??????? 美國服務(wù)器TCP傳輸控制協(xié)議是面向連接的可靠的傳送服務(wù)，英文全稱為 Transport Control Protocol。數(shù)據(jù)傳送時是分段進行的，美國服務(wù)器交換數(shù)據(jù)必須建立一個會話，它用比特流通信，即數(shù)據(jù)被作為無結(jié)構(gòu)的字節(jié)流，通過每個TCP傳輸?shù)淖侄沃付樞蛱栆垣@得可靠性。本文小編就來介紹一下美國服務(wù)器TCP協(xié)議可能造成的漏洞以及防御方式。
??????? TCP協(xié)議是攻擊者攻擊方法的靈感，主要問題存在于美國服務(wù)器TCP的三次握手協(xié)議上，正常的TCP三次握手過程如下，A為請求端，B為被請求端：
A發(fā)送一個初始序號ISNa的SY報文 B收到A的SYN報文后，發(fā)送給A初始序列號ISNb，同時將 ISAT+1作為確認的SYN+ACK報文 A對SYN+ACK報文進行確認，同時將ISNa+1，ISNb+1發(fā)送給B
??????? 經(jīng)過以上三個握手，美國服務(wù)器TCP協(xié)議的連接完成。
??????? 針對TCP協(xié)議的攻擊的基本原理是：TCP協(xié)議三次握手沒有完成的時候，被請求端B一般都會重試并等待段時，這常常被用來對美國服務(wù)器進行DOS、Land攻擊，一個特別打造的SYN包其原地址和目標地址都被設(shè)置成某一個服務(wù)器地址，此舉將導(dǎo)致接收的美國服務(wù)器向它自己的地址發(fā)送SYN-ACK消息，結(jié)果該地址又發(fā)回ACK消息并創(chuàng)建一個空連接，每一個這樣的連接都將保留直至超時。
??????? 一、攻擊實現(xiàn)
??????? 在 SYN Flood攻擊中，黑客機器向受害美國服務(wù)器發(fā)送大量偽造源地址的TCP SYN報文，受害美國服務(wù)器分配必要的資源，然后向源地址返回SYN+ACK包，并等待源端返回ACK包。由于源地址是偽造的，所以源端永遠都不會返回ACK報文，受害美國服務(wù)器繼續(xù)發(fā)送SYN+ACK包，并將半連接放入端口的積壓隊列中。
??????? 雖然一般美國服務(wù)器都有超時機制和默認的重傳次數(shù)，但是由于端口的半連接隊列的長度是有限的，如果不斷地向受害主機發(fā)送大量的 TCP SYN報文，半連接隊列就會很快填滿，美國服務(wù)器拒絕新的連接，將導(dǎo)致該端口無法響應(yīng)其他機器進行的連接請求，最終使受害美國服務(wù)器的資源耗盡。
??????? 二、防御方法
??????? 針對 SYN Flood的攻擊防范措施主要有兩種，通過美國服務(wù)器配置防火墻、路由器等過濾網(wǎng)關(guān)防護，以及通過加固TCP/IP協(xié)議棧來進行防范。
??????? 網(wǎng)關(guān)防護的主要技術(shù)有：SYN- cookie技術(shù)和基于監(jiān)控的源地址狀態(tài)、縮短 SYN Timeout時間。SYN- cookie技術(shù)實現(xiàn)了美國服務(wù)器無狀態(tài)的握手，避免了 SYN Flood的資源消耗?；诒O(jiān)控的源地址狀態(tài)技術(shù)能夠?qū)γ恳粋€連接美國服務(wù)器的IP地址的狀態(tài)進行監(jiān)控，主動采取措施避免 SYN Flood攻擊的影響。
??????? 為防范SYN攻擊， 美國服務(wù)器Windows系統(tǒng)的TCP/IP協(xié)議內(nèi)嵌了SynAttackProtect機制。SynAttackProtect機制是通過關(guān)閉某些 socket選項，增加額外的連接指示和成少超時時間，使美國服務(wù)器系統(tǒng)能處理更多的SYN連接，以達到防范SYN攻擊的目的。
??????? 當SynAttackProtectt值為0或不設(shè)置時，美國服務(wù)器系統(tǒng)不受SynAttackProtect保護。當SynAttackProtect值為1時，美國服務(wù)器系統(tǒng)通過減少重傳次數(shù)和延遲未連接時路由緩沖項防范SYN攻擊。
??????? 以上內(nèi)容就是關(guān)于美國服務(wù)器TCP協(xié)議可能造成的漏洞以及防御方式的介紹，個人用戶還可以使用一些第三方的個人防火墻，而對于企業(yè)用戶，購買企業(yè)級防火墻硬件，都可有效地防范針對美國服務(wù)器發(fā)起的TCP三次握手的拒絕式服務(wù)攻擊。
??????? 現(xiàn)在夢飛科技合作的美國VM機房的美國服務(wù)器所有配置都免費贈送防御值 ，可以有效防護網(wǎng)站的安全，以下是部分配置介紹：
| CPU | 內(nèi)存 | 硬盤 | 帶寬 | IP | 價格 | 防御 |
| E3-1230v3 | 16GB | 500GB?SSD | 1G無限流量 | 1個IP | 900/月 | 免費贈送1800Gbps?DDoS防御 |
| E3-1270v2 | 32GB | 500GB?SSD | 1G無限流量 | 1個IP | 1250/月 | 免費贈送1800Gbps?DDoS防御 |
| E3-1275v5 | 32GB | 500GB?SSD | 1G無限流量 | 1個IP | 1350/月 | 免費贈送1800Gbps?DDoS防御 |
| Dual?E5-2630L | 32GB | 500GB?SSD | 1G無限流量 | 1個IP | 1450/月 | 免費贈送1800Gbps?DDoS防御 |
??????? 夢飛科技已與全球多個國家的頂級數(shù)據(jù)中心達成戰(zhàn)略合作關(guān)系，為互聯(lián)網(wǎng)外貿(mào)行業(yè)、金融行業(yè)、IOT行業(yè)、游戲行業(yè)、直播行業(yè)、電商行業(yè)等企業(yè)客戶等提供一站式安全解決方案。持續(xù)關(guān)注夢飛科技官網(wǎng)，獲取更多IDC資訊！
文章鏈接： http://www.qzkangyuan.com/28913.html
文章標題：美國服務(wù)器TCP協(xié)議的漏洞介紹以及防御方式
文章版權(quán)：夢飛科技所發(fā)布的內(nèi)容，部分為原創(chuàng)文章，轉(zhuǎn)載請注明來源，網(wǎng)絡(luò)轉(zhuǎn)載文章如有侵權(quán)請聯(lián)系我們！
