syn攻击原理与防护措施

小程序：扫一扫查出行
【扫一扫了解最新限行尾号】
复制小程序

何为syn攻击？

先普及下tcp3次握手的知识，在TCP/IP中，tcp协议提供可靠的socket连接服务，通过3次握手建立可靠连接。

tcp3次握手过程：

第一阶段：某终端向服务器发送syn（syn=x）请求消息，并进入SYN_SEND状态

第二阶段：服务器收到syn请求后，会回馈给终端synack消息（synack=x+1）和syn消息（syn=y），并进入SYN_RECV状态

第三阶段：终端收到服务器的syn和synack，并向服务器反馈ack消息（ack=y+1），完成3次握手开始传输数据。

了解到tcp3次握手之后呢，我们说一下syn攻击是怎么回事吧。syn其实就是在进行到第二阶段结束后，此时服务器不是已经发送了syn消息和synack消息了吗，这服务器真是个老好人啊，由于tcp3次握手机制，它得等着终端那家伙给它反馈synack消息啊，所以吧，服务器得分配一定的资源等着终端那家伙啊。可是呢，这终端比较坏，不但不回复synack包给服务器，反倒搞一大堆第一阶段的syn请求消息。这下服务器可不好过了啊，得腾出好多好多资源给终端留着啊，最后可能就把自己搞死了。这就是所谓的syn攻击啊，又称为ddos攻击。

syn攻击的防范？

1.通过调整sysctl.conf网络内核文件

第一步，列出系统现有的sysctl.conf配置并筛选出syn字眼【不筛选的话好多的，展示不了】

[root@centos-linux- ~]# sysctl -a|grep syn|grep -v ipv6
sysctl: reading key "net.ipv6.conf.all.stable_secret"
sysctl: reading key "net.ipv6.conf.default.stable_secret"
sysctl: reading key "net.ipv6.conf.eth0.stable_secret"
sysctl: reading key "net.ipv6.conf.lo.stable_secret"
fs.quota.syncs =
fs.xfs.inherit_sync =
fs.xfs.xfssyncd_centisecs =
net.ipv4.tcp_max_syn_backlog =
net.ipv4.tcp_syn_retries =
net.ipv4.tcp_synack_retries =
net.ipv4.tcp_syncookies =

第二步，修改syn_retries与synack_retries的数值为2或3，设置syn_cookies为1【centeros 7默认为打开‘1’】

[root@centos-linux- ~]# vim /etc/sysctl.conf
net.ipv4.tcp_syn_retries =
net.ipv4.tcp_synack_retries =
net.ipv4.tcp_syncookies =
net.ipv4.tcp_max_syn_backlog =

这里解释一下以上内容的含义：

net.ipv4.tcp_syn_retries = 2

【服务器在等待不到终端的确认消息时，syn消息报文会重新发送，需要根据网络情况尽量减少，如果网络不好的情况下终端可能会出现连不上服务器的情况】

net.ipv4.tcp_synack_retries = 2

【服务器在等待不到终端的确认消息时，synack消息报文会重新发送，需要根据网络情况尽量减少，情况和上面一样】

net.ipv4.tcp_syncookies = 1

【该功能可以防止部分SYN攻击】

net.ipv4.tcp_max_syn_backlog = 1024

【tcp_max_syn_backlog 是SYN队列的长度，加大SYN队列长度可以容纳更多等待连接的网络连接数】

2.通过防火墙编写高级acl

iptables -N syn-flood
iptables -A syn-flood -m limit --limit /s --limit-burst -j RETURN
iptables -A syn-flood -j DROP
iptables -I INPUT -j syn-flood
service iptables save

命令解释：

-N 创建一个条新的链

–limit 50/s 表示每秒50次; 1/m 则为每分钟一次

–limit-burst 表示允许触发 limit 限制的最大包个数 (预设5)，它就像是一个容器，最多装10个，超过10个就装不下了，这些包就给后面的规则了

-I INPUT -j syn-flood 把INPUT的包交给syn-flood链处理

这里的–limit-burst=10相当于说最开始我有10个可以匹配的包去转发，然后我匹配的包的个数是根据–limit=50/s进行限制的，也就是每秒限制转发50个数据包，多余的会被下面符合要求的DROP规则去处理，进行丢弃，这样就实现了对数据包的限速问题。