虚拟主机
NEW
PSH+ACK攻击是什么？
发布时间：1970-01-01 08:00
阅读量：649
PSH+ACK 洪泛属于 TCP 标志位洪泛（flag flood）的一种。攻击者以伪造源 IP 或受控代理，向目标持续发送 PSH 与 ACK 均置位、且不属于任何已建立连接的 TCP 报文，利用仅检查 SYN 或仅放行 established 的无状态过滤规则穿透边界防护。对无匹配会话的报文，目标协议栈回送 RST；每个报文都需经历完整的接收路径处理，在高包速率下耗尽软中断 CPU、连接跟踪表及入口带宽，导致合法连接无法建立或维持。PSH 本身仅用于提示接收端不再等待后续数据、尽快将已收数据交付应用，既不触发缓冲区清空，也不引起额外确认，其资源消耗本质来自报文速率与状态处理开销。
打个比方
把服务器想成一家店的前台。
正常顾客进店是这样的：先敲门（请求连接），前台说"请进"（同意），顾客说事，办完走人。前台手里有本登记本，谁来都记一笔，心里清楚"这桌有人"。
PSH+ACK 攻击就是钻这个空子
攻击者做的事是：不敲门，直接冲到前台说"我回来了！"
按照网络的规矩，只要你说"我回来了"（也就是带上 ACK 这个标记），大多数保安都会认为你是老顾客，直接放行。相当于很多防火墙的规则是"只要是回话的，就让他进"。
于是攻击者伪造一大堆假身份，一秒喊几万次"我回来了"。
前台翻了半天登记本，发现根本没这个人，只好回一句"你走错了"（这就是服务器回的 RST 包）。但人太多了，前台光是翻本子、回话就累瘫了，真正要办事的顾客反而挤不进来。登记本也被写满，后面的人连站的地方都没有。
所以它的危害是什么
不是把门堵死，而是把前台累死、把登记本撑爆。
它最大的用处其实是"骗过保安"。很多防护规则只盯着敲门的那一下（SYN 包），攻击者跳过敲门这一步，反而更容易溜进去。再加上身份是假的，事后也查不到是谁干的。
有个重点一定要说清楚
"我回来了"这句话本身一点问题都没有。
你平时刷网页、发消息，也都在说这句话。问题不在于这句话，而在于同一秒钟有十万个陌生人同时喊。所以判断是不是攻击，不能看单个包长得像不像，得看"没登记过的人有多少、来得有多快"。
怎么防，一句话版本
给门口换个有记性的保安，不认识的人一律不放进来。
就是这个意思：防火墙上开启"状态检测"，没有真实登记的连接，直接丢掉，连解释的机会都不给。同时别再用"只要是回话的就放行"这种老规则，那等于白装保安。
流量大到本地扛不住的时候，就得找运营商或者云防护帮忙在更上游拦住——那时候你家里怎么调整都没用，人还没到门口你这条街就堵死了。
简单总结：这就是一种冒充老顾客来消耗前台精力的攻击，防法是让保安认本子、不认口号。
