| |
0 10.11.11.11:23236.15.133.204:2577 SYN_RECV - tcp 0 0
10.11.11.11:23127.160.6.129:51748 SYN_RECV - tcp 0 0
10.11.11.11:23222.220.13.25:47393 SYN_RECV - tcp 0 0
10.11.11.11:23212.200.204.182:60427 SYN_RECV - tcp 0 0
10.11.11.11:23232.115.18.38:278 SYN_RECV - tcp 0 0
10.11.11.11:23239.116.95.96:5122SYN_RECV - tcp 0 0
10.11.11.11:23236.219.139.207:49162 SYN_RECV - ...
上面是在LINUX系統(tǒng)中看到的，很多連接處于SYN_RECV狀態(tài)(在WINDOWS系統(tǒng)中是SYN_RECEIVED狀態(tài))，源IP地址都是隨機(jī)的，表明這是一種帶有IP欺騙的SYN攻擊。
我們也可以通過下面的命令直接查看在LINUX環(huán)境下某個(gè)端囗的未連接隊(duì)列的條目數(shù)：
#netstat -n -p TCP grep SYN_RECV grep :22 wc -l 324
顯示TCP端囗22的未連接數(shù)有324個(gè)，雖然還遠(yuǎn)達(dá)不到系統(tǒng)極限，但應(yīng)該引起管理員的注意。
五、SYN攻擊防范技術(shù)
關(guān)于SYN攻擊防范技術(shù)，人們研究得比較早。歸納起來，主要有兩大類，一類是通過防火墻、路由器等過濾網(wǎng)關(guān)防護(hù)，另一類是通過加固TCP/IP協(xié)議棧防范.但必須清楚的是，SYN攻擊不能完全被阻止，我們所做的是盡可能的減輕SYN攻擊的危害，除非將TCP協(xié)議重新設(shè)計(jì)。
1、過濾網(wǎng)關(guān)防護(hù)
這里，過濾網(wǎng)關(guān)主要指明防火墻，當(dāng)然路由器也能成為過濾網(wǎng)關(guān)。防火墻部署在不同網(wǎng)絡(luò)之間，防范外來非法攻擊和防止保密信息外泄，它處于客戶端和服務(wù)器之間，利用它來防護(hù)SYN攻擊能起到很好的效果。過濾網(wǎng)關(guān)防護(hù)主要包括超時(shí)設(shè)置，SYN網(wǎng)關(guān)和SYN代理三種。
·網(wǎng)關(guān)超時(shí)設(shè)置：
防火墻設(shè)置SYN轉(zhuǎn)發(fā)超時(shí)參數(shù)(狀態(tài)檢測的防火墻可在狀態(tài)表里面設(shè)置)，該參數(shù)遠(yuǎn)小于服務(wù)器的timeout時(shí)間。當(dāng)客戶端發(fā)送完SYN包，服務(wù)端發(fā)送確認(rèn)包后(SYN+ACK)，防火墻如果在計(jì)數(shù)器到期時(shí)還未收到客戶端的確認(rèn)包(ACK)，則往服務(wù)器發(fā)送RST包，以使服務(wù)器從隊(duì)列中刪去該半連接。值得注意的是，網(wǎng)關(guān)超時(shí)參數(shù)設(shè)置不宜過小也不宜過大，超時(shí)參數(shù)設(shè)置過小會影響正常的通訊，設(shè)置太大，又會影響防范SYN攻擊的效果，必須根據(jù)所處的網(wǎng)絡(luò)應(yīng)用環(huán)境來設(shè)置此參數(shù)。
·SYN網(wǎng)關(guān)：
SYN網(wǎng)關(guān)收到客戶端的SYN包時(shí)，直接轉(zhuǎn)發(fā)給服務(wù)器;SYN網(wǎng)關(guān)收到服務(wù)器的SYN/ACK包后，將該包轉(zhuǎn)發(fā)給客戶端，同時(shí)以客戶端的名義給服務(wù)器發(fā)ACK確認(rèn)包。此時(shí)服務(wù)器由半連接狀態(tài)進(jìn)入連接狀態(tài)。當(dāng)客戶端確認(rèn)包到達(dá)時(shí)，如果有數(shù)據(jù)則轉(zhuǎn)發(fā)，否則丟棄。事實(shí)上，服務(wù)器除了維持半連接隊(duì)列外，還要有一個(gè)連接隊(duì)列，如果發(fā)生SYN攻擊時(shí)，將使連接隊(duì)列數(shù)目增加，但一般服務(wù)器所能承受的連接數(shù)量比半連接數(shù)量大得多，所以這種方法能有效地減輕對服務(wù)器的攻擊。
·SYN代理：
當(dāng)客戶端SYN包到達(dá)過濾網(wǎng)關(guān)時(shí)，SYN代理并不轉(zhuǎn)發(fā)SYN包，而是以服務(wù)器的名義主動回復(fù)SYN/ACK包給客戶，如果收到客戶的ACK包，表明這是正常的訪問，此時(shí)防火墻向服務(wù)器發(fā)送ACK包并完成三次握手。SYN代理事實(shí)上代替了服務(wù)器去處理SYN攻擊，此時(shí)要求過濾網(wǎng)關(guān)自身具有很強(qiáng)的防范SYN攻擊能力。
2、加固tcp/ip協(xié)議棧
防范SYN攻擊的另一項(xiàng)主要技術(shù)是調(diào)整tcp/ip協(xié)議棧，修改tcp協(xié)議實(shí)現(xiàn)。主要方法有SynAttackProtect保護(hù)機(jī)制、SYN cookies技術(shù)、增加最大半連接和縮短超時(shí)時(shí)間等。tcp/ip協(xié)議棧的調(diào)整可能會引起某些功能的受限，管理員應(yīng)該在進(jìn)行充分了解和測試的前提下進(jìn)行此項(xiàng)工作。
·SynAttackProtect機(jī)制
為防范SYN攻擊，Windows2000系統(tǒng)的tcp/ip協(xié)議棧內(nèi)嵌了SynAttackProtect機(jī)制，Win2003系統(tǒng)也采用此機(jī)制。SynAttackProtect機(jī)制是通過關(guān)閉某些socket選項(xiàng)，增加額外的連接指示和減少超時(shí)時(shí)間，使系統(tǒng)能處理更多的SYN連接，以達(dá)到防范SYN攻擊的目的。默認(rèn)情況下，Windows2000操作系統(tǒng)并不支持SynAttackProtect保護(hù)機(jī)制，需要在注冊表以下位置增加SynAttackProtect鍵值： 本新聞共 4頁,當(dāng)前在第 2頁 1 2 3 4 |
|
|
| 【收藏】【打印】【進(jìn)入論壇】 |
|
|
|
|
| |
|
|
|
