|
| |
 精品推荐 |
 |
|
| |
|
|
|
|
SYN flood攻击的原理及其防御
|
日期：2005年11月24日 作者： 查看:[大字体
中字体 小字体]
|
摘要介绍了SYN Flood攻击的基本原理，详细地描述了目前几种比较有效的两种防御措施：SYN－cookie技术和地址状态监控技术。
关键词SYN Flood攻击拒绝服务攻击SYN cookie
1 SYN Flood攻击介绍
拒绝服务攻击（Denial of Service，DoS）是目前比较有效而又非常难于防御的一种网络攻击方式，它的目的就是使服务器不能够为正常访问的用户提供服务。所以，DoS对一些紧密依靠互联网开展业务的企业和组织带来了致命的威胁。
SYN Flood是最为有效和流行的一种DoS攻击形式。它利用TCP三次握手协议的缺陷，向目标主机发送大量的伪造源地址的SYN连接请求，消耗目标主机的资源，从而不能够为正常用户提供服务。
1.1 TCP连接建立的过程
要掌握SYN Flood攻击的基本原理，必须先介绍TCP的三次握手机制。
TCP三次握手过程如下：
1) 客户端向服务器端发送一个SYN置位的TCP报文，包含客户端使用的端口号和初始序列号x；
2) 服务器端收到客户端发送来的SYN报文后，向客户端发送一个SYN和ACK都置位的TCP报文，包含确认号为x＋1和服务器的初始序列号y；
3)
TCP客户端
客户端端口
（1024－65535）
TCP服务器端
服务器端口
（1－1023）
SYN
SYN/ACK
ACK
1
3
2
图1 正常情况下TCP连接建立的过程
客户端收到服务器返回的SYN＋ACK报文后，向服务器返回一个确认号为y＋1序号为x＋1的ACK报文，一个标准的TCP连接完成。如图1所示：
1.2 攻击原理
在SYN Flood攻击中，黑客机器向受害主机发送大量伪造源地址的TCP SYN报文，受害主机分配必要的资源，然后向源地址返回SYN＋ACK包，并等待源端返回ACK包，如图2所示。由于源地址是伪造的，所以源端永远都不会返回ACK报文，受害主机继续发送SYN＋ACK包，并将半连接放入端口的积压队列中，虽然一般的主机都有超时机制和默认的重传次数，但是由于端口的半连接队列的长度是有限的，如果不断的向受害主机发送大量的TCP SYN报文，半连接队列就会很快填满，服务器拒绝新的连接，将导致该端口无法响应其他机器进行的连接请求，最终使受害主机的资源耗尽。
2 图2 SYN Flood攻击示意图
TCP客户端
客户端端口
（1024－65535）
TCP服务器端
服务器端口
（1－1023）
SYN
SYN/ACK
1
2
伪造源地址
几种防御技术
SYN Flood攻击给互联网造成重大影响后，针对如何防御SYN Flood攻击出现了几种比较有效的技术。
2.1 SYN－cookie技术
一般情况下，当服务器收到一个TCP SYN报文后，马上为该连接请求分配缓冲区，然后返回一个SYN＋ACK报文，这时形成一个半连接。SYN Flood正是利用了这一点，发送大量的伪造源地址的SYN连接请求，而不完成连接。这样就大量的消耗的服务器的资源。
SYN－cookie技术针对标准TCP连接建立过程资源分配上的这一缺陷，改变了资源分配的策略。当服务器收到一个SYN报文后，不立即分配缓冲区，而是利用连接的信息生成一个cookie，并将这个cookie作为将要返回的SYN＋ACK报文的初始序列号。当客户端返回一个ACK报文时，根据包头信息计算cookie，与返回的确认序列号（初始的序列号＋1）的前24位进行对比，如果相同，则是一个正常连接，然后，分配资源，建立连接。
该技术的巧妙之点在于避免了在连接信息未完全到达前进行资源分配，使SYN Flood攻击的资源消耗失效。实现的关键之处在于cookie的计算。cookie的计算应该做到包含本次连接的状态信息，使攻击者不能伪造cookie。cookie的计算过程如下：
上一篇:通过试验探索 Access 2000/XP 数据库的最佳 NTFS 权限设置
下一篇:利用SQLEXEC突破网络妙管免费上网
|
| SYN flood攻击的原理及其防御 相关文章： |
|
|
|
| SYN flood攻击的原理及其防御 相关软件： |
|
|
|
|
