基于互联网衍生出来的云计算、大数据、物联网、移动计算等新技术与新模式，深刻地影响着网络世界的变革。在这样的大背景下，网络安全面临的威胁也在不断变化与升级。其中，DDoS 攻击和 Web 应用攻击是当今互联网面临的较为突出的两大安全威胁。从攻击手段和攻击目的来看，二者截然不同，但二者往往不是相互独立的，而是紧密联系的，可以简单认为 DDoS 攻击和Web 应用攻击分别处于攻击链中的不同环节，而僵尸网络(Botnet)就是二者联系的“桥梁”。
从单个的 Web 应用攻击事件来看，针对某一 Web 站点的扫描、注入、利用已知漏洞渗透等一系列的攻击行为， 可能是攻击者为了获取该站点的权限，并进一步获取机密数据，又或者作为攻击企业网络中其他重要基础设施的跳板。但很多攻击者并不仅满足于此，他们常常在获取服务器权限后，种下 Botnet 恶意程序， 构建属于自己的僵尸网络大军。僵尸网络作为黑客进一步谋利的工具，经常被用于进行 DDoS 攻击，挖矿，扫描，点击欺诈，发送垃圾邮件等活动。针对某些服务器或 Web 应用漏洞的扫描又是感染并控制主机的第一步，攻击者经常利用已经被感染的设备在网络中发起扫描以发现更多待感染目标。
DDoS 攻击、挖矿活动是攻击者能够直接谋利的活动，通常是处于攻击链的最后一个环节。2017 年10月份爆发的 WebLogic XMLDecoder 反序列化漏洞(CVE-2017-10271)，在爆出不久后就有黑客利用该漏洞在 Weblogic 主机间传播感染僵尸程序用于挖矿。又如，2017 年爆出的物联网僵尸网络变种 IoT_ reaper，利用了多个物联网相关的漏洞构建僵尸网络，其中之一就是某些网络摄像头存在的 Goahead Web Server 漏洞(CVE-2017-8221 到 CVE-2017-82215)而 IoT_reaper 僵尸网络的一个重要功能就是DDoS 攻击。
本报告将 DDoS 攻击和 Web 应用攻击态势一同发布，力求给网络安全相关从业人员一些参考，以便抛砖引玉，帮助组织及机构持续改善自身网络安全防御技术及体系。