SYN 洪流攻击
SYN 洪流攻击 是一种 拒绝服务攻击（DoS，Denial of Service），旨在通过耗尽服务器的资源，使目标服务器无法响应正常用户的请求，从而使服务无法访问。该攻击利用了 TCP 三次握手（Three-Way Handshake）中的漏洞，产生大量半打开连接，导致目标系统资源枯竭。
1. SYN 洪流攻击工作原理
在正常的 TCP 连接建立过程中，客户端和服务器之间通过三次握手来完成连接：
- SYN：客户端发送一个包含
SYN标志位的 TCP 包给服务器，表示请求建立连接。 - SYN-ACK：服务器收到
SYN包后，回复一个SYN-ACK包，表示接受连接请求。 - ACK：客户端回复一个
ACK包，表示连接建立完成。
SYN 洪流攻击流程
- 攻击者向目标服务器发送大量的 SYN 包。
- 服务器收到这些 SYN 请求后，向每个请求发送 SYN-ACK 响应，但由于攻击者伪造了源 IP 地址，服务器无法接收到来自客户端的
ACK包。 - 服务器为每个未完成的连接分配资源，等待客户端的确认，但由于没有收到后续的
ACK包，这些连接保持在半打开状态（Half-Open State）。 - 由于大量的未完成连接，服务器资源（如内存、处理能力等）逐渐被耗尽，无法再接受新的合法连接请求。
2. SYN 洪流攻击的特点
- 源 IP 地址伪造：攻击者通常伪造源 IP 地址，使得响应无法送回攻击者，从而造成服务器一直保持半连接状态，无法释放资源。
- 无数据负载：SYN 洪流攻击通常不携带有效数据负载，仅通过发送大量的 SYN 包耗尽服务器资源。
- 持续性攻击：攻击者可以持续向服务器发送 SYN 包，不断消耗系统资源，直到服务器无法正常工作。
3. SYN 洪流攻击的影响
- 资源消耗：服务器的连接队列、内存、处理器资源被大量半打开连接占用。
- 服务中断：合法用户无法与服务器建立连接，导致拒绝服务（DoS）。
- 性能下降：服务器性能受到影响，响应时间变慢，甚至可能崩溃。
- 系统崩溃：如果服务器没有足够的资源来管理半连接，它可能会崩溃或重启。
4. SYN 洪流攻击的预防策略
为了防止和缓解 SYN 洪流攻击，常用的预防策略包括：
(1) 增加连接队列大小
- 操作系统调优：增大操作系统的连接队列大小，能够处理更多的半打开连接。通过调整 TCP 配置（如 Linux 中的
tcp_max_syn_backlog）可以增加服务器的容纳能力。 - TCP堆栈优化：修改系统的默认 TCP 设置，提高处理大量连接请求的能力。
(2) SYN Cookies
- SYN Cookies 是一种在服务器端防止 SYN 洪流攻击的技术。它不需要为每个新的连接分配内存，而是在收到
SYN包时生成一个包含加密信息的 cookie，并将其返回给客户端。如果客户端发送正确的ACK包，服务器就确认连接的合法性，并正式分配资源。 - 工作流程：服务器收到 SYN 请求时，不立即分配资源。服务器生成一个 cookie，作为 SYN-ACK 响应的一部分发送给客户端。如果客户端在收到 SYN-ACK 后发送 ACK 包，服务器根据 cookie 验证该请求是否合法，并完成连接。
(3) 增加 SYN Timeout 时间
- 调整 TCP 超时：通过调整 TCP 的
SYN超时时间，减少半连接的保持时间，避免攻击者在未完成握手的情况下长期占用系统资源。
(4) 使用防火墙和入侵检测系统（IDS）
- 防火墙：通过配置防火墙，限制每个源 IP 地址的
SYN请求数量。可以使用 iptables 等工具进行流量过滤，阻止来自单一来源的大量 SYN 请求。例如，在 Linux 中配置防火墙规则，限制单个源 IP 在一定时间内的连接数： - 入侵检测系统（IDS）：配置 IDS 监控和分析流量模式，当检测到异常的 SYN 洪流攻击时，及时发出警报并阻止攻击流量。
(5) 使用反向代理和负载均衡
- 反向代理：通过使用反向代理服务器（如 Nginx、HAProxy）来分散流量压力。反向代理可以过滤掉大量的恶意请求，减少源服务器的负担。
- 负载均衡：使用负载均衡器将流量分配到多个服务器，这样即使某个服务器遭遇 SYN 洪流攻击，其他服务器仍然能够提供服务。
(6) SYN Flood Mitigation Tools
- 使用专门的防护工具：一些硬件防火墙、负载均衡器和 DDoS 防护服务（如 Cloudflare、AWS Shield）具有专门的 SYN 洪流防护功能。这些工具通过分析流量模式和自动检测 SYN 洪流攻击，能够有效防止攻击。
(7) 配置 TCP Wrappers
- TCP Wrappers 是一种简单的安全防护工具，可以根据源 IP 地址或协议的来源限制连接请求。它可以用于检测异常流量并防止恶意的连接尝试。
(8) Rate Limiting 和流量过滤
- Rate Limiting：限制每个客户端发出的 SYN 请求数量，减少攻击者利用大量 SYN 请求的能力。
- 流量过滤：可以使用第三方流量清洗服务（如 Cloudflare、Akamai）过滤掉恶意流量，确保服务端不受攻击影响。
