谭小华

摘要：就目前互联网上的各种攻击来看，针对Web的DDos攻击是最难以让人防范的，因为它存在很难区分恶意攻击者和正常用户之间的问题，所以很多管理员不是将攻击者和用户一起屏蔽了，就是完全对这样的攻击毫无办法。

关键词：SYN攻击技术、SYN Flood、SYN防火墙针对Web服务方面的攻防技术，可大致分为2个部分，分别是针对Web端口的DDos攻防、针对Web脚本的DDos攻防。

SYN FLOOD是利用TCP协议本身的缺陷发起的攻击，所以要从根源上防御这样的攻击，需要对协议进行修改或者抛弃这个协议，所以这些是基本上不可能出现的情况。如何从实用的角度来防范这样的攻击呢？

近几年普遍使用的防SYN攻击技术大概包含SYN cookie防御、SYN proxy防御、SYN包判断防御、SYN首包丢弃防御、地址状态监控防御等。以下分别对几种防御技术进行分析：

一、 SYN cookie防御思路

在正常情况下服务器接收的 TCP SYN 数据包，当您更改立即连接请求分配一个缓冲区，并返回一个 SYN + ACK，这是形成一个半连接。SYN 洪水使用此 SYN 连接请求，发送大量的欺骗的来源地址，若要创建，而连接只需耗尽服务器上的资源。

对于标准 TCP 连接 SYN cookie 技术建立在资源配置中的缺陷的过程中，资源分配策略时后收到消息，服务器不会立即分配一个缓冲区中， 发生更改，但使用的连接信息来生成一个 cookie，cookie 作为消息要返回的 SYN + ACK 初始序列号。当客户端，基于标头信息的 cookie，并返回确认序列号返回 ACK 消息时 （的初始序列号 + 1） 比较第 24 位，如果是一样的它是一个正常连接和分配资源，以建立连接。……