本文收录于微信公众号「 LinuxOK 」，ID为：Linux_ok，关注公众号第一时间获取更多技术学习文章。
拒绝服务攻击DoS(Denial of Service)：使系统过于忙碌而不能执行有用的业务并且占尽关键系统资源。它是基于这样的思想：用数据包淹没本地系统，以打扰或严重阻止捆绑本地的服务响应外来合法的请求，甚至使本地系统崩溃。实现Dos攻击，常见的方式有：TCP SYN泛洪(SYN Flood)，ping泛洪(ping-Flood)，UDP泛洪(UDP-Flood)，分片炸弹(fragmentation bombs)，缓冲区溢出(buffer overflow)和ICMP路由重定向炸弹(ICMP routeing redirect bomb)。
Linux操作系统中的SYN cookie模块能显著的延缓SYN泛洪造成的网络资源缺失现象：在TCP服务接收到TCP SYN包并返回SYN-ACK时，不分配一个专门的数据区，而是根据这个SYN包计算一个cookie值。cookie值是一个基于SYN中的原始序列号、源地址、目的地址、端口号、密值而产生的序列号。cookie作为将要返回的SYN-ACK的初始序列号，当客户返回一个ACK包，TCP服务在根据cookie值检查该ACK包的合法性，再分配专门的数据区进行处理接下来操作。cookie的超时时间很短暂，客户端必须在很短时间内进行应答。
echo 1 > /proc/sys/net/ipv4/tcp_syncookies 命令可以打开Linux内核的SYN cookie保护功能；需要注意一些发行版需要配置内核才能打开。
一种更为古老的攻击方式叫做死亡之ping，攻击者会发送巨大的ping数据包给受害机器，易受攻击的系统可能因此崩溃，Linux等类UNIX系统并没有此漏洞。对于受害主机来说，丢弃ping请求并不是一个很好的解决方案，因为不论是对到来的ping包做什么反应，系统或者网络依旧会被淹没在检测/丢弃数据包的过程中。
分片炸弹的实现是构造一种非常小的数据包导致系统或者程序崩溃的操作：比如构造一个最初的分片使得UDP或者TCP的源端口和目的端口被包含在第二个分片中。许多防火墙并不检查第一个分片之后的分片，然而第一个分片由于防火墙所要过滤的信息还未呈现，所以得以通过，那么最终所有分片都在主机中得以组装。
另外，因为中间进行分片基本上比发送更小的无需分片的数据包代价更高，所以一般会在发送在IP报头中设置了不分片标志，设置后系统会向目标主机发起连接前进行MTU发现，如果中间路由器必须对数据包进行分片那么它会丢弃数据包并赶回ICMP 3错误消息，即“需要分片”。
发布者：全栈程序员-站长，转载请注明出处：https://javaforall.net/206194.html原文链接：https://javaforall.net
