SYN洪水（半开连接攻击）是一种拒绝服务(DDoS)攻击，旨在耗尽可用服务器资源，致使服务器无法传输合法流量。通过重复发送初始连接请求(SYN)数据包，攻击者将可击垮目标服务器计算机上的所有可用端口，导致目标设备在响应合法流量时表现迟钝乃至全无响应。

SYN洪水攻击如何工作？
SYN洪水攻击利用TCP连接的握手过程发动攻击。正常情况下，TCP连接将完成三次握手以建立连接。

1、首先，客户端向服务器发送SYN数据包以发起连接。
2、接着，服务器通过SYN/ACK数据包对该初始数据包做出响应，以便确认通信。
3、最后，客户端返回ACK数据包以确认接到服务器发出的数据包。完成这一系列数据包发送和接收操作后，TCP连接将处于打开状态并且能够发送和接收数据。


TCP三向握手图
为发起拒绝服务攻击，攻击者需利用这样一项事实：收到初始SYN数据包后，服务器将通过一个或多个SYN/ACK数据包做出回响，等待完成握手过程的最后一步。工作方式如下：

1、攻击者通常使用伪造的IP地址向目标服务器发送大量SYN数据包。
2、然后，服务器分别对每一项连接请求做出响应，并确保打开的端口做好接收响应的准备。
3、在服务器等待最后一个ACK数据包（永远不会到达）的过程中，攻击者将继续发送更多SYN数据包。每当有新的SYN数据包到达，服务器都会临时打开一个新的端口并在一段特定时间内保持连接；用遍所有可用端口后，服务器将无法正常运行。


SYNFloodDDoS攻击
在网络中，如果服务器连接处于打开状态但另一端的机器连接未打开，则视为半开连接。在此类DDoS攻击中，目标服务器将使连接一直处于打开状态，静待各个连接超时，避免再次开放端口。因此，此类攻击可视为“半开连接攻击”。

恶意用户可通过三种不同方式发起SYN洪水攻击：
1、直接攻击：不伪造IP地址的SYN洪水攻击称为直接攻击。在此类攻击中，攻击者完全不屏蔽其IP地址。由于攻击者使用具有真实IP地址的单一源设备发起攻击，因此很容易发现并清理攻击者。为使目标机器呈现半开状态，黑客将阻止个人机器对服务器的SYN-ACK数据包做出响应。为此，通常采用以下两种方式实现：部署防火墙规则，阻止除SYN数据包以外的各类传出数据包；或者，对传入的所有SYN-ACK数据包进行过滤，防止其到达恶意用户机器。实际上，这种方法很少使用（即便使用过也不多见），因为此类攻击相当容易缓解–只需阻止每个恶意系统的IP地址。哪怕攻击者使用僵尸网络（如Mirai僵尸网络），通常也不会刻意屏蔽受感染设备的IP。
2、欺骗攻击：恶意用户还可以伪造其发送的各个SYN数据包的IP地址，以便阻止缓解措施并加大身份暴露难度。虽然数据包可能经过伪装，但还是可以通过这些数据包追根溯源。此类检测工作很难开展，但并非不可实现；特别是，如果Internet服务提供商(ISP)愿意提供帮助，则更容易实现。
3、分布式攻击（DDoS）：如果使用僵尸网络发起攻击，则追溯攻击源头的可能性很低。随着混淆级别的攀升，攻击者可能还会命令每台分布式设备伪造其发送数据包的IP地址。哪怕攻击者使用僵尸网络（如Mirai僵尸网络），通常也不会刻意屏蔽受感染设备的IP。
恶意用户可以通过SYN洪水攻击尝试在目标设备或服务中创建拒绝服务，其流量远低于其他DDoS攻击。SYN攻击不属于容量耗尽攻击，其目的并非使目标周围的网络基础设施达到饱和，只需保证大于目标操作系统的可用积压工作即可。如果攻击者能够确定积压工作规模以及每个连接保持打开状态的时间长度（超出时间将进入超时状态），攻击者将可以找出禁用系统所需的确切参数，从而将创建拒绝服务所需的总流量降至最低。

如何缓解SYN洪水攻击？
SYN洪水漏洞早已为世人所知，而且开创了大量缓解方法。其中一些方法包括：

扩展积压工作队列
目标设备安装的每个操作系统都允许具有一定数量的半开连接。若要响应大量SYN数据包，一种方法是增加操作系统允许的最大半开连接数目。为成功扩展最大积压工作，系统必须额外预留内存资源以处理各类新请求。如果系统没有足够的内存，无法应对增加的积压工作队列规模，将对系统性能产生负面影响，但仍然好过拒绝服务。

回收最先创建的TCP半开连接
另一种缓解策略是在填充积压工作后覆盖最先创建的半开连接。这项策略要求完全建立合法连接的时间低于恶意SYN数据包填充积压工作的时间。当攻击量增加或积压工作规模小于实际需求时，这项特定的防御措施将不奏效。

SYNCookie
此策略要求服务器创建Cookie。为避免在填充积压工作时断开连接，服务器使用SYN-ACK数据包响应每一项连接请求，而后从积压工作中删除SYN请求，同时从内存中删除请求，保证端口保持打开状态并做好重新建立连接的准备。如果连接是合法请求并且已将最后一个ACK数据包从客户端机器发回服务器，服务器将重建（存在一些限制）SYN积压工作队列条目。虽然这项缓解措施势必会丢失一些TCP连接信息，但好过因此导致对合法用户发起拒绝服务攻击。

如何缓解SYN洪水攻击？
利用我们的CDN防护SYN攻击，通过隔离目标服务器与SYN洪水攻击来缓解此类攻击。当发出初始SYN请求时，将在CDN中完成握手过程，拒绝与目标服务器建立连接，直到完成TCP握手过程。此策略使目标服务器不再需要浪费资源与伪造的SYN数据包建立连接。

因SYN攻击流量很大，每秒可达100G流量，一天下来使用20T的CDN流量很正常，BAT三大厂20T流量价格在3000元，这会把你打穷，我们提供的CDN不限使用流量，按月一次性付费，如需CDN服务器请咨询QQ：894872822


阻止SYNFlood攻击图