评论2

• 

  wilton_gao

  楼主 2008/7/24 8:49:00

  虚假状态转移
  
  当入侵者试图利用从SYN-RCVD到CLOSE-WAIT的状态转移长时间阻塞某服务器的一个网络端口时，可以观察到如下序列包：
  
  ●从主机X到主机B发送一个带有SYN和FIN标志位置位的TCP包。
  
  ●主机B首先处理SYN标志，生成一个带有相应ACK标志位置位的包，并使状态转移到SYN-RCVD，然后处理FIN标志，使状态转移到CLOSE-WAIT，并向X回送ACK包。
  
  ●主机X不向主机B发送其它任何包。主机的TCP机将固定在CLOSE-WAIT状态。直到维持连接定时器将其重置为CLOSED状态。
  
  因此，如果网络监控设备发现一串SYN-FIN／ACK包，可推断入侵者正在阻塞主机B的某个端口

• 

  wilton_gao

  楼主 2008/7/24 8:49:15

  定时器问题
  
  如果一入侵者企图在不建立连接的情况下使连接建立定时器无效，我们可以观察到以下序列包：
  
  ●主机X从主机B收到一个TCP SYN包。
  
  ●主机X向主机B回送一个SYN包。
  
  主机X不向主机B发送任何ACK包。因此，B被阻塞在SYN-RCVD状态，无法响应来自其它客户机的连接请求。