安全：认识来自传输层的DoS

　　TCP连接初始化过程称为三次握手（three-wayhandshake）：A连接发起端发送标志有SYN位的TCP数据包到目的端，用于协商参数，初始化连接；B目的端使用SYN/ACK来表明自己的连接参数并确认发起端的连接参数；C发起端收到SYN/ACK后，使用ACK确认目的端连接参数。这样三次TCP包交换，发起端和接收端之前建立一条TCP连接。当目的端TCP/IP收到一个TCPSYN后，就位将要建立的连接预留资源并等待发起端确定连接参数，这对建立稳定高效的TCP连接是必要的。但是如果向目的主机发送大量的TCPSYN，而不回应TCPACK，使大量连接处于半开状态（half-open），导致预留资源长时间不能（直到超时），最终致使目的端资源耗尽。

　　而UDPflooding利用了UDP传输的无状态性，通过发送大量拥有伪装IP地址的UDP数据包，填满网络设备（主要是由器或防火墙）的连接状态表，造成服务被。

　　CrikeyCRCflooding是新出现的一种DoS方式，目标主要是防火墙等纪录连接状态的网络安全设备。为了加速数据包通过防火墙，防火墙通常不会使用Checksum对数据包进行效验，只是把连接添加到连接状态表中；CrikeyCRCflooding在TCP和UDP头部加入错误的Checksum值。当这些数据包到达目的主机时，因为Checksum错误会被。这样，实际上没有建立起来的连接被纪录到了连接状态表中，如果防火墙大量接受到这样的数据包，最终会导致连接状态表被填满，新的连接请求被。

　　防范方法

　　首先在防火墙上TCPSYN的突发上限，因为防火墙不能识别正常的SYN和恶意的SYN，一般把TCPSYN的突发量调整到内部主机可以承受的连接量，当超过这个预设的突发量的时候就自动清理或者，这个功能目前很多宽带由都支持，如海蜘蛛由，只不过每款由设置项的名称可能不一样，原理和效果一样。一些高端防火墙具有TCPSYN网关和TCPSYN中继等特殊功能，也可以抵抗TCPSYNflooding,他们都是通过建立过程来实现。具有TCPSYN网关功能的防火墙在收到TCPSYN后，转发给内部主机并记录该连接，当收到主机的TCPSYN/ACK后，以客户机的名义发送TCPACK给主机，帮助三次握手，把连接由半开状态变成全开状态（后者比前者占用的资源少）。而具有TCPSYN中继功能的防火墙在收到TCPSYN后不转发给内部主机，而是代替内部主机回应TCPSYN/ACK，如果收到TCPACK则表示连接非恶意，否则及时半连接所占用资源。

　　UDPSYN和TCPSYN差不多，一般也是设置UDPSYN的突发连接量，但UDP连接在防火墙上控制相对效果要稍差点，我们可以通过一些客户端软件来实现单机UDP并发连接数，最新发布的海蜘蛛的海盾2.4版就提供了这个功能，效果也还不错。

　　CrikeyCRCflooding主要目标是网络安全设备，需要为防火墙打上安全补丁，使数据包通过时用checksum进行校验，对于checksum错误的TCP和UDP数据包丢弃；减小连接状态条目老化时间，是不活动的连接数目要及时清除，防止填满连接状态表。

　　・Ps鼠绘绚丽的油画头像

　　・Ps为照片调出唯美色调

　　・用Ps打造时尚炫酷海报

　　・Ps精细鼠绘漂亮的古代王妃

　　・用Ps打造一个七彩苹果标志

　　・Ps合成在梦幻山谷中的飞龙

　　海蜘蛛路由器地址・Ps调出个性颓废中性色

　　・用Ps合成装在蛋壳中的小鸡

　　・李刚之子李启铭车祸案一审从轻判罚

　　・寒假补课12岁女生闭门父母

　　・姚晨离婚与凌潇潇联手发声明原文

　　・广东卫视原主持人李泳终被组图

　　・美国黄石即将喷发的超级火山新动向

　　・老贝‘雏妓’后续多名妙龄女被包养

　　・360杀毒免费杀毒软件下载

　　・可牛免费杀毒软件下载最新正式版

　　・微软免费杀毒软件中文版MSE32位版

　　・微软免费杀毒软件中文版MSE64位版

　　・熊猫简体中文版免费云杀毒软件下载

　　・Avast!免费杀毒软件中文版本下载