1
rochek 2020-01-10 16:22:38 +08:00
可以,这种叫做 ACK 攻击
但是有攻击成本这种说法,SYN 可以占主机的资源池。 ACK 回一下就好,相比,SYN FLOOD 更好一点。 如果想要更高的效率,可以考虑 DNS FLOOD |
2
zhangyurui OP @rochek 其实想问,如果一堆建立了连接但是没有发送数据的会有什么影响吗,这也跟 syn flood 一样占用资源吧
|
3
gamexg 2020-01-10 17:15:02 +08:00 via Android
@zhangyurui 限制单个 ip 连接数可以较简单的防护这种。回复 ack 需要实际持有 ip,ip 还是需要成本的。
|
4
hankai17 2020-01-10 17:17:59 +08:00
那我就开 inactive_timeout 超时就关
|
5
zhangyurui OP @gamexg 发送 syn 也是需要 ip 吧,如果限制 ip 连接数那 syn flood 也可以用这种方式防范吗
|
6
Archeb 2020-01-10 17:22:08 +08:00
发送 syn 可以用假的 ip
@zhangyurui |
7
baozhibo 2020-01-10 17:31:58 +08:00
三次握手完成以后,会进入 accept 的全连接队列,如果全连接队列满了,也会像 synflood 攻击一样,资源占用。
|
8
zhangyurui OP @Archeb 原来,因为攻击者不知道服务器回的 ack 标识,所以没有办法回复 ack 包去更改服务器连接状态是么
|
9
Archeb 2020-01-10 19:04:18 +08:00 via Android 1
@zhangyurui 是的 所以假 ip 不能完成 tcp 握手,也就只能打 udp flood,或者 syn flood
|
10
zhangyurui OP @Archeb 3q,懂啦
|
11
alphatoad 2020-01-11 06:14:58 +08:00
Syn cookie 可破
|