SYN攻击原理与防范技术
来源:asp之家 发布时间:2009-09-20 20:17:00
据统计,在所有黑客攻击事件中,SYN攻击是最常见又最容易被利用的一种攻击手法。相信很多人还记得2000年YAHOO网站遭受的攻击事例,当时黑客利用的就是简单而有效的SYN攻击,有些网络蠕虫病毒配合SYN攻击造成更大的破坏。本文介绍SYN攻击的基本原理、工具及检测方法,并全面探讨SYN攻击防范技术。
一、TCP握手协议
在TCP/IP协议中,TCP协议提供可靠的连接服务,采用三次握手建立一个连接。
第一次握手:建立连接时,客户端发送syn包(syn=j)到服务器,并进入SYN_SEND状态,等待服务器确认;
第二次握手:服务器收到syn包,必须确认客户的SYN(ack=j+1),同时自己也发送一个SYN包(syn=k),即SYN+ACK包,此时服务器进入SYN_RECV状态;
第三次握手:客户端收到服务器的SYN+ACK包,向服务器发送确认包ACK(ack=k+1),此包发送完毕,客户端和服务器进入ESTABLISHED状态,完成三次握手。
完成三次握手,客户端与服务器开始传送数据,在上述过程中,还有一些重要的概念:
未连接队列:在三次握手协议中,服务器维护一个未连接队列,该队列为每个客户端的SYN包(syn=j)开设一个条目,该条目表明服务器已收到SYN包,并向客户发出确认,正在等待客户的确认包。这些条目所标识的连接在服务器处于Syn_RECV状态,当服务器收到客户的确认包时,删除该条目,服务器进入ESTABLISHED状态。
Backlog参数:表示未连接队列的最大容纳数目。
SYN-ACK 重传次数 服务器发送完SYN-ACK包,如果未收到客户确认包,服务器进行首次重传,等待一段时间仍未收到客户确认包,进行第二次重传,如果重传次数超过系统规定的最大重传次数,系统将该连接信息从半连接队列中删除。注意,每次重传等待的时间不一定相同。
半连接存活时间:是指半连接队列的条目存活的最长时间,也即服务从收到SYN包到确认这个报文无效的最长时间,该时间值是所有重传请求包的最长等待时间总和。有时我们也称半连接存活时间为Timeout时间、SYN_RECV存活时间。
二、SYN攻击原理
SYN攻击属于DOS攻击的一种,它利用TCP协议缺陷,通过发送大量的半连接请求,耗费CPU和内存资源。SYN攻击除了能影响主机外,还可以危害路由器、防火墙等网络系统,事实上SYN攻击并不管目标是什么系统,只要这些系统打开TCP服务就可以实施。从上图可看到,服务器接收到连接请求(syn=j),将此信息加入未连接队列,并发送请求包给客户(syn=k,ack=j+1),此时进入SYN_RECV状态。当服务器未收到客户端的确认包时,重发请求包,一直到超时,才将此条目从未连接队列删除。配合IP欺骗,SYN攻击能达到很好的效果,通常,客户端在短时间内伪造大量不存在的IP地址,向服务器不断地发送syn包,服务器回复确认包,并等待客户的确认,由于源地址是不存在的,服务器需要不断的重发直至超时,这些伪造的SYN包将长时间占用未连接队列,正常的SYN请求被丢弃,目标系统运行缓慢,严重者引起网络堵塞甚至系统瘫痪。
三、SYN攻击工具
SYN攻击实现起来非常的简单,互联网上有大量现成的SYN攻击工具。
Windows系统下的SYN工具:
以synkill.exe为例,运行工具,选择随机的源地址和源端囗,并填写目标机器地址和TCP端囗,激活运行,很快就会发现目标系统运行缓慢。如果攻击效果不明显,可能是目标机器并未开启所填写的TCP端囗或者防火墙拒绝访问该端囗,此时可选择允许访问的TCP端囗,通常,Windows系统开放tcp139端囗,UNIX系统开放tcp7、21、23等端囗。
四、检测SYN攻击
检测SYN攻击非常的方便,当你在服务器上看到大量的半连接状态时,特别是源IP地址是随机的,基本上可以断定这是一次SYN攻击。我们使用系统自带的netstat 工具来检测SYN攻击:
很多连接处于SYN_RECV状态(在WINDOWS系统中是SYN_RECEIVED状态),源IP地址都是随机的,表明这是一种带有IP欺骗的SYN攻击。
我们也可以通过下面的命令直接查看在LINUX环境下某个端囗的未连接队列的条目数:
显示TCP端囗22的未连接数有324个,虽然还远达不到系统极限,但应该引起管理员的注意。
猜你喜欢
- 1、图片站图片站的内容是图片而不是文章,但是GOOGLR广告是文章无法匹配,影响到您站的整体美观建议不要用。2、小说站网站浏览者多是老用户,
- 一、什么是Google Sitelinks?Google Sitelinks也叫站内链接,这种方式的索引结果在Google搜索引擎上已经存在
- 怎样提高网站流量?这是一个永恒的话题,也是最难解决的问题,其实大家完全可以静下心来,坚持做一些踏踏实实的工作的。网站的设计需要一些技术,而更
- 随着网络的发展和各种信息媒体的诞生,人们进行信息交流的方式和途径也越来越多,但是,由于现今的各种通信费用一直居高不下,且人们的生活节奏日趋加
- 今日淘特Asp.Net CMs推出2.0版,系统新增加了Tag标签,会员投稿,发布网站地图等功能。淘特Asp.Net Cms(V2.0) 2
- 现如今无论是在QQ聊天签名还是论坛网游里,随处都可看到火星文的踪迹,可是如果看不懂这些火星文怎么办?“对付&rd
- CGI全称是“公共网关接口”(Common Gateway Interface),HTTP服务器与你的或其它机器上的程序进行“交谈”的一种工
- 3月3日消息,百度已正式成立客户端部,将统领原有的客户端软件部、客户端软件业务部、千千音乐部等三个部门。原百度客户端软件总监王啸将另有任命,
- 从今年1月份韩国正式开通IPTV服务至今,经过9个月的发展,韩国IPTV用户数量已经突破超过100万。韩国数码传媒产业协会近日公布,韩国IP
- 昨日下午,易观国际分析师曹飞撰文称《卓越亚马逊将会成为淘宝未来最大的竞争对手》,该文认为,卓越亚马逊作为B2C商业模式的代表,和以平台模式的
- 想知道自己的电脑在运行什么,那些东西是否经过你的认可了?这个时候你要进入CMD,用命令netstat -an,查看自己电脑与外界有哪些联系,
- 内容摘要:拥有大量的历史积累的各种论坛系统中的内容往往很难被搜索引擎收录,BBS2BLOG是一个bbs改造思路:通过对现有BBS加入按“个人
- 今天,中国雅虎推出了采用@yahoo.cn域名的“终生邮箱”,并声称是“无限容量”的免费邮箱。新推出的“终生邮箱”整合了雅虎相册、音乐盒、音
- 为了给发布商提供更多的透明度以及控制网站上所展示的广告的权利,我们开发了广告查看中心,该功能将会在接下来的几个月中陆续推出。这个功能可以让您
- 在Windows7面世之后,其华丽的界面、任务栏预览、快速跳转等一系列新特性令人爱不释手。而酷我音乐盒作为最优秀的网络音乐播放器,已经率先实
- 笔者服务于一家小的电脑公司,随着业务的不断拓展,公司传统办公模式的弊端逐步显露出来:员工经常出差导致命令无法迅速上传下达;下级汇报工作时负责
- 2009年9月8日,专业的博客软件提供商北京傲博致远软件隆重推出Oblog.NET2.0版。至此,饱含数万OBLOG站长热切期盼和支持的.N
- 11月3日,巨人网络耗时一年半时间倾心打造的第一款网页游戏《黄金国度》正式开启封测。《黄金国度》以多项创新技术大幅改善画面效果和游戏体验,同
- 架设一台FTP服务器其实很简单。首先,要保证你的机器能上网,而且有不低于ADSL 512Kbps的网络速度。其次,硬件性能要能满足你的需要。
- FTP服务器软件,一直是Serv-U的天下,方便好用,使用量巨大,但是这2年,安全问题严重,漏洞一个接一个,快赶上微软了,我维护的2台服务器