伺服器如何攔截tcp

1. 如何防範tcp syn flood 攻擊

TCP SYN Flood攻 擊的原理機制/檢測與防範及防禦方法 現在的攻擊者,無所不在了.對於一些攻擊手法,很多高 手也都是看在眼裡而沒什麼實質性防範措施.除了改端 口,換IP,弄域名..還能做什麼? 本篇文章介紹了TCP SYN Flood攻擊的原理機制/檢測與防範及防禦方法,希望能給大夥一個思路. TCP SYN Flood攻擊的機制 客戶端通過發送在TCP報頭中SYN標志置位的數據分段到服務端來請求建立連接。通常情況下，服務端會按照IP報頭中的來源地址來返回SYN/ACK置位 的數據包給客戶端，客戶端再返回ACK到服務端來完成一個完整的連接(Figure-1)。 在攻擊發生時，客戶端的來源IP地址是經過偽造的(spoofed)，現行的IP路由機制僅檢查目的IP地址並進行轉發，該IP包到達目的主機後返回 路徑無法通過路由達到的，於是目的主機無法通過TCP三次握手建立連接。在此期間因為TCP緩存隊列已經填滿，而拒絕新的連接請求。目的主機一直嘗試直至 超時(大約75秒)。這就是該攻擊類型的基本機制。 發動攻擊的主機只要發送較少的，來源地址經過偽裝而且無法通過路由達到的SYN連接請求至目標主機提供TCP服務的埠，將目的主機的TCP緩存隊列 填滿，就可以實施一次成功的攻擊。實際情況下，發動攻擊時往往是持續且高速的。 Figure-3 SYN Flood Attack 這里需要使用經過偽裝且無法通過路由達到的來源IP地址，因為攻擊者不希望有任何第三方主機可以收到來自目的系 統返回的SYN/ACK，第三方主機會返回一個RST(主機無法判斷該如何處理連接情況時，會通過RST重置連接)，從而妨礙攻擊進行。 Figure-4 IP Spoofing 由此可以看到，這種攻擊方式利用了現有TCP/IP協議本身的薄弱環節，而且攻擊者可以通過IP偽裝有效的隱蔽自己。但對於目的主機來說，由於無法判 斷攻擊的真正來源。而不能採取有效的防禦措施。 TCP SYN Flood檢測與防範 一、分析 從上面的分析，可以看出TCP SYN Flood遠程拒絕服務攻擊具有以下特點： 針對TCP/IP協議的薄弱環節進行攻擊； 發動攻擊時，只要很少的數據流量就可以產生顯著的效果； 攻擊來源無法定位； 在服務端無法區分TCP連接請求是否合法。 二、系統檢查 一般情況下，可以一些簡單步驟進行檢查，來判斷系統是否正在遭受TCP SYN Flood攻擊。 1、服務端無法提供正常的TCP服務。連接請求被拒絕或超時； 2、通過 netstat -an 命 令檢查系統，發現有大量的SYN_RECV連接狀態。
三、防範 如何才能做到有效的防範呢? 1、 TCP Wrapper 使用TCP Wrapper(只有unix-like系統支持該功能，NT?可憐)可能在某些有限的場合下有用，比如服務端只處理有限來源IP的TCP連接請求，其它 未指定來源的連接請求一概拒絕。這在一個需要面向公眾提供服務的場合下是不適合的。而且攻擊者可以通過IP偽裝(IP Spoof)來直接攻擊受TCP Wrapper保護的TCP服務，更甚者可以攻擊者可以偽裝成服 務器本身的地址進行攻擊。 2、增加TCP Backlog容量 增加TCP Backlog容量是一種治標不治本的做法。它一方面要佔用更多的系統內存，另一方面延長了TCP處理緩存隊列的時間。攻擊者只要不停地的進行SYN Flood一樣可以達到拒絕服務的目的。 3、 ISP接入 所有的ISP在邊界處理進入的主幹網 絡的IP數據包時檢測其來源地址是否合法，如果非指定來源IP地址范圍，可以認為是IP Spoofing行為並將之丟棄。 在實際環境中，應為涉及的范圍太過廣泛，該方案無法實施。這是一個社會問題而非技 術問題。 TCP SYN Flood檢測與防範 一、TCP連接監控(TCP Interception) 為了有效的防範TCP SYN Flood攻擊，在保證通過慢速網路的用戶可以正常建立到服務端的合法連接的同時，需要盡可能的減少服務端TCP Backlog的清空時間，大多數防 火牆採用了TCP連接監控的工作模式。 1.防火牆接到來自用戶端Z的SYN連接請求，在本地建立面向該連接的監控表項； 2.防火牆將該連接請求之轉發至服務端A； 3.服務端A相應該連接請求返回SYN/ACK，同時更新與該連接相關聯的監控表項； 4.防火牆將該SYN/ACK轉發至用戶端Z； 5.防火牆發送ACK至服務端A，同時服務端A中TCP Backlog該連接的表項被移出； 6.這時，根據連接請求是否合法，可能有以下兩種情況發生: a.如果來自用戶端Z的連接請求合法，防火牆將該ACK轉發至服務端A，服務端A會忽略該ACK，因為一個完整的TCP連接已經建立； b.如果來自用戶端Z的連接請求非法(來源IP地址非法)，沒有在規定的時間內收到返回的ACK，防火牆會發送RST至服務端A以拆除該連接。 7.開始TCP傳輸過程。 由此可以看出，該方法具有兩個局限: 1.不論是否合法的連接請求都直接轉發至服務端A，待判斷為非法連接(無返回ACK)時才採取措施拆除連接，浪費服務端系統資源； 2.防火牆在本地建立表項以監控連接(一個類似TCP Backlog的表)，有可能被攻擊者利用。 二、天網DoS防禦網關 天網防火牆採用經過優化的TCP連接監控工作方式。該方式在處理TCP連接請求的時候，在確定連接請求是否合法以前，用戶端Z與服務端A是隔斷的。 1.防火牆接到來自用戶端Z的SYN連接請求； 2.防火牆返回一個經過特殊處理的SYN/ACK至客戶端Z以驗證連接的合法性； 3.這時，根據連接請求是否合法，可能有以下兩種情況發生: a．防火牆接收到來自客戶端Z的ACK回應，該連接請求合法。轉至第4步繼續； b．防火牆沒有接收到來自客戶端Z的ACK回應，該連接請求非法，不進行處理； 4.防火牆在本地建立面向該連接的監控表項，並發送與該連接請求相關聯的SYN至服務端A； 5.防火牆接到來自服務端A的SYN/ACK回應； 6.防火牆返回ACK以建立一個完整的TCP連接； 7.防火牆發送ACK至客戶端Z，提示可以開始TCP傳輸過程。 其中，在第2/3/4/7步過程中，防火牆內部進行了如下操作: 1.在第2步中，為了驗證連接的合法性，防火牆返回的SYN/ACK是經過特殊處理的，並提示客戶端Z暫時不要傳送有效數據； 2.在第3步中，防火牆接收到來自客戶端Z的ACK，檢驗其合法性。 3.在第4步中，防火牆在本地建立面向該連接的監控表項，同時發送與該連接相關的SYN至服務端A； 4.在第7步中，防火牆通過將TCP數據傳輸與監控表項進行比對，並調整序列號和窗口以使之匹配。開始TCP數據傳輸。 在這里，天網防火牆通過高效的演算法（64K位的Hash）提供了超過30萬以上的同時連接數的容量，為數據傳輸的高效和可靠提供了強有力地保障。
希望能幫到你，求採納。

2. 如何防止dos攻擊

擊手段，它通過獨占網路資源、使其他主機不 能進行正常訪問，從而導致宕機或網路癱瘓。

DoS攻擊主要分為Smurf、SYN Flood和Fraggle三種，在Smurf攻擊中，攻擊者使用ICMP數據包阻塞伺服器和其他網路資源;SYN Flood攻擊使用數量巨大的TCP半連接來佔用網路資源;Fraggle攻擊與Smurf攻擊原理類似，使用UDP echo請求而不是ICMP echo請求發起攻擊。

盡管網路安全專家都在著力開發阻止DoS攻擊的設備，但收效不大，因為DoS攻擊利用了TCP協議本身的弱點。正確配置路由器能夠有效防止DoS攻擊。以Cisco路由器為例，Cisco路由器中的IOS軟體具有許多防止DoS攻擊的特性，保護路由器自身和內部網路的安全。

使用擴展訪問列表

擴展訪問列表是防止DoS攻擊的有效工具。它既可以用來探測DoS攻擊的類型，也可以阻止DoS攻擊。Show ip access-list命令能夠顯示每個擴展訪問列表的匹配數據包，根據數據包的類型，用戶就可以確定DoS攻擊的種類。如果網路中出現了大量建立TCP連接的請求，這表明網路受到了SYN Flood攻擊，這時用戶就可以改變訪問列表的配置，阻止DoS攻擊。

使用QoS

使用服務質量優化(QoS)特徵，如加權公平隊列(WFQ)、承諾訪問速率(CAR)、一般流量整形(GTS)以及定製隊列(CQ)等，都可以有效阻止DoS攻擊。需要注意的是，不同的QoS策略對付不同DoS攻擊的效果是有差別的。例如，WFQ對付Ping Flood攻擊要比防止SYN Flood攻擊更有效，這是因為Ping Flood通常會在WFQ中表現為一個單獨的傳輸隊列，而SYN Flood攻擊中的每一個數據包都會表現為一個單獨的數據流。此外，人們可以利用CAR來限制ICMP數據包流量的速度，防止Smurf攻擊，也可以用來限制SYN數據包的流量速度，防止SYN Flood攻擊。使用QoS防止DoS攻擊，需要用戶弄清楚QoS以及DoS攻擊的原理，這樣才能針對DoS攻擊的不同類型採取相應的防範措施。

使用單一地址逆向轉發

逆向轉發(RPF)是路由器的一個輸入功能，該功能用來檢查路由器介面所接收的每一個數據包。如果路由器接收到一個源IP地址為10.10.10.1的數據包，但是CEF(Cisco Express Forwarding)路由表中沒有為該IP地址提供任何路由信息，路由器就會丟棄該數據包，因此逆向轉發能夠阻止Smurf攻擊和其他基於IP地址偽裝的攻擊。

使用RPF功能需要將路由器設為快速轉發模式(CEF switching)，並且不能將啟用RPF功能的介面配置為CEF交換。RPF在防止IP地址欺騙方面比訪問列表具有優勢，首先它能動態地接受動態和靜態路由表中的變化;第二RPF所需要的操作維護較少;第三RPF作為一個反欺騙的工具，對路由器本身產生的性能沖擊，要比使用訪問列表小得多。

使用TCP攔截

Cisco在IOS 11.3版以後，引入了TCP攔截功能，這項功能可以有效防止SYN Flood攻擊內部主機。

在TCP連接請求到達目標主機之前，TCP攔截通過攔截和驗證來阻止這種攻擊。TCP攔截可以在攔截和監視兩種模式下工作。在攔截模式下，路由器攔截到達的TCP同步請求，並代表伺服器建立與客戶機的連接，如果連接成功，則代表客戶機建立與伺服器的連接，並將兩個連接進行透明合並。在整個連接期間，路由器會一直攔截和發送數據包。對於非法的連接請求，路由器提供更為嚴格的對於half-open的超時限制，以防止自身的資源被SYN攻擊耗盡。在監視模式下，路由器被動地觀察流經路由器的連接請求，如果連接超過了所配置的建立時間，路由器就會關閉此連接。

在Cisco路由器上開啟TCP攔截功能需要兩個步驟:一是配置擴展訪問列表，以確定需要保護的IP地址;二是開啟TCP攔截。配置訪問列表是為了定義需要進行TCP攔截的源地址和目的地址，保護內部目標主機或網路。在配置時，用戶通常需要將源地址設為any，並且指定具體的目標網路或主機。如果不配置訪問列表，路由器將會允許所有的請求經過。

使用基於內容的訪問控制

基於內容的訪問控制(CBAC)是對Cisco傳統訪問列表的擴展，它基於應用層會話信息，智能化地過濾TCP和UDP數據包，防止DoS攻擊。

CBAC通過設置超時時限值和會話門限值來決定會話的維持時間以及何時刪除半連接。對TCP而言，半連接是指一個沒有完成三階段握手過程的會話。對UDP而言，半連接是指路由器沒有檢測到返迴流量的會話。

CBAC正是通過監視半連接的數量和產生的頻率來防止洪水攻擊。每當有不正常的半連接建立或者在短時間內出現大量半連接的時候，用戶可以判斷是遭受了洪水攻擊。CBAC每分鍾檢測一次已經存在的半連接數量和試圖建立連接的頻率，當已經存在的半連接數量超過了門限值，路由器就會刪除一些半連接，以保證新建立連接的需求，路由器持續刪除半連接，直到存在的半連接數量低於另一個門限值;同樣，當試圖建立連接的頻率超過門限值，路由器就會採取相同的措施，刪除一部分連接請求，並持續到請求連接的數量低於另一個門限值。通過這種連續不斷的監視和刪除，CBAC可以有效防止SYN Flood和Fraggle攻擊。

路由器是企業內部網路的第一道防護屏障，也是黑客攻擊的一個重要目標，如果路由器很容易被攻破，那麼企業內部網路的安全也就無從談起，因此在路由器上採取適當措施，防止各種DoS攻擊是非常必要的。用戶需要注意的是，以上介紹的幾種方法，對付不同類型的DoS攻擊的能力是不同的，對路由器CPU和內存資源的佔用也有很大差別，在實際環境中，用戶需要根據自身情況和路由器的性能來選擇使用適當的方

3. 如何清理掉伺服器端的異常TCP連接

最主要是找到異常連接的主程序；
如果暫時解決，可以用ipsec（Linux下用iptables）阻止連接請求。

4. 請說明在區域網中如何用IP欺騙中斷內網一台主機與外網一台具體伺服器的TCP連

摘要 假設採取IP欺騙的攻擊主機為X，它的攻擊目標是主機A，並且主機A信任主機B，那麼

5. 如何防禦針對Linux伺服器的攻擊

引:隨著Linux企業應用的擴展，有大量的網路伺服器使用Linux操作系統。Linux伺服器的安全性能受到越來越多的關注，這里根據Linux伺服器受到攻擊的深度以級別形式列出，並提出不同的解決方案。

隨著Linux企業應用的擴展，有大量的網路伺服器使用Linux操作系統。Linux伺服器的安全性能受到越來越多的關注，這里根據Linux伺服器受到攻擊的深度以級別形式列出，並提出不同的解決方案。

對Linux伺服器攻擊的定義是：攻擊是一種旨在妨礙、損害、削弱、破壞Linux伺服器安全的未授權行為。攻擊的范圍可以從服務拒絕直至完全危害和破壞Linux伺服器。對Linux伺服器攻擊有許多種類,本文從攻擊深度的角度說明，我們把攻擊分為四級。

攻擊級別一：服務拒絕攻擊(DoS)

由於DoS攻擊工具的泛濫，及所針對的協議層的缺陷短時無法改變的事實，DoS也就成為了流傳最廣、最難防範的攻擊方式。

服務拒絕攻擊包括分布式拒絕服務攻擊、反射式分布拒絕服務攻擊、DNS分布拒絕服務攻擊、FTP攻擊等。大多數服務拒絕攻擊導致相對低級的危險，即便是那些可能導致系統重啟的攻擊也僅僅是暫時性的問題。這類攻擊在很大程度上不同於那些想獲取網路控制的攻擊，一般不會對數據安全有影響，但是服務拒絕攻擊會持續很長一段時間，非常難纏。

到目前為止，沒有一個絕對的方法可以制止這類攻擊。但這並不表明我們就應束手就擒，除了強調個人主機加強保護不被利用的重要性外，加強對伺服器的管理是非常重要的一環。一定要安裝驗證軟體和過濾功能，檢驗該報文的源地址的真實地址。另外對於幾種服務拒絕可以採用以下措施：關閉不必要的服務、限制同時打開的Syn半連接數目、縮短Syn半連接的time out 時間、及時更新系統補丁。

攻擊級別二：本地用戶獲取了他們非授權的文件的讀寫許可權

本地用戶是指在本地網路的任一台機器上有口令、因而在某一驅動器上有一個目錄的用戶。本地用戶獲取到了他們非授權的文件的讀寫許可權的問題是否構成危險很大程度上要看被訪問文件的關鍵性。任何本地用戶隨意訪問臨時文件目錄(/tmp)都具有危險性，它能夠潛在地鋪設一條通向下一級別攻擊的路徑。

級別二的主要攻擊方法是：黑客誘騙合法用戶告知其機密信息或執行任務，有時黑客會假裝網路管理人員向用戶發送郵件，要求用戶給他系統升級的密碼。

由本地用戶啟動的攻擊幾乎都是從遠程登錄開始。對於Linux伺服器，最好的辦法是將所有shell賬號放置於一個單獨的機器上，也就是說，只在一台或多台分配有shell訪問的伺服器上接受注冊。這可以使日誌管理、訪問控制管理、釋放協議和其他潛在的安全問題管理更容易些。還應該將存放用戶cgI的系統區分出來。這些機器應該隔離在特定的網路區段，也就是說，根據網路的配置情況，它們應該被路由器或網路交換機包圍。其拓撲結構應該確保硬體地址欺騙也不能超出這個區段。

攻擊級別三：遠程用戶獲得特權文件的讀寫許可權

第三級別的攻擊能做到的不只是核實特定文件是否存在，而且還能讀寫這些文件。造成這種情況的原因是：Linux伺服器配置中出現這樣一些弱點：即遠程用戶無需有效賬號就可以在伺服器上執行有限數量的命令。

密碼攻擊法是第三級別中的主要攻擊法，損壞密碼是最常見的攻擊方法。密碼破解是用以描述在使用或不使用工具的情況下滲透網路、系統或資源以解鎖用密碼保護的資源的一個術語。用戶常常忽略他們的密碼，密碼政策很難得到實施。黑客有多種工具可以擊敗技術和社會所保護的密碼。主要包括：字典攻擊(Dictionary attack)、混合攻擊(Hybrid attack)、蠻力攻擊(Brute force attack)。一旦黑客擁有了用戶的密碼，他就有很多用戶的特權。密碼猜想是指手工進入普通密碼或通過編好程序的正本取得密碼。一些用戶選擇簡單的密碼—如生日、紀念日和配偶名字，卻並不遵循應使用字母、數字混合使用的規則。對黑客來說要猜出一串8個字生日數據不用花多長時間。

防範第三級別的攻擊的最好的防衛方法便是嚴格控制進入特權，即使用有效的密碼。

◆ 主要包括密碼應當遵循字母、數字、大小寫(因為Linux對大小寫是有區分)混合使用的規則。

◆ 使用象「#」或「%」或「"countbak"一詞，它後面添加「##」

攻擊級別四：遠程用戶獲得根許可權

第四攻擊級別是指那些決不應該發生的事發生了，這是致命的攻擊。表示攻擊者擁有Linux伺服器的根、超級用戶或管理員許可權，可以讀、寫並執行所有文件。換句話說，攻擊者具有對Linux伺服器的全部控制權，可以在任何時刻都能夠完全關閉甚至毀滅此網路。

攻擊級別四主要攻擊形式是TCP/IP連續偷竊，被動通道聽取和信息包攔截。TCP/IP連續偷竊，被動通道聽取和信息包攔截，是為進入網路收集重要信息的方法，不像拒絕服務攻擊，這些方法有更多類似偷竊的性質，比較隱蔽不易被發現。一次成功的TCP/IP攻擊能讓黑客阻攔兩個團體之間的交易，提供中間人襲擊的良好機會，然後黑客會在不被受害者注意的情況下控制一方或雙方的交易。通過被動竊聽，黑客會操縱和登記信息，把文件送達，也會從目標系統上所有可通過的通道找到可通過的致命要害。黑客會尋找聯機和密碼的結合點，認出申請合法的通道。信息包攔截是指在目標系統約束一個活躍的聽者程序以攔截和更改所有的或特別的信息的地址。信息可被改送到非法系統閱讀，然後不加改變地送回給黑客。

TCP/IP連續偷竊實際就是網路嗅探，注意如果您確信有人接了嗅探器到自己的網路上，可以去找一些進行驗證的工具。這種工具稱為時域反射計量器(Time Domain Reflectometer，TDR)。TDR對電磁波的傳播和變化進行測量。將一個TDR連接到網路上，能夠檢測到未授權的獲取網路數據的設備。不過很多中小公司沒有這種價格昂貴的工具。

對於防範嗅探器的攻擊最好的方法是：

1、安全的拓撲結構。嗅探器只能在當前網路段上進行數據捕獲。這就意味著，將網路分段工作進行得越細，嗅探器能夠收集的信息就越少。

2、會話加密。不用特別地擔心數據被嗅探，而是要想辦法使得嗅探器不認識嗅探到的數據。這種方法的優點是明顯的：即使攻擊者嗅探到了數據，這些數據對他也是沒有用的。

特別提示：應對攻擊的反擊措施

對於超過第二級別的攻擊您就要特別注意了。因為它們可以不斷的提升攻擊級別，以滲透Linux伺服器。此時，我們可以採取的反擊措施有：

◆ 首先備份重要的企業關鍵數據。

◆ 改變系統中所有口令，通知用戶找系統管理員得到新口令。

◆ 隔離該網路網段使攻擊行為僅出現在一個小范圍內。

◆ 允許行為繼續進行。如有可能，不要急於把攻擊者趕出系統，為下一步作準備。

◆ 記錄所有行為，收集證據。這些證據包括：系統登錄文件、應用登錄文件、AAA(Authentication、Authorization、 Accounting，認證、授權、計費)登錄文件，RADIUS(Remote Authentication Dial-In User Service) 登錄，網路單元登錄(Network Element Logs)、防火牆登錄、HIDS(Host-base IDS，基於主機的入侵檢測系統) 事件、NIDS(網路入侵檢測系統)事件、磁碟驅動器、隱含文件等。收集證據時要注意：在移動或拆卸任何設備之前都要拍照;在調查中要遵循兩人法則，在信息收集中要至少有兩個人，以防止篡改信息;應記錄所採取的所有步驟以及對配置設置的任何改變，要把這些記錄保存在安全的地方。檢查系統所有目錄的存取許可，檢測Permslist是否被修改過。

◆ 進行各種嘗試(使用網路的不同部分)以識別出攻擊源。

◆ 為了使用法律武器打擊犯罪行為，必須保留證據，而形成證據需要時間。為了做到這一點，必須忍受攻擊的沖擊(雖然可以制定一些安全措施來確保攻擊不損害網路)。對此情形，我們不但要採取一些法律手段，而且還要至少請一家有權威的安全公司協助阻止這種犯罪。這類操作的最重要特點就是取得犯罪的證據、並查找犯罪者的地址，提供所擁有的日誌。對於所搜集到的證據，應進行有效地保存。在開始時製作兩份，一個用於評估證據，另一個用於法律驗證。

◆ 找到系統漏洞後設法堵住漏洞，並進行自我攻擊測試。

網路安全已經不僅僅是技術問題，而是一個社會問題。企業應當提高對網路安全重視，如果一味地只依靠技術工具，那就會越來越被動;只有發揮社會和法律方面打擊網路犯罪，才能更加有效。我國對於打擊網路犯罪已經有了明確的司法解釋，遺憾的是大多數企業只重視技術環節的作用而忽略法律、社會因素，這也是本文的寫作目的。

6. 如何攔截網路攻擊

黑客攻擊行為特徵分析 反攻擊技術綜合性分析報告 www.rising.com.cn 信息源:計算機與安全 要想更好的保護網路不受黑客的攻擊，就必須對黑客的攻擊方法、攻擊原理、攻擊過程有深入的、詳細的了解，只有這樣才能更有效、更具有針對性的進行主動防護。下面通過對黑客攻擊方法的特徵分析，來研究如何對黑客攻擊行為進行檢測與防禦。一、反攻擊技術的核心問題反攻擊技術（入侵檢測技術）的核心問題是如何截獲所有的網路信息。目前主要是通過兩種途徑來獲取信息，一種是通過網路偵聽的途徑（如Sniffer，Vpacket等程序）來獲取所有的網路信息（數據包信息，網路流量信息、網路狀態信息、網路管理信息等），這既是黑客進行攻擊的必然途徑，也是進行反攻擊的必要途徑；另一種是通過對操作系統和應用程序的系統日誌進行分析，來發現入侵行為和系統潛在的安全漏洞。二、黑客攻擊的主要方式黑客對網路的攻擊方式是多種多樣的，一般來講，攻擊總是利用「系統配置的缺陷」，「操作系統的安全漏洞」或「通信協議的安全漏洞」來進行的。到目前為止，已經發現的攻擊方式超過2000種，其中對絕大部分黑客攻擊手段已經有相應的解決方法，這些攻擊大概可以劃分為以下六類：1.拒絕服務攻擊：一般情況下，拒絕服務攻擊是通過使被攻擊對象（通常是工作站或重要伺服器）的系統關鍵資源過載，從而使被攻擊對象停止部分或全部服務。目前已知的拒絕服務攻擊就有幾百種，它是最基本的入侵攻擊手段，也是最難對付的入侵攻擊之一，典型示例有SYN Flood攻擊、Ping Flood攻擊、Land攻擊、WinNuke攻擊等。2.非授權訪問嘗試：是攻擊者對被保護文件進行讀、寫或執行的嘗試，也包括為獲得被保護訪問許可權所做的嘗試。3.預探測攻擊：在連續的非授權訪問嘗試過程中，攻擊者為了獲得網路內部的信息及網路周圍的信息，通常使用這種攻擊嘗試，典型示例包括SATAN掃描、埠掃描和IP半途掃描等。4.可疑活動：是通常定義的「標准」網路通信范疇之外的活動，也可以指網路上不希望有的活動，如IP Unknown Protocol和Duplicate IP Address事件等。5.協議解碼：協議解碼可用於以上任何一種非期望的方法中，網路或安全管理員需要進行解碼工作，並獲得相應的結果，解碼後的協議信息可能表明期望的活動，如FTU User和Portmapper Proxy等解碼方式。6.系統代理攻擊：這種攻擊通常是針對單個主機發起的，而並非整個網路，通過RealSecure系統代理可以對它們進行監視。三、黑客攻擊行為的特徵分析與反攻擊技術入侵檢測的最基本手段是採用模式匹配的方法來發現入侵攻擊行為，要有效的進反攻擊首先必須了解入侵的原理和工作機理，只有這樣才能做到知己知彼，從而有效的防止入侵攻擊行為的發生。下面我們針對幾種典型的入侵攻擊進行分析，並提出相應的對策。1.Land攻擊攻擊類型：Land攻擊是一種拒絕服務攻擊。攻擊特徵：用於Land攻擊的數據包中的源地址和目標地址是相同的，因為當操作系統接收到這類數據包時，不知道該如何處理堆棧中通信源地址和目的地址相同的這種情況，或者循環發送和接收該數據包，消耗大量的系統資源，從而有可能造成系統崩潰或死機等現象。檢測方法：判斷網路數據包的源地址和目標地址是否相同。反攻擊方法：適當配置防火牆設備或過濾路由器的過濾規則就可以防止這種攻擊行為（一般是丟棄該數據包），並對這種攻擊進行審計（記錄事件發生的時間，源主機和目標主機的MAC地址和IP地址）。2.TCP SYN攻擊攻擊類型：TCP SYN攻擊是一種拒絕服務攻擊。攻擊特徵：它是利用TCP客戶機與伺服器之間三次握手過程的缺陷來進行的。攻擊者通過偽造源IP地址向被攻擊者發送大量的SYN數據包，當被攻擊主機接收到大量的SYN數據包時，需要使用大量的緩存來處理這些連接，並將SYN ACK數據包發送回錯誤的IP地址，並一直等待ACK數據包的回應，最終導致緩存用完，不能再處理其它合法的SYN連接，即不能對外提供正常服務。檢測方法：檢查單位時間內收到的SYN連接否收超過系統設定的值。反攻擊方法：當接收到大量的SYN數據包時，通知防火牆阻斷連接請求或丟棄這些數據包，並進行系統審計。3.Ping Of Death攻擊攻擊類型：Ping Of Death攻擊是一種拒絕服務攻擊。攻擊特徵：該攻擊數據包大於65535個位元組。由於部分操作系統接收到長度大於65535位元組的數據包時，就會造成內存溢出、系統崩潰、重啟、內核失敗等後果，從而達到攻擊的目的。檢測方法：判斷數據包的大小是否大於65535個位元組。反攻擊方法：使用新的補丁程序，當收到大於65535個位元組的數據包時，丟棄該數據包，並進行系統審計。4.WinNuke攻擊攻擊類型：WinNuke攻擊是一種拒絕服務攻擊。攻擊特徵：WinNuke攻擊又稱帶外傳輸攻擊，它的特徵是攻擊目標埠，被攻擊的目標埠通常是139、138、137、113、53，而且URG位設為「1」，即緊急模式。檢測方法：判斷數據包目標埠是否為139、138、137等，並判斷URG位是否為「1」。反攻擊方法：適當配置防火牆設備或過濾路由器就可以防止這種攻擊手段（丟棄該數據包），並對這種攻擊進行審計（記錄事件發生的時間，源主機和目標主機的MAC地址和IP地址MAC）。5.Teardrop攻擊攻擊類型：Teardrop攻擊是一種拒絕服務攻擊。攻擊特徵：Teardrop是基於UDP的病態分片數據包的攻擊方法，其工作原理是向被攻擊者發送多個分片的IP包（IP分片數據包中包括該分片數據包屬於哪個數據包以及在數據包中的位置等信息），某些操作系統收到含有重疊偏移的偽造分片數據包時將會出現系統崩潰、重啟等現象。檢測方法：對接收到的分片數據包進行分析，計算數據包的片偏移量（Offset）是否有誤。反攻擊方法：添加系統補丁程序，丟棄收到的病態分片數據包並對這種攻擊進行審計。6.TCP／UDP埠掃描攻擊類型：TCP/UDP埠掃描是一種預探測攻擊。攻擊特徵：對被攻擊主機的不同埠發送TCP或UDP連接請求，探測被攻擊對象運行的服務類型。檢測方法：統計外界對系統埠的連接請求，特別是對21、23、25、53、80、8000、8080等以外的非常用埠的連接請求。反攻擊方法：當收到多個TCP/UDP數據包對異常埠的連接請求時，通知防火牆阻斷連接請求，並對攻擊者的IP地址和MAC地址進行審計。對於某些較復雜的入侵攻擊行為（如分布式攻擊、組合攻擊）不但需要採用模式匹配的方法，還需要利用狀態轉移、網路拓撲結構等方法來進行入侵檢測。四、入侵檢測系統的幾點思考從性能上講，入侵檢測系統面臨的一個矛盾就是系統性能與功能的折衷，即對數據進行全面復雜的檢驗構成了對系統實時性要求很大的挑戰。從技術上講，入侵檢測系統存在一些亟待解決的問題，主要表現在以下幾個方面：1.如何識別「大規模的組合式、分布式的入侵攻擊」目前還沒有較好的方法和成熟的解決方案。從Yahoo等著名ICP的攻擊事件中，我們了解到安全問題日漸突出，攻擊者的水平在不斷地提高，加上日趨成熟多樣的攻擊工具，以及越來越復雜的攻擊手法，使入侵檢測系統必須不斷跟蹤最新的安全技術。2.網路入侵檢測系統通過匹配網路數據包發現攻擊行為，入侵檢測系統往往假設攻擊信息是明文傳輸的，因此對信息的改變或重新編碼就可能騙過入侵檢測系統的檢測，因此字元串匹配的方法對於加密過的數據包就顯得無能為力。3.網路設備越來越復雜、越來越多樣化就要求入侵檢測系統能有所定製，以適應更多的環境的要求。4.對入侵檢測系統的評價還沒有客觀的標准，標準的不統一使得入侵檢測系統之間不易互聯。入侵檢測系統是一項新興技術，隨著技術的發展和對新攻擊識別的增加，入侵檢測系統需要不斷的升級才能保證網路的安全性。5.採用不恰當的自動反應同樣會給入侵檢測系統造成風險。入侵檢測系統通常可以與防火牆結合在一起工作，當入侵檢測系統發現攻擊行為時，過濾掉所有來自攻擊者的IP數據包，當一個攻擊者假冒大量不同的IP進行模擬攻擊時，入侵檢測系統自動配置防火牆將這些實際上並沒有進行任何攻擊的地址都過濾掉，於是造成新的拒絕服務訪問。6.對IDS自身的攻擊。與其他系統一樣，IDS本身也存在安全漏洞，若對IDS攻擊成功，則導致報警失靈，入侵者在其後的行為將無法被記錄，因此要求系統應該採取多種安全防護手段。7.隨著網路的帶寬的不斷增加，如何開發基於高速網路的檢測器（事件分析器）仍然存在很多技術上的困難。入侵檢測系統作為網路安全關鍵性測防系統，具有很多值得進一步深入研究的方面，有待於我們進一步完善，為今後的網路發展提供有效的安全手段。

7. 抑制TCP SYN有什麼好處，每天10萬IP的伺服器該怎麼設置

要開的。TCP連接機制是握手時先由客戶端向伺服器端發送SYN消息，伺服器返回SYN-ACK應答表示接收到了這個消息，客戶端再以ACK消息響應伺服器標明連接已經建立。

許多黑客會利用這個漏洞大量發送半連接請求，即客戶端偽造不存在的IP地址，向伺服器不斷地發送SYN包，在伺服器回復確認包，並等待客戶的確認的過程中，由於源地址是不存在的，伺服器需要不斷的重發直至超時，這些偽造的SYN包將長時間佔用未連接隊列，佔用伺服器CPU和內存資源。

8. 如何屏蔽伺服器的多餘埠（如445 。。。。。

下一個防火牆最簡單.
如果要是你不想用的話可以禁用那些服務.
可以如下步驟:本地連接-->屬性-->tcp/ip-->屬性-->常規下的 高級-->選項-->tcp/ip篩選-->屬性

在這里你就可以自己定義任何埠.
找不到可以email給我: [email protected]