这道题的正确答案是 A，`SYN Flood`。

题目给出的关键信息并不复杂，但四个选项都属于经典的拒绝服务攻击，而且 `SYN Flood`、`Land Attack`、`Smurf Attack` 都可能涉及伪造 `IP` 地址，所以单纯记住攻击名称很容易混淆。真正决定答案的是题目里的几个动作，攻击者制造大量请求，使用大量伪造的源地址，目标系统收到请求之后还要为这些请求保留一定的状态或者资源，最终这些资源被消耗殆尽，正常用户无法再建立连接。

这恰好就是经典的 `TCP SYN Flood` 攻击模型。

`RFC 4987` 对 `SYN Flood` 的描述非常直接。攻击者快速发送大量 `SYN` 报文，源 `IP` 地址往往是伪造的，服务器收到之后会为这些尚未完成的连接保存状态，并发送 `SYN-ACK`。由于伪造地址对应的主机不会完成正常的第三次握手，大量连接长期停留在半开状态，最终占满监听端口的连接队列，使正常连接无法建立。[RFC Editor](https://www.rfc-editor.org/info/rfc4987/?utm_source=chatgpt.com)

理解这道题，关键不是背下 `SYN Flood = SYN 洪泛` 这一句话，而是理解 `TCP` 为什么会给攻击者留下这样一个资源消耗窗口。

正常情况下，客户端与服务器建立 `TCP` 连接，需要完成经典的三次握手。

客户端发出

```text
SYN
```

服务器收到后回复

```text
SYN + ACK
```

客户端再回复

```text
ACK
```

第三个报文到达之后，双方才真正完成连接建立。

可以把整个过程抽象成

```text
Client                         Server

   SYN  --------------------->

        <--------------------- SYN + ACK

   ACK  --------------------->

        TCP connection established
```

正常客户端不会有什么问题。客户端发出 `SYN`，服务器回复 `SYN + ACK`，客户端紧接着回复 `ACK`，整个过程很快结束。

问题出现在第二步和第三步之间。

服务器收到一个合法形式的 `SYN` 之后，不能简单地什么都不做，因为从服务器角度来看，这可能真的是一个希望建立连接的客户端。服务器通常需要记录这个连接的一些状态信息，并等待最终的 `ACK`。

此时连接已经不是完全不存在的状态，但又没有真正建立完成，于是形成所谓的半开连接。

在经典的 `TCP` 状态机中，服务端此时通常处于

```text
SYN-RECEIVED
```

状态。

服务器需要记住诸如源 `IP`、源端口、目标端口、序列号以及连接相关状态。传统实现通常会为这样的请求维护相应的数据结构和等待队列。

正常情况下，这些状态存在的时间很短。

恶意攻击者却可以故意让第三次握手永远不发生。

做法就是向服务器连续发送

```text
SYN
SYN
SYN
SYN
SYN
SYN
SYN
...
```

而且每一个报文都可以携带伪造的源 `IP`。

服务器看到的可能类似

```text
10.1.7.21       -> Server   SYN
172.18.44.9     -> Server   SYN
61.23.17.88     -> Server   SYN
203.18.91.37    -> Server   SYN
198.51.73.16    -> Server   SYN
...
```

这里的源地址未必真的是攻击者控制的机器，其中很多地址甚至可能根本不存在。

服务器并不知道这一点。

对于服务器来说，每一个 `SYN` 都像一次新的连接申请，于是服务器需要依次处理这些请求。

服务器会尝试回复

```text
SYN + ACK
```

但回复会被发送到伪造的地址，而不是攻击者真正所在的位置。

攻击者当然也不会完成第三次握手。

于是服务器端出现越来越多的

```text
SYN-RECEIVED
```

连接。

这就是题干里所谓的「目标系统资源耗尽」。

`RFC 2827` 对这种攻击描述得尤其贴近这道考试题。文档指出，当攻击者使用不可达的伪造源地址发起 `TCP SYN` 攻击时，目标主机会为这些请求保留资源并等待响应。攻击者不断改变伪造的源地址，就可以持续消耗更多主机资源，最终导致性能严重下降甚至系统故障。[RFC Editor](https://www.rfc-editor.org/info/rfc2827/?utm_source=chatgpt.com)

可以把服务器的半开连接队列想成一家医院的挂号窗口。

正常情况是，一个人取号，办理业务，办完之后号码释放。

`SYN Flood` 干的事情却类似于不断使用大量假身份预约号。

```text
申请 1   占一个位置
申请 2   占一个位置
申请 3   占一个位置
申请 4   占一个位置
申请 5   占一个位置
...
```

但这些人永远不来完成后续流程。

系统又不能收到申请之后立刻把记录删除，因为真实网络里确实可能存在延迟和丢包，所以必须等待一段时间。

如果攻击者制造半开连接的速度，大于服务器清理超时半开连接的速度，就会形成一个很重要的关系

```text
新建半开连接速度
>
半开连接超时释放速度
```

随着时间推移，等待队列越来越满。

达到极限以后，新的合法连接便很难进入。

于是正常用户访问网站时可能发现网页打不开，连接超时，邮件服务器无法接受新连接，`FTP`、`SSH` 或其他基于 `TCP` 的服务同样可能受到影响。

`RFC 4732` 对这一过程也有清晰说明。攻击者持续向目标发送大量 `TCP SYN`，却不完成连接建立，目标系统不断创建相应状态。当攻击者创建连接状态的速度超过系统回收这些状态的速度，服务器就可能耗尽用于保存 `TCP` 状态的资源，导致正常客户端无法建立新连接。[RFC Editor](https://www.rfc-editor.org/rfc/rfc4732.html?utm_source=chatgpt.com)

这里有一个考试中非常有价值的判断规律。

看到

```text
大量 SYN
半开连接
三次握手不完成
SYN-RECEIVED
连接队列耗尽
大量伪造源 IP
正常 TCP 连接无法建立
```

几乎就应该立即想到

```text
SYN Flood
```

题目甚至不一定明确写出 `SYN`。

有时题目只写

```text
大量伪造源地址
不断发送连接请求
目标系统为请求分配资源
资源耗尽
拒绝正常连接
```

仍然很可能是在描述 `SYN Flood`。

这里特别容易和 `Smurf Attack` 搞混，因为 `Smurf Attack` 也使用伪造源地址。

区别却非常明显。

`Smurf Attack` 的核心并不是制造大量半开 `TCP` 连接，而是利用 `ICMP`、广播地址和反射放大。

攻击者会构造 `ICMP Echo Request`，也就是类似 `ping` 的请求，并把源 `IP` 伪造成真正受害者的地址。

可表示为

```text
Source IP      Victim IP
Destination    Broadcast Address
Protocol       ICMP
```

攻击报文并不是直接以大量不同伪造源地址建立 `TCP` 半开连接，而是发送到允许定向广播的网络。

这个广播网络中的许多主机都会收到请求。

如果几十台、几百台甚至更多机器都响应，它们的 `ICMP Echo Reply` 就会一起发向被伪造成源地址的受害者。

于是形成

```text
Attacker
   |
   | spoofed ICMP request
   v
Broadcast Network
   |
   +---- Host A ----\
   +---- Host B -----\
   +---- Host C ------> Victim
   +---- Host D -----/
   +---- Host E ----/
```

攻击者可能只发送一批请求，却诱导许多机器产生大量响应流量。

所以 `Smurf Attack` 最具有辨识度的关键词是

```text
ICMP
Echo Request
广播地址
伪造受害者源 IP
反射
流量放大
```

`RFC 6959` 描述 `Smurf` 时指出，它利用传统 `IP` 子网定向广播机制，让一个子网中的活动主机响应带有伪造源地址的 `ICMP Echo Request`，从而产生大量指向目标的 `ICMP Echo Reply` 流量。[RFC Editor](https://www.rfc-editor.org/info/rfc6959/?utm_source=chatgpt.com)

因此，如果题目写成

```text
攻击者伪造受害者地址
向某个网络广播地址发送 ICMP 请求
大量主机同时回复受害者
```

答案才应该优先考虑

```text
Smurf Attack
```

当前题目完全没有强调 `ICMP`、广播或者放大，而是强调大量伪造源地址直接产生请求并耗尽目标系统资源，所以 `C` 不合适。

再看 `Land Attack`。

`Land Attack` 同样使用地址伪造，不过它的招牌特征极其特殊。

攻击者构造一个异常的 `TCP` 报文，让

```text
Source IP
=
Destination IP
```

甚至还可能让

```text
Source Port
=
Destination Port
```

也就是一个系统看见的数据包好像是它自己发给自己的。

CERT 对经典 `LAND` 攻击的说明就是，攻击报文会把源 `IP` 地址和目的 `IP` 地址伪造成同一个地址，源端口与目标端口也可以相同，并设置 `SYN` 标志。某些旧的网络协议栈处理这种异常报文时可能进入错误状态，造成过高的 `CPU` 使用率、系统无响应或者拒绝服务。[CERT Coordination Center](https://www.kb.cert.org/vuls/id/396645?utm_source=chatgpt.com)

所以 `Land Attack` 的考试记忆点非常简单

```text
源 IP = 目的 IP
```

看到这句话，优先想到 `Land`。

这里甚至可以利用英文单词帮助记忆。

`Land` 有一种「落回自己身上」的感觉，攻击报文最终形成一种自己向自己发包的异常状态。

当前题目写的是「使用大量伪造的源地址」，注意这里强调的是大量伪造地址，而不是「源地址和目标地址相同」。

因此 `B` 也不符合。

剩下的 `Teardrop` 与前三者的技术路线差别更大。

`Teardrop Attack` 利用的是 `IP` 分片和重组处理方面的缺陷。

一个较大的 `IP` 数据报在某些网络环境中可能被划分为多个分片。

正常情况下，这些分片携带的信息能够让接收方重新拼装原始数据。

攻击者却可以故意构造异常的分片偏移，让两个分片之间发生重叠甚至产生不合理的重组关系。

老旧操作系统的协议栈如果没有正确处理这种异常情况，就可能在重组数据时出现错误，严重时造成系统崩溃或者拒绝服务。

相关安全规范长期关注重叠分片问题。`RFC 1858` 描述了利用重叠 `IP` 分片造成安全问题的攻击方式，而后来的 `IPv6` 规范已经明确要求，如果参与重组的分片发生重叠，应当放弃整个数据报的重组。[RFC Editor](https://www.rfc-editor.org/rfc/rfc1858.html?utm_source=chatgpt.com)

所以 `Teardrop` 对应的考试关键词通常是

```text
IP 分片
Fragment
Fragment Offset
分片重叠
异常重组
协议栈崩溃
```

题目只要明显围绕这些词展开，才应该考虑 `D`。

当前题目没有谈到 `IP` 分片，自然也不应该选择 `Teardrop`。

把四种攻击放到一起之后，区分就很清楚了。

`SYN Flood` 攻击的是 `TCP` 建立连接过程中的状态保存机制。

`Land Attack` 攻击的是某些协议栈处理源地址与目标地址相同的异常报文时的缺陷。

`Smurf Attack` 利用 `ICMP` 广播产生反射放大。

`Teardrop` 利用异常 `IP` 分片和重组机制。

虽然它们都可能造成 `DoS`，但攻击路径完全不同。

考试中看到 `SYN Flood` 时，脑中最好马上出现三次握手。

```text
正常情况

SYN
SYN + ACK
ACK
完成连接
```

而攻击过程变成

```text
攻击情况

伪造 IP 1  -> SYN
伪造 IP 2  -> SYN
伪造 IP 3  -> SYN
伪造 IP 4  -> SYN
伪造 IP 5  -> SYN
                |
                v
           Server
                |
        大量 SYN-RECEIVED
                |
        半开连接不断增加
                |
        backlog 被占满
                |
        正常连接难以建立
```

这里的关键点甚至不一定是网络带宽被完全打满。

经典 `SYN Flood` 最有代表性的地方，是让服务器为大量未完成的连接保存状态，最终耗尽有限的连接相关资源。

`RFC 4987` 还专门强调，经典 `SYN Flood` 的主要目标并不一定是把整个主机内存全部消耗完，而是填满监听端口对应的半开连接 `backlog`。只要这个队列一直被伪造请求占据，正常客户端的连接申请就可能被拒绝。[RFC Editor](https://www.rfc-editor.org/rfc/inline-errata/rfc4987.html?utm_source=chatgpt.com)

这也是为什么有时候仅仅从流量大小看，早期 `SYN Flood` 并不像某些现代大规模 `DDoS` 那样惊人，却仍然能够造成严重影响。

攻击者利用的是资源之间的不对称。

发送一个 `SYN` 的成本很低。

服务器收到一个 `SYN` 之后，却可能需要保存连接状态、维护计时器、发送 `SYN-ACK`、等待超时以及执行相关协议栈处理。

可以粗略表示成

```text
攻击方成本       一个 SYN 报文

服务器成本       状态记录
                 队列位置
                 SYN-ACK
                 定时器
                 重传处理
                 超时清理
```

当大量这样的请求同时出现时，小成本攻击流量就可能累积成明显的服务器资源压力。

这类思想后来也成为网络协议设计中的一个重要安全问题，协议不能过早地因为一个未经验证的请求方而分配过多有限资源。

1996 年的真实互联网安全事件很好地体现了这种风险。

CERT 在 1996 年 9 月发布的 `CA-1996-21` 安全公告专门讨论了 `TCP SYN Flooding and IP Spoofing Attacks`。当时已经有攻击代码在互联网中传播，并实际用于攻击联网系统。CERT 描述的攻击方式就是建立大量 `TCP` 半开连接，使服务器相关数据结构被占满，最终无法继续接受新的正常连接。[resources.sei.cmu.edu](https://resources.sei.cmu.edu/asset_files/whitepaper/1996_019_001_496172.pdf?utm_source=chatgpt.com)

`RFC 4987` 后来回顾这段历史时同样记录，`SYN Flood` 在 1996 年公开传播之后迅速成为真实攻击手段，当年 9 月已经出现针对互联网服务提供商邮件服务器并导致服务中断的案例。[RFC Editor](https://www.rfc-editor.org/info/rfc4987/?utm_source=chatgpt.com)

所以这并不是只存在于考试教材里的概念，它曾经直接影响真实的互联网基础服务，并推动操作系统、路由器和防火墙加入一系列针对 `SYN Flood` 的防护机制。

现代系统里常见的一类防御思想就是 `SYN Cookies`。

传统方式中，服务器收到 `SYN` 之后立即保存较多连接状态。

而 `SYN Cookies` 尝试把一部分连接信息编码进服务器返回的初始序列号中，在收到客户端最终的合法 `ACK` 之前，不急着为这个连接分配完整状态。

从安全思路来看，它是在改变资源分配的时间点。

传统逻辑接近

```text
收到 SYN
↓
先分配资源
↓
等待客户端证明它真的存在
```

更抗攻击的思路接近

```text
收到 SYN
↓
尽量少保存状态
↓
等待合法 ACK
↓
确认客户端能够完成握手
↓
再分配更多资源
```

`RFC 4987` 把 `SYN Cookies`、`SYN Cache`、过滤、缩短半开连接超时以及防火墙代理等方案都列为应对 `SYN Flood` 的典型技术。[RFC Editor](https://www.rfc-editor.org/info/rfc4987/?utm_source=chatgpt.com)

另一个重要方向是入口过滤。

因为经典 `SYN Flood` 经常依赖伪造源 `IP` 地址，如果网络边界能够检查一个数据包的源地址是否可能真正来自相应接口，就有机会丢弃明显伪造的流量。

这类思想经常被称为 `Ingress Filtering` 或源地址验证。

`RFC 2827` 就是围绕这个问题展开的，它专门讨论如何通过网络入口过滤减少使用伪造 `IP` 源地址的拒绝服务攻击。[RFC Editor](https://www.rfc-editor.org/info/rfc2827/?utm_source=chatgpt.com)

回到软考这一类选择题，其实没有必要在考场上把这么多协议细节全部重新推演一遍。

更有效的办法是把四种攻击各自压缩成一个独一无二的识别特征。

可以记成

```text
SYN Flood
半开连接

Land Attack
源 IP = 目的 IP

Smurf Attack
ICMP + 广播 + 放大

Teardrop
IP 分片重叠
```

如果还想再压缩一层，可以记成四个核心词

```text
SYN Flood     握手

Land          自己

Smurf         广播

Teardrop      分片
```

遇到具体题目时，再从题干里找对应动作。

看到「大量连接请求不完成握手」，定位 `SYN Flood`。

看到「源地址和目的地址相同」，定位 `Land Attack`。

看到「伪造受害者地址向广播网络发送 ICMP」，定位 `Smurf Attack`。

看到「构造重叠分片导致目标重组异常」，定位 `Teardrop`。

当前题目的原话里，「使用大量伪造的源地址向目标发送请求」对应伪造 `IP` 的大量 `SYN`，「使目标系统资源耗尽」对应半开连接状态和等待队列持续被占用。这两个线索组合起来，指向非常明确。

所以最终答案就是

```text
A. SYN Flood
```

考试时可以直接记住这一条判断公式

```text
大量伪造源 IP
+
大量 TCP 连接请求
+
不完成三次握手
+
服务器半开连接资源耗尽
=
SYN Flood
```

而四个选项最值得长期记住的区别，就是攻击对象不同。`SYN Flood` 针对 `TCP` 连接建立状态，`Land Attack` 针对异常的源目的地址组合，`Smurf Attack` 针对广播反射放大，`Teardrop` 针对 `IP` 分片重组。只要这一层关系真正理解，类似软考题即使重新改写题干，也很难再混淆。

## 参考资料

RFC Editor，`RFC 4987 TCP SYN Flooding Attacks and Common Mitigations`，详细描述 `SYN Flood` 的攻击原理、伪造源地址、半开连接队列以及常见防护方式。[RFC Editor](https://www.rfc-editor.org/info/rfc4987/?utm_source=chatgpt.com)

RFC Editor，`RFC 2827 Network Ingress Filtering`，其中直接讨论使用不可达伪造源地址进行 `TCP SYN` 攻击并导致目标系统资源耗尽的过程。[RFC Editor](https://www.rfc-editor.org/info/rfc2827/?utm_source=chatgpt.com)

RFC Editor，`RFC 4732 Internet Denial-of-Service Considerations`，介绍 `TCP SYN` 状态耗尽型拒绝服务攻击。[RFC Editor](https://www.rfc-editor.org/rfc/rfc4732.html?utm_source=chatgpt.com)

CERT Coordination Center，1996 年 `TCP SYN Flooding and IP Spoofing Attacks` 安全公告，记录早期真实世界中的 `SYN Flood` 攻击及其影响。[resources.sei.cmu.edu](https://resources.sei.cmu.edu/asset_files/whitepaper/1996_019_001_496172.pdf?utm_source=chatgpt.com)

CERT Coordination Center，`LAND Attack` 漏洞说明，描述源 `IP`、目标 `IP` 以及端口相同的经典 `LAND` 攻击特征。[CERT Coordination Center](https://www.kb.cert.org/vuls/id/396645?utm_source=chatgpt.com)

RFC Editor，`RFC 6959`，说明 `Smurf` 利用伪造的 `ICMP Echo Request` 和子网广播产生反射放大流量。[RFC Editor](https://www.rfc-editor.org/info/rfc6959/?utm_source=chatgpt.com)

RFC Editor，`RFC 1858` 与 `RFC 8200`，涉及重叠分片及分片重组安全问题，可用于理解 `Teardrop` 一类攻击背后的技术机制。[RFC Editor](https://www.rfc-editor.org/rfc/rfc1858.html?utm_source=chatgpt.com)

题目给出的关键信息并不复杂，但四个选项都属于经典的拒绝服务攻击，而且 SYN Flood、Land Attack、Smurf Attack 都可能涉及伪造 IP 地址，所以单纯记住攻击名称很容易混淆。真正决定答案的是题目里的几个动作，攻击者制造大量请求，使用大量伪造的源地址，目标系统收到请求之后还要为这些请求保留一定的状态或者资源，最终这些资源被消耗殆尽，正常用户无法再建立连接。

从半开连接到资源耗尽，什么是 SYN Flood

紫薇堂堂主

安全

网络与通信

操作系统

大量伪造源IP的TCP连接请求，目标系统保留半开连接状态并耗尽资源，导致正常连接无法建立，这是典型的TCPSYNFlood攻击特征。

数据结构

代码解释

服务器

路由器

防火墙

路由

ICMP

文章

问答

视频

教程

学习中心

腾讯云实验室

直播

竞赛

腾讯云代码分析专区

腾讯iOA零信任安全管理系统专区

腾讯云架构师技术同盟交流圈

腾讯云数据库专区

腾讯云智能顾问专区

腾讯云原生专区

腾讯混元专区

腾讯云TCE专区

腾讯云Lighthouse专区

腾讯云HAI专区

腾讯云Edgeone专区

腾讯云存储专区

腾讯云智能专区

腾讯轻联专区 

腾讯云开发专区

TAPD专区

腾讯轻量云游戏服专区

EdgeOne AI 安全实战专区

腾讯云最具价值专家

腾讯云架构师技术同盟

腾讯云创作之星

腾讯云开发者先锋

腾讯云代码助手

云原生构建

TAPD 敏捷项目管理

Cloud Studio

SDK中心

API中心

命令行工具

涵盖代码开发、场景应用、自动测试全流程，助你从零构建专属AI助手

一站式MCP教程库，解锁AI应用新玩法

聚焦“写作效率、视觉美观与运行性能”三方面进行全面升级，为您提供更高效、稳定的创作环境

社区富文本&Markdown编辑器全新改版上线，欢迎大家体验!

诚挚邀请您参与本次调研，分享您的真实使用感受与建议。您的反馈至关重要，感谢您的支持与参与！

社区新版编辑器体验调研

从半开连接到资源耗尽，什么是 SYN Flood-腾讯云开发者社区-腾讯云

从半开连接到资源耗尽，什么是 SYN Flood

从半开连接到资源耗尽，什么是 SYN Flood

社区

活动

圈层

关于

腾讯云开发者

热门产品

热门推荐

更多推荐