计算机网络 · 从零开始

外观

服务器为什么会突然“窒息”瘫痪？黑客是如何利用协议本身的弱点实施降维打击的？ ​

在很多人想象中，黑客攻击必须依靠极其高深的“二进制漏洞挖掘”或“破解系统超级密码”。 但在真实的网络世界里，最致命、最廉价且最频繁发生的攻击，往往直接利用了网络协议本身的设计哲学与信任假设！

例如：

  • 利用 TCP 握手必须等待对方确认的特性，制造 SYN Flood 泛洪攻击，仅需几台僵尸电脑就能让全国知名网站瞬间“死机”；
  • 利用以太网中 ARP 广播没有任何身份认证的单纯信任，制造 ARP 欺骗，让全公司电脑的隐私密码和银行卡号全被黑客窃听。

现代企业网络必须依靠防火墙和交换机的“纵深防御体系”来降妖除魔。

学完本课后，你将能够：

  1. 剖析 拒绝服务攻击（DoS / DDoS）的核心分类与破坏机理。
  2. 精通 TCP SYN Flood 攻击的半连接耗尽原理，以及防火墙的救命绝技——SYN Cookie 与 SYN 代理（SYN Proxy）。
  3. 透彻理解 局域网 ARP 欺骗与中间人攻击（MITM）的危害。
  4. 掌握 交换机防御铁三角：DHCP Snooping + DAI（动态 ARP 检测）+ IPSG（IP 源防护） 的联动拦截流程。

1. 传输层大杀器：SYN Flood 泛洪攻击剖析 ​

在第 24 课中，我们学到了 TCP 经典的“三次握手”：

TCP 标准三次握手与半连接/全连接队列时序

(1) 黑客的致命毒计 ​

黑客利用底层协议漏洞，编造出成千上万个根本不存在的虚假伪造源 IP 地址，向受害服务器的 80/443 端口疯狂灌入 SYN 报文：

  1. 服务器收到 SYN 后，误以为是正常客人来了，立马老老实实为每个连接在内存中开辟 TCB（传输控制块），将状态置为 SYN_RCVD，并向虚假 IP 回复 SYN+ACK；
  2. 由于虚假 IP 在互联网上根本不存在，服务器永远不可能等到第三步的 ACK 确认；
  3. 服务器会固执地启动超时重传，苦苦等待 30 秒至 2 分钟；
  4. 服务器操作系统的 半连接队列（Half-open Connection Backlog）瞬间被塞爆！当真正的合法用户小李发来正常的 SYN 握手请求时，服务器已无可用内存资源，直接将其丢弃或无响应！

常见网络攻击原理与华为防火墙防御体系

(2) 华为防火墙智能防御：SYN 代理（SYN Proxy）与 SYN Cookie ​

当受害服务器前端部署了华为防火墙并开启防 SYN Flood 功能后：

  • SYN Cookie 技术（数学哈希自证明）：
    • 服务器在收到 SYN 报文时不提前分配 TCB 内存块；
    • 而是利用客户端 IP、端口及当前时间戳计算出一个不可伪造的哈希值，塞进回复的 SYN+ACK 的初始序列号（ISN）中；
    • 只有当对方真的发回了合法的第三步 ACK 且序列号能被数学反推校验通过时，系统才正式分配内存建连。虚假源 IP 根本发不出合法的 ACK，攻击被无声化解！
  • SYN 代理（SYN Proxy）技术（代客握手）：
    • 防火墙充当服务器的“贴身保镖”；
    • 外部发来的 SYN，先由防火墙自身代替服务器去应答 SYN+ACK；
    • 外部访客必须先与防火墙完成三次握手；只有证实对方是具有真实双向通信能力的合法访客后，防火墙才回头与后端真实服务器建立 TCP 连接！黑客伪造的海量假连接全部被死死阻挡在防火墙外侧。

2. 局域网背刺：ARP 欺骗与中间人攻击 ​

在第 11 课中我们得知：以太网通信必须依赖 ARP 解析 IP 与 MAC 的对应关系。 但 ARP 协议是在几十年前设计的，设计之初假设局域网内的所有人都是君子，完全没有密码校验或身份核查机制。

  • 攻击现象：黑客在局域网内主动向全网广播伪造的“免费 ARP（Gratuitous ARP）”：

    “各位电脑请注意：网关 192.168.1.1 的真实 MAC 地址是 00-AA-BB-CC-DD-EE（黑客自己的网卡 MAC）！”

  • 受害结果：局域网内所有电脑的 ARP 缓存表瞬间被恶意污染。当大家打开网页、收发邮件时，所有本该发往外网网关的数据包，全部自动改送到了黑客的网卡上！
  • 黑客在中间透明地嗅探抓包记录密码，然后再把数据包转发给真正网关，用户甚至毫无察觉（典型的 中间人攻击 MITM）。

3. 接入交换机的纵深防御铁三角 ​

为了从源头消灭 ARP 欺骗与 IP 盗用，现代企业交换机部署了三大联合防御机制：

① DHCP Snooping（监听并生成信任账本） ​

交换机侦听所有通过 DHCP 过程交互的报文：

  • 将连接真实路由器/DHCP 服务器的上行口设置为 信任端口（Trusted Port），允许放行 DHCP Offer/ACK；
  • 用户接入端口设为 非信任端口（Untrusted Port），一旦收到非法私人 DHCP 服务器冒充发出的 Offer 报文立即硬件丢弃；
  • 核心沉淀：交换机在芯片内自动生成一张绝对保真的 DHCP Snooping 动态绑定表，精准记录：[MAC 地址 | IP 地址 | 租期 | VLAN | 物理接口]。

② DAI（Dynamic ARP Inspection，动态 ARP 检测） ​

  • 交换机对非信任端口上收到的每一个 ARP 报文进行硬件级逐包审查；
  • 提取 ARP 报文中的源 IP 与源 MAC，并与保真的 DHCP Snooping 绑定表进行强行核对；
  • 一旦发现黑客企图伪造他人 IP 或网关 IP 发送虚假 ARP，直接丢弃报文并产生安全告警！

③ IPSG（IP Source Guard，IP 源防护） ​

  • 即使黑客放弃 ARP 欺骗，企图在普通数据包的 IP 头中伪造 IP 发包，交换机在物理接口根据绑定表进行源 IP/MAC 过滤，伪造 IP 报文同样无法进入交换机内网！

4. 课堂小结与真题实战 ​

  1. SYN Flood 攻击利用 TCP 三次握手机制，伪造虚假源 IP 耗尽服务器半连接队列 TCB 内存；防火墙通过 SYN Cookie 与 SYN 代理化解攻击。
  2. ARP 协议原生无认证，攻击者可利用伪造 ARP 实施局域网中间人劫持与断网。
  3. 接入交换机依靠 DHCP Snooping（生成合法绑定表）+ DAI（动态核查拦截伪造 ARP）+ IPSG（拦截伪造 IP） 构筑局域网完整防御基石。

华为 ICT 大赛真题精练 ​

华为 ICT 大赛 2024–2025 省初赛 · 真题 · 单选

TCP SYN Flood 泛洪攻击属于典型的拒绝服务（DoS）攻击，其致使受害服务器业务瘫痪的本质原因是什么？

真题衍生 · 考点避坑 ​

真题衍生 · 判断题 · 单选

局域网中攻击者发送伪造的免费 ARP 报文，声称网关 IP 对应的 MAC 地址是攻击者主机，从而导致局域网其它主机的流量全部流向攻击者，这种攻击被称为 ARP 欺骗。