS 压力测试结束后应该拿到什么？

一份按攻击向量展开的报告：哪些流量到达了源站、防护层吸收了多少、检测与缓解分别用了多久才生效、以及应该改什么。一个“通过／不通过”的结论或一张峰值流量截图，不算交付物。

选 DDoS 压力测试服务商：授权测试，还是打压服务？

简短回答

搜"DDoS 压测"会搜出两种完全不同的卖家：对您自有基础设施做授权测试的公司，以及把攻击流量卖给任何付钱者的打压服务（booter / stresser）。两者打出来的流量可能长得一样，区别在授权、控制、以及事后您拿到什么。一份报价如果不包含这三样，不管它自称什么，都不是测试项目。

这篇文章写给谁

写给博彩平台、加密货币交易所或金融科技公司的基础设施负责人、CISO 或合规负责人——老板说"把我们的 DDoS 防护压一压"，您正在比报价。这篇默认您已经知道为什么要测。亚洲中文圈里"压测""打压""测压"这些词常被混用，Telegram 群和论坛里按小时卖流量的"压测服务"尤其多，所以分辨卖家比在其他市场更要紧。

为什么搜索结果是混的

"压力测试"这个词两边都在用。打压服务自称压测，因为这个标签听起来合法；正规公司用它，因为买家搜的就是这个词。于是一页搜索结果里，按小时付费的攻击面板可能就排在专业服务公司旁边。

对不属于您、或未获授权测试的基础设施发起攻击流量，在绝大多数司法辖区都是违法的；雇了一个不核实归属的服务，买家自己也被暴露：您的合同可能是唯一能证明"谁授权了什么"的记录。对持牌运营商来说，一个没经核实的供应商还是一个第三方风险问题，不只是技术问题——牌照方做尽调时会问到。

判断对方是测试服务商的五个信号

看什么	正规服务商怎么做	危险信号
归属核实	问清域名、IP 段和云账号由谁控制，并要求书面确认	您输入什么目标它都接
书面授权	发出任何流量之前，先签署授权书与测试规则（ROE）	付款加一张目标表单就是全部流程
明确范围	点名目标、攻击层以及排除项	"无限次测试"，没有排除项
控制手段	流量上限、分级加压、测试窗口、指定叫停人	一个开始按钮和一个时长
交付物	一份关于您防御表现的报告	一个显示"已发送流量"的仪表盘

报价必须包含什么

每 G 单价加时长不足以比较报价。让每家服务商把下面这些写进书面文件：

范围。 哪些主机名、IP 段和层（网络层、传输层、应用层）在范围内、哪些不在。应用层场景和容量型场景的表现完全不同。
授权与归属。 谁为资产签字；第三方托管的组件（CDN、云、支付通道）如何处理。不属于您的组件，需要所有者的许可，而不是您的。
与防护商和托管商的协调。 云平台和防护商都公布了测试政策，有的要求提前报备。这一步应该内置在服务商的流程里。
安全控制。 流量上限、分级加压、避开业务高峰（开赛、行情剧烈波动时段）的测试窗口，以及双方各一名在测试期间随时可联系、能立即叫停的人。
流量来源与行为。 流量是否由服务商自己控制的基础设施发出，是否可能波及约定目标之外的任何东西。
数据处理。 测试期间采集什么、存在哪里、何时删除。
交付物。 按向量展开的报告：什么到达了源站、防护吸收了什么、检测与缓解各用了多久生效，以及后续修复优先级。

如果报价缺了第 2、3 或 4 项，当它不完整，而不是便宜。

博彩平台夜班运维台：一份签了字的测试授权规则文件压在桌上，旁边是一只带护盖的物理叫停开关和一部电话，开关的指示环是画面里唯一的颜色。 — 签过字的授权书和一个随时能按下的叫停开关，是测试和攻击之间的分界线。报价里没有这两样，再便宜也不是测试。

比"能学到什么"，别比"流量多大"

服务商常常以峰值流量开场。对持牌业务来说，峰值很少是真正的问题；有用的问题是：面对您真正可能遭遇的攻击形态，您的防护是否正确启动，以及防护没启动时您的团队知不知道该做什么。一个设计精巧的小型应用层场景，可能暴露出大流量容量型测试永远碰不到的限速漏洞，反之亦然。问服务商会对您的架构跑哪些场景、为什么，对只会报一个更大数字的推销保持警惕。

对持牌运营商，报告还得经得起审核方的审阅。向牌照方或合作银行提交的证据需要绑定一个明确定义的范围，而不是一张峰值截图。

第一次通话要问的问题

发出第一个数据包之前，我们公司谁必须签字？你们怎么核实这个人有权签？
我们哪些第三方组件需要你们另行取得许可？由谁去申请？
你们加压时最大的一级是多少？什么情况下会停？
如果我们的防护商发出告警，谁去跟他们沟通？
报告里能看到什么是流量图上看不到的？

回答得又快又具体是好迹象。在授权或停止条件上含糊其辞，就是转身离开的信号。

局限

本文是买方框架，不是法律意见，也不描述如何实施攻击。一次测试是否合法取决于您所在的司法辖区、您与托管及防护商的合同、以及范围内每个组件的归属；签字前请咨询法律顾问和服务商。本文也不给厂商排名，不宣称任何服务商的结果。

下一步

把候选服务商的报价对着上面七项并排放好，标出缺什么。如果需要有人帮您审一遍范围或授权文件草稿，请查看 AnySec 的 DDoS 压力测试服务页，通过联系表单发起一次有范围、有授权的测试，并带上您手里已有的报价。