郁闷，打开论坛说受到Rst攻击！

广陵寒

一打开这个论坛，防火墙就提示受到Rst攻击。。。。。。
注：[网上搜索的]
1、什么是RST攻击
   回答：假设现在有一个合法用户(1.1.1.1)已经同服务器建立了正常的连接，攻击者构造攻击的TCP数

据，伪装自己的IP为1.1.1.1，并向服务器发送一个带有RST位的TCP数据段。服务器接收到这样的数据后

，认为从1.1.1.1发送的连接有错误，就会清空缓冲区中建立好的连接。这时，如果合法用户1.1.1.1再发

送合法数据，服务器就已经没有这样的连接了，该用户就必须从新开始建立连接。
    攻击时，伪造大量的IP地址，向目标发送RST数据，使服务器不对合法用户服务。
2、另一种建议基于路由器的DDoS预防策略——在出口侧使用uRPF来停止IP地址欺骗攻击——这同样不能

有效防御现在的DDoS攻击，因为uRPF的基本原理是如果IP地址不属于应该来自的子网网络阻断出口业务。

然而，DDoS攻击能很容易伪造来自同一子网的IP地址，致使这种解决法案无效。更重要的是，为使uRPF有

效，它不得不在每一个潜在的攻击源之前配置——而不是当前的或可能发生的。

　　本质上，对于种类繁多的使用有效协议的欺骗攻击，路由器ACLs是无效的。包括:

　　● SYN、SYN-ACK、FIN等洪流。对一个Web服务器80端口上随机的SYN欺骗攻击或ACK、RST攻击，欺骗

的源IP地址不断的变换，ACLs无法追踪和停止这样的攻击。手动追踪或反常事件检测不能识别所有个别的

欺骗源。唯一的选择是阻断整个服务器，牺牲被攻击服务器的服务以保全基础网络的业务和其他用户，而

攻击者达到其攻击目标。

　　● 代理。因为一个ACL不能辨别来自于同一源IP或代理的正当SYN和恶意SYN，所以会通过阻断受害者

所有来自于某一源IP或代理的用户来尝试停止这一集中欺骗攻击。

　　● DNS或BGP。当发起这类随机欺骗DNS服务器或BGP路由器攻击时，ACLs——类似于SYN洪流——不仅

不能追踪快速变换的随机欺骗业务，也无法验证哪些地址是合法的，哪些是欺骗的。

　　ACLs在防御应用层(客户端)攻击时也是无效的，无论欺骗与否，ACLs理论上能阻断客户端攻击——例

如HTTP错误和HTTP半开连接攻击，假如攻击和单独的非欺骗源能被精确的监测——将要求用户对每一受害

者配置数百甚至数千ACLs，这其实是无法实际实施的。


黑客自爆"攻击新网手段跟原理"

情天:攻击新网只用了3成攻力  以下是我攻击新网用的手段  
拒绝服务攻击即攻击者想办法让目标机器停止提供服务或资源访问。这些资源包括磁盘空间、内存、进程

甚至网络带宽，从而阻止正常用户的访问。其实对网络带宽进行的消耗性攻击只是拒绝服务攻击的一小部

分，只要能够对目标造成麻烦，使某些服务被暂停甚至主机死机，都属于拒绝服务攻击。拒绝服务攻击问

题也一直得不到合理的解决，究其原因是因为这是由于网络协议本身的安全缺陷造成的，从而拒绝服务攻

击也成为了攻击者的终极手法。   

攻击者进行拒绝服务攻击，实际上让服务器实现两种效果：一是迫使服务器的缓冲区满，不接收新的请求

；二是使用IP欺骗，迫使服务器把合法用户的连接复位，影响合法用户的连接。  

接下来了解一下几种常见的拒绝服务攻击的原理：  

1．SYN Foold  
SYN Flood是当前最流行的DoS(拒绝服务攻击)与DDoS(Distributed Denial Of Service分布式拒绝服务攻

击)的方式之一，这是一种利用TCP协议缺陷，发送大量伪造的TCP连接请求，使被攻击方资源耗尽(CPU满

负荷或内存不足)的攻击方式。   

SYN Flood攻击的过程在TCP协议中被称为三次握手(Three-way Handshake)，而SYN Flood拒绝服务攻击就

是通过三次握手而实现的。  


(1) 攻击者向被攻击服务器发送一个包含SYN标志的TCP报文，SYN(Synchronize)即同步报文。同步报文会

指明客户端使用的端口以及TCP连接的初始序号。这时同被攻击服务器建立了第一次握手。  

(2) 受害服务器在收到攻击者的SYN报文后，将返回一个SYN+ACK的报文，表示攻击者的请求被接受，同时

TCP序号被加一，ACK(Acknowledgement)即确认，这样就同被攻击服务器建立了第二次握手。  

(3) 攻击者也返回一个确认报文ACK给受害服务器，同样TCP序列号被加一，到此一个TCP连接完成，三次

握手完成。  

具体原理是：TCP连接的三次握手中，假设一个用户向服务器发送了SYN报文后突然死机或掉线，那么服务

器在发出SYN+ACK应答报文后是无法收到客户端的ACK报文的(第三次握手无法完成)，这种情况下服务器端

一般会重试(再次发送SYN+ACK给客户端)并等待一段时间后丢弃这个未完成的连接。这段时间的长度我们

称为SYN Timeout，一般来说这个时间是分钟的数量级(大约为30秒~2分钟)；一个用户出现异常导致服务

器的一个线程等待1分钟并不是什么很大的问题，但如果有一个恶意的攻击者大量模拟这种情况(伪造IP地

址)，服务器端将为了维护一个非常大的半连接列表而消耗非常多的资源。即使是简单的保存并遍历也会

消耗非常多的CPU时间和内存，何况还要不断对这个列表中的IP进行SYN+ACK的重试。实际上如果服务器的

TCP/IP栈不够强大，最后的结果往往是堆栈溢出崩溃—— 既使服务器端的系统足够强大，服务器端也将

忙于处理攻击者伪造的TCP连接请求而无暇理睬客户的正常请求(毕竟客户端的正常请求比率非常之小)，

此时从正常客户的角度看来，服务器失去响应，这种情况就称作：服务器端受到了SYN Flood攻击(SYN洪

水攻击)。   

2．IP欺骗DOS攻击   
这种攻击利用RST位来实现。假设现在有一个合法用户(61.61.61.61)已经同服务器建立了正常的连接，攻

击者构造攻击的TCP数据，伪装自己的IP为61.61.61.61，并向服务器发送一个带有RST位的TCP数据段。服

务器接收到这样的数据后，认为从61.61.61.61发送的连接有错误，就会清空缓冲区中建立好的连接。这

时，如果合法用户61.61.61.61再发送合法数据，服务器就已经没有这样的连接了，该用户就必须从新开

始建立连接。攻击时，攻击者会伪造大量的IP地址，向目标发送RST数据，使服务器不对合法用户服务，

从而实现了对受害服务器的拒绝服务攻击。   

3. UDP洪水攻击  
攻击者利用简单的TCP/IP服务，如Chargen和Echo来传送毫无用处的占满带宽的数据。通过伪造与某一主

机的Chargen服务之间的一次的UDP连接，回复地址指向开着Echo服务的一台主机，这样就生成在两台主机

之间存在很多的无用数据流，这些无用数据流就会导致带宽的服务攻击。   

4. Ping洪流攻击  
由于在早期的阶段，路由器对包的最大尺寸都有限制。许多操作系统对TCP/IP栈的实现在ICMP包上都是规

定64KB，并且在对包的标题头进行读取之后，要根据该标题头里包含的信息来为有效载荷生成缓冲区。当

产生畸形的，声称自己的尺寸超过ICMP上限的包也就是加载的尺寸超过64K上限时，就会出现内存分配错

误，导致TCP/IP堆栈崩溃，致使接受方死机。   

5. 泪滴(teardrop)攻击  
泪滴攻击是利用在TCP/IP堆栈中实现信任IP碎片中的包的标题头所包含的信息来实现自己的攻击。IP分段

含有指明该分段所包含的是原包的哪一段的信息，某些TCP/IP(包括service pack 4以前的NT)在收到含有

重叠偏移的伪造分段时将崩溃。   

6. Land攻击   
Land攻击原理是：用一个特别打造的SYN包，它的原地址和目标地址都被设置成某一个服务器地址。此举

将导致接受服务器向它自己的地址发送SYN-ACK消息，结果这个地址又发回ACK消息并创建一个空连接。被

攻击的服务器每接收一个这样的连接都将保留，直到超时，对Land攻击反应不同，许多UNIX实现将崩溃，

NT变的极其缓慢(大约持续5分钟)。  

7. Smurf攻击  
一个简单的Smurf攻击原理就是：通过使用将回复地址设置成受害网络的广播地址的ICMP应答请求(ping)

数据包来淹没受害主机的方式进行。最终导致该网络的所有主机都对此ICMP应答请求作出答复，导致网络

阻塞。它比ping of death洪水的流量高出1或2个数量级。更加复杂的Smurf将源地址改为第三方的受害者

，最终导致第三方崩溃。  

8.Fraggle攻击   
原理：Fraggle攻击实际上就是对Smurf攻击作了简单的修改，使用的是UDP应答消息而非ICMP。  

iproffice

被攻击是正常的，但不一定攻击成功:L

Mysoft

防火墙误报的机率也很高～