web前端安全之分散式阻斷服務攻擊

標籤：請求   三向交握   tcp串連   out   網路   sync   tcp/ip   distrib   發送   

一、DDOS攻擊的原理
分散式阻斷服務，Distributed Denial of Service，利用目標系統網路服務功能缺陷或者直接消耗其系統資源，使得該目標系統無法提供正常的服務。通過大量合法的請求佔用大量網路資源，以達到癱瘓網路的目的。具體有幾種形式：

• 通過使網路過載來幹擾甚至阻斷正常的網路通訊；
• 通過向伺服器提交大量請求，使伺服器超負荷；
• 阻斷某一使用者訪問伺服器；
• 阻斷某服務與特定系統或個人的通訊。

SYN攻擊，synchronous，屬於DDOS攻擊中的一種具體表現形式。
SYN是TCP/IP建立串連時使用的握手訊號，在三向交握過程中，伺服器發送SYN-ACK之後，收到用戶端的ACK之前的TCP串連稱為半串連，此時伺服器處於SYN_RCVD狀態。當收到ACK後，伺服器才能轉入ESTABLISHED狀態。

SYN攻擊指的是，攻擊用戶端在短時間內偽造大量不存在的IP地址，向伺服器不斷地發送SYN包，伺服器回複確認包，並等待客戶的確認。正常的SYN請求被丟棄，導致目標系統運行緩慢，嚴重者會引起網路堵塞甚至系統癱瘓。

二、SYN攻擊的防禦
1、縮短逾時（SYN Timeout）時間
2、增加最大半串連數
3、過濾網關防護

web前端安全之分散式阻斷服務攻擊