【HBZ分享】如何规避TCP的洪水攻击

常规洪水攻击的原理

  1. 在TCP第二次握手建立半连接时,此时就可以发动洪水攻击
  2. 就是大量的请求发起TCP连接,当第二次握手时,服务器会把这些请求放到半连接队列中,由于这些恶意攻击的客户端不会再确认第三次握手,就导致这些半连接无法被释放,服务器会一直等直到超时,此时半连接队列会被塞满,正常请求连接就无法被应答,这就是洪水攻击的方式

常规如何解决洪水攻击

  1. 开启syncookies方式,第一次握手时,服务器会根据(源地址,源端口,目的地址,目的端口等) 和一个随机数,计算出来一个哈希值(SHA1), 然后第二次握手会把这个生成的syncookies一并返回给客户端,客户端确认第三次握手时,会把这个syncookies再发送给服务端,服务端会校验该syncookie是否和之前的匹配, 如果匹配则建立TCP连接。
  2. 这种做法好处:当服务端没有收到 或 收到的syncookies不匹配时是不会建立TCP连接的。并且使用syncookies时,服务端不会去维护半连接队列,也就是不存在半连接状态,因为使用syncookies对比就无需半连接了,所以就避免了半连接队列被打满导致无法接收新的连接。

syncookies无法解决的场景

  1. 当发动大量DDOS攻击时,syncookies这种方式也会瘫痪,瘫痪原因是因为CPU要计算大量的syncookies,导致CPU被打死了。因为在计算syncookies时也是消耗CPU性能的,面临巨量的DDOS,CPU是扛不住的,此时只能增大带宽,用配置硬顶。

其他解决方案

  1. 增大半连接队列和全连接队列(海量攻击该方法基本无效)
  2. 减少SYN+ACK的重传次数(TCP是靠重传维持稳定连接的),即收到大量syn请求的洪水攻击时,服务端接收不到回应会不断重试,直到最大次数,降低这个最大次数就能缓解一下

如何查询判断是否被洪水攻击了

1. 先进行流量查看:
sar -n DEV 1 -h

然后只看eth0即可-->用rxkb/s 和 rxpck/s 这两列相除-->如果得出的包就50-60几字节,
那就说明是小包搞鬼,有可能遭受洪水攻击了,一般来说最大MTU = 1460

2. 如果发现是小包搞鬼,那就再进行网络抓包, 输入如下命令
tcpdump -i eth0 -n tcp port 80

3. 看有多少个[S], 这个表示发起TCP请求阶段,如果[S]过多,那就说明是洪水攻击,这是洪水攻击的特征


4. 进一步确认是洪水攻击,查询半连接的池子大小,以及当前半连接数量
半连接总大小: cat /proc/sys/net/ipv4/tcp_max_syn_backlog
当前半连接数: ss -s 或 netstat -n -p | grep SYN_RECV | wc -1



[S]: SYN,开始连接
[P]: PSH, 推送数据
[F]: FIN, 结束连接
[R]: RST, 重置连接
[.]: 没有Flag,可能是ACK 也可能是URG
相关推荐
黑客Ash1 小时前
【D01】网络安全概论
网络·安全·web安全·php
->yjy1 小时前
计算机网络(第一章)
网络·计算机网络·php
摘星星ʕ•̫͡•ʔ2 小时前
计算机网络 第三章:数据链路层(关于争用期的超详细内容)
网络·计算机网络
.Ayang3 小时前
SSRF漏洞利用
网络·安全·web安全·网络安全·系统安全·网络攻击模型·安全架构
好想打kuo碎3 小时前
1、HCIP之RSTP协议与STP相关安全配置
网络·安全
虚拟网络工程师4 小时前
【网络系统管理】Centos7——配置主从mariadb服务器案例(下半部分)
运维·服务器·网络·数据库·mariadb
JosieBook5 小时前
【网络工程】查看自己电脑网络IP,检查网络是否连通
服务器·网络·tcp/ip
inter_peng6 小时前
[Docker-显示所有容器IP] 显示docker-compose.yml中所有容器IP的方法
tcp/ip·docker·eureka
黑客Ash6 小时前
计算机中的网络安全
网络·安全·web安全