TCP原理篇之连接耗尽攻击&异常报文攻击

在前面的两篇贴子中，我们逐一介绍了利用TCP各种报文进行的Flood类攻击，以及华为Anti-DDoS解决方案的应对措施。由于TCP协议的重要性，攻击者们绞尽脑汁寻找协议可利用的弱点，针对TCP的攻击手段花样繁多。本篇我们就来介绍另外两种攻击方式：TCP连接耗尽攻击和TCP异常报文攻击。
0x01 TCP连接耗尽攻击与防御
TCP是面向连接的协议，通信双方必须保持连接状态，并且通过确认、重传、滑动窗口等机制，保证数据传输的可靠性和稳定性。攻击者利用TCP协议的上述特点，在TCP连接上做文章，利用TCP连接来消耗被攻击目标的系统资源，这类攻击的影响也不容小觑。
例如，攻击者与被攻击目标完成三次握手后，立刻发送FIN或RST报文，释放本端连接，同时快速发起新的连接，以此来消耗被攻击目标的系统资源。华为Anti-DDoS解决方案通过检查新建连接的速率来防御此类攻击。首先，针对受保护目标进行统计，当受保护目标的TCP新建连接速率超过阈值时，启动防御功能。然后针对源进行统计，如果某个源IP在指定的时间间隔内发起的TCP新建连接数超过了阈值，则将该源IP加入黑名单。

又比如，攻击者与被攻击目标完成三次握手后，发送很少的报文来维持连接状态，通过这种异常的TCP连接来消耗被攻击目标的系统资源。华为Anti-DDoS解决方案通过异常会话检查来防御此类攻击。如果受保护目标的TCP连接上特定时间内通过的报文数小于阈值，则认为该连接为异常会话。如果在特定时间内某个源IP的异常会话数超过阈值，则将该源IP加入黑名单。

除此之外，攻击者还会使用一些其他的攻击手段，比如构造大量的并发连接、设置很小的TCP窗口、发送重传报文等，其目的都是消耗被攻击目标的系统资源。总体来说，华为Anti-DDoS解决方案防御此类攻