ARP（地址解析协议）攻击；TCP SYN Flood（SYN洪流）攻击

ARP（地址解析协议）攻击

是一种网络攻击类型，攻击者利用ARP协议的缺陷对目标网络实施攻击。ARP协议用于在局域网（LAN）中将IP地址解析为MAC地址，它是无认证机制的，这为攻击者提供了可利用的机会。

以下是ARP攻击的两种主要类型：

---

1. ARP欺骗（ARP Spoofing）

ARP欺骗是最常见的ARP攻击形式，攻击者伪造ARP响应包，将自己的MAC地址伪装成目标设备（如网关或主机）的MAC地址，诱骗其他设备更新其ARP缓存。
结果：

• 中间人攻击（MITM，Man-In-The-Middle）：攻击者可以拦截、修改或窃听两台设备之间的通信数据。
• 数据劫持：敏感数据（如登录凭据）可能被窃取。
• 流量劫持或中断：攻击者可以篡改通信内容或完全中断目标设备的网络访问。

---

2. ARP泛洪（ARP Flooding）

攻击者通过发送大量伪造的ARP包，将网络中的交换机ARP表或主机ARP缓存耗尽。
结果：

• 网络性能下降：ARP表溢出可能导致网络延迟增加或完全崩溃。
• 网络瘫痪：设备无法正常解析IP和MAC之间的映射，通信被中断。

---

攻击过程

1. 攻击者使用工具（如arpspoof、ettercap）伪造ARP包。
2. 向目标设备（如网关或主机）发送伪造的ARP响应，使目标设备更新ARP缓存。
3. 目标设备误以为攻击者是合法的通信对象，从而将数据包发送给攻击者。

---

危害

• 窃取敏感信息：如密码、信用卡号等。
• 劫持通信：实现MITM攻击。
• 断网：导致网络瘫痪，影响正常业务。

---

防御方法

1. 静态ARP表：将IP-MAC映射手动设置为静态，防止恶意更新。
2. ARP绑定：在网络设备（如路由器）上启用IP-MAC绑定。
3. 网络分段：通过VLAN将设备隔离，减少攻击面。
4. 检测工具：使用ARP监控工具（如ARPwatch）检测异常流量。
5. 加密通信：使用HTTPS、VPN等方式加密敏感数据的传输。

TCP SYN Flood（SYN洪流）攻击

是一种经典的拒绝服务（DoS）攻击或分布式拒绝服务（DDoS）攻击**形式，攻击者利用TCP协议在建立连接时的三次握手过程，向目标发送大量伪造的SYN请求，导致目标服务器资源耗尽，从而使合法用户无法访问服务。

---

攻击原理

TCP三次握手的正常过程如下：

1. 客户端发送SYN（synchronize）请求到服务器，表示请求建立连接。
2. 服务器响应SYN-ACK（synchronize-acknowledge），表示收到连接请求并等待确认。
3. 客户端回复ACK（acknowledge），表示确认连接，TCP连接建立成功。

SYN洪流攻击的操作：

1. 攻击者发送大量伪造的SYN请求到目标服务器，通常伪造源IP地址。
2. 服务器收到SYN后，分配资源（如内存、CPU、端口）并发送SYN-ACK响应。
3. 攻击者不发送ACK确认，或者继续发送更多伪造的SYN请求。
4. 服务器的半连接队列（未完成握手的连接）被占满，无法处理新的连接请求，导致服务不可用。

---

特点

1. 伪造的IP地址：攻击者伪造源IP地址，难以追踪攻击来源。
2. 资源耗尽：服务器资源被大量半连接占用，无法处理合法请求。
3. 高速攻击：攻击流量通常非常大，服务器防御压力巨大。

---

危害

1. 拒绝服务：合法用户无法访问服务。
2. 服务器资源耗尽：内存、CPU、带宽等被大量消耗，可能导致服务器崩溃。
3. 业务中断：对依赖服务器提供服务的业务造成严重影响。

---

防御措施

1. 启用SYN Cookie：

   • 在服务器启用SYN Cookie技术。它不在内存中保留未完成的连接，而是通过加密计算生成一个唯一的Cookie，只有在收到合法ACK时才建立连接。
   • 现代系统通常默认支持此功能。

   Linux配置示例：

   echo 1 > /proc/sys/net/ipv4/tcp_syncookies
   

2. 缩短SYN超时时间：

   • 减少服务器等待ACK确认的时间，可以加速清理半连接队列。

   Linux配置示例：

   echo 30 > /proc/sys/net/ipv4/tcp_synack_retries
   

3. 限制每个IP的连接数：

   • 使用防火墙或网络设备限制每个源IP的并发连接数，以减轻伪造流量的影响。

   示例（使用iptables）：

   iptables -A INPUT -p tcp --syn -m connlimit --connlimit-above 10 -j DROP
   

4. 分布式防御：

   • 使用负载均衡器（如NGINX、HAProxy）或内容分发网络（CDN）分散流量压力。
   • 部署DDoS防御设备或服务（如Cloudflare、AWS Shield）。

5. 黑洞路由：

   • 将异常流量路由到“黑洞”，丢弃这些流量。

6. 监控与告警：

   • 使用工具（如Wireshark、Netstat、DDoS防护软件）监控网络流量，检测和响应异常流量。

---

检测攻击的关键指标

1. 异常高的SYN请求量：

   • 使用以下命令查看服务器的SYN连接数：

     netstat -an | grep SYN_RECV | wc -l
     

2. CPU/内存异常消耗：

   • 服务器资源被大量消耗，通常表现为负载急剧升高。

3. 带宽占用异常：

   • 网络带宽被大量伪造请求流量占用。

---

SYN洪流攻击利用TCP协议本身的设计缺陷，虽然无法完全避免，但通过以上措施可以大幅降低攻击的危害。你在项目中有需要实现类似防护机制吗？