| |
HKLM\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters
當SynAttackProtect值(如無特別說明，本文提到的注冊表鍵值都為十六進制)為0或不設置時，系統(tǒng)不受SynAttackProtect保護。
當SynAttackProtect值為1時，系統(tǒng)通過減少重傳次數(shù)和延遲未連接時路由緩沖項(route cache entry)防范SYN攻擊。
當SynAttackProtect值為2時(Microsoft推薦使用此值)，系統(tǒng)不僅使用backlog隊列，還使用附加的半連接指示，以此來處理更多的SYN連接，使用此鍵值時，tcp/ip的TCPInitialRTT、window size和可滑動窗囗將被禁止。
我們應該知道，平時，系統(tǒng)是不啟用SynAttackProtect機制的，僅在檢測到SYN攻擊時，才啟用，并調整tcp/ip協(xié)議棧。那么系統(tǒng)是如何檢測SYN攻擊發(fā)生的呢?事實上，系統(tǒng)根據(jù)TcpMaxHalfOpen,TcpMaxHalfOpenRetried 和TcpMaxPortsExhausted三個參數(shù)判斷是否遭受SYN攻擊。
TcpMaxHalfOpen 表示能同時處理的最大半連接數(shù)，如果超過此值，系統(tǒng)認為正處于SYN攻擊中。Windows2000 server默認值為100，Windows2000 Advanced server為500。
TcpMaxHalfOpenRetried定義了保存在backlog隊列且重傳過的半連接數(shù)，如果超過此值，系統(tǒng)自動啟動SynAttackProtect機制。Windows2000 server默認值為80，Windows2000 Advanced server為400。
TcpMaxPortsExhausted 是指系統(tǒng)拒絕的SYN請求包的數(shù)量，默認是5。
如果想調整以上參數(shù)的默認值，可以在注冊表里修改(位置與SynAttackProtect相同)
· SYN cookies技術
我們知道，TCP協(xié)議開辟了一個比較大的內(nèi)存空間backlog隊列來存儲半連接條目，當SYN請求不斷增加，并這個空間，致使系統(tǒng)丟棄SYN連接。為使半連接隊列被塞滿的情況下，服務器仍能處理新到的SYN請求，SYN cookies技術被設計出來。
SYN cookies應用于linux、FreeBSD等操作系統(tǒng)，當半連接隊列滿時，SYNcookies并不丟棄SYN請求，而是通過加密技術來標識半連接狀態(tài)。
在TCP實現(xiàn)中，當收到客戶端的SYN請求時，服務器需要回復SYN+ACK包給客戶端，客戶端也要發(fā)送確認包給服務器。通常，服務器的初始序列號由服務器按照一定的規(guī)律計算得到或采用隨機數(shù)，但在SYN cookies中，服務器的初始序列號是通過對客戶端IP地址、客戶端端囗、服務器IP地址和服務器端囗以及其他一些安全數(shù)值等要素進行hash運算，加密得到的，稱之為cookie。當服務器遭受SYN攻擊使得backlog隊列滿時，服務器并不拒絕新的SYN請求，而是回復cookie(回復包的SYN序列號)給客戶端， 如果收到客戶端的ACK包，服務器將客戶端的ACK序列號減去1得到cookie比較值，并將上述要素進行一次hash運算，看看是否等于此cookie。如果相等，直接完成三次握手(注意：此時并不用查看此連接是否屬于backlog隊列)。
在RedHat linux中，啟用SYN cookies是通過在啟動環(huán)境中設置以下命令來完成：
# echo 1 ?? /proc/sys/net/ipv4/tcp_syncookies
· 增加最大半連接數(shù)
大量的SYN請求導致未連接隊列被塞滿，使正常的TCP連接無法順利完成三次握手，通過增大未連接隊列空間可以緩解這種壓力。當然backlog隊列需要占用大量的內(nèi)存資源，不能被無限的擴大。
Windows2000：除了上面介紹的TcpMaxHalfOpen, TcpMaxHalfOpenRetried參數(shù)外，Windows2000操作系統(tǒng)可以通過設置動態(tài)backlog(dynamic backlog)來增大系統(tǒng)所能容納的最大半連接數(shù)，配置動態(tài)backlog由AFD.SYS驅動完成，AFD.SYS是一種內(nèi)核級的驅動，用于支持基于window socket的應用程序，比如ftp、telnet等。AFD.SYS在注冊表的位置：
HKLM\System\CurrentControlSet\Services\AFD\Parameters\EnableDynamicBacklog值為1時，表示啟用動態(tài)backlog，可以修改最大半連接數(shù)。
MinimumDynamicBacklog表示半連接隊列為單個TCP端囗分配的最小空閑連接數(shù)，當該TCP端囗在backlog隊列的空閑連接小于此臨界值時，系統(tǒng)為此端囗自動啟用擴展的空閑連接(DynamicBacklogGrowthDelta)，Microsoft推薦該值為20。 |
|
|
| 【收藏】【打印】【進入論壇】 |
|
|
|
|
| |
|
|
|
