🔐 TCP 攻击与防御机制说明

本文介绍常见的 TCP 攻击方式及其原理，并结合实际场景提供相应的防御策略和加固建议。

---

📖 一、TCP 协议基础简述

TCP（Transmission Control Protocol）是面向连接的、可靠的、基于字节流的传输层协议。它的三次握手和四次挥手机制为数据通信建立可靠连接。

🔁 三次握手流程（握手建立连接）

1. 客户端 → 服务端： 发送 SYN 报文（同步序列号）；
2. 服务端 → 客户端： 回复 SYN+ACK 报文；
3. 客户端 → 服务端： 回复 ACK 报文，连接建立完成。

---

💥 二、常见 TCP 攻击方式

1. SYN Flood 攻击

🧨 原理：

• 攻击者伪造大量源 IP 地址，不断向目标发送 SYN 请求；
• 服务端分配资源并进入 SYN_RECV 状态等待 ACK；
• 因为 ACK 不会到来，服务端资源被耗尽，导致正常连接无法建立。

⚠️ 影响：

• 服务器 TCP 连接队列被占满；
• 系统资源耗尽，服务不可用（DoS）；

---

2. TCP Reset 攻击（RST Injection）

🧨 原理：

• 攻击者构造一个伪造的 TCP RST 包，干扰正常连接；
• 如果序列号匹配成功，连接被强制断开。

⚠️ 影响：

• 会话中断；
• 尤其对 VPN、Telnet、数据库连接危害大。

---

3. TCP Session Hijacking（会话劫持）

🧨 原理：

• 攻击者监听或预测有效的 TCP 序列号；
• 向目标伪造数据包，控制会话。

⚠️ 影响：

• 会话被控制、数据泄露；
• 常用于 MITM（中间人攻击）场景。

---

4. TCP Port Scanning（端口扫描）

🧨 原理：

• 攻击者通过发送不同 TCP 标志位包（如 SYN、FIN）探测服务器开放端口；
• 获取系统运行服务信息，为后续攻击做准备。

⚠️ 影响：

• 泄露系统拓扑、服务类型；
• 成为攻击前的侦察阶段。

---

🛡️ 三、防御 TCP 攻击的常见策略

✅ 1. 针对 SYN Flood 攻击的防御

• 启用 SYN Cookie（Linux 内核功能）：

echo 1 > /proc/sys/net/ipv4/tcp_syncookies

• 缩小 SYN 队列等待时间：

echo 30 > /proc/sys/net/ipv4/tcp_synack_retries

• 使用防火墙限制连接速率（以 iptables 为例）：

iptables -A INPUT -p tcp --syn -m limit --limit 10/s --limit-burst 20 -j ACCEPT

• 部署专业的防 DDoS 网关或 CDN（如阿里云、Cloudflare 等）

---

✅ 2. 针对 TCP RST 攻击的防御

• 启用 TLS/SSL 加密通信：避免明文连接被注入；
• 设置更严格的序列号校验逻辑；
• 限制外部 TCP RST 包进入关键业务系统（防火墙或 IDS）

---

✅ 3. 针对 Session Hijacking 的防御

• 使用加密协议（如 HTTPS, SSH, VPN）；
• 强认证机制（如 Token + IP 检查）；
• 启用 TCP Sequence Randomization（随机初始序列号）

---

✅ 4. 针对端口扫描的防御

• 使用端口欺骗工具（如 portspoof）
• 配置防火墙默认拒绝：bash复制编辑iptables -P INPUT DROP
• 部署 IDS/IPS 系统（如 Snort, Suricata）进行异常行为检测

---

🧪 四、检测与日志监控建议

• 启用系统日志（/var/log/messages、dmesg）监控 TCP 异常连接；
• 使用 netstat、ss、tcpdump 等工具分析异常连接；
• 结合 fail2ban 自动封禁可疑 IP；