TCP Sync flood

[dangquangminh]

🚨 SYN Flood – Tấn công đơn giản nhưng khiến cả hệ thống mạng “nghẹt thở”

Đây là một trong những kỹ thuật tấn công tối giản mà cực kỳ hiệu quả, được kẻ tấn công sử dụng để làm sập máy chủ chỉ bằng một loạt gói tin nhỏ – bạn đã sẵn sàng tìm hiểu chưa?

---

🔥 Hiểu rõ SYN Flood: Cách “giết chết” server bằng sự im lặng


Trong giao tiếp TCP, mọi kết nối đều bắt đầu bằng quy trình bắt tay ba bước (3-way handshake):

1. Client gửi gói TCP có cờ SYN đến server.
2. Server phản hồi bằng gói SYN-ACK.
3. Client xác nhận bằng gói ACK → kết nối hoàn tất.

Nhưng trong tấn công SYN Flood, kẻ tấn công “cúp máy” ở bước 2!

---

💣 Cách tấn công diễn ra:

• Kẻ tấn công gửi hàng ngàn gói SYN đến server, giả vờ như đang bắt đầu một kết nối hợp lệ.
• Server phải phản hồi lại mỗi gói bằng SYN-ACK và chờ client trả lời tiếp.
• Nhưng ACK từ client không bao giờ tới, khiến các kết nối bị treo ở trạng thái “half-open”.

---

🧨 Hậu quả là gì?

• Bộ nhớ và tài nguyên trên server bị chiếm dụng cho các kết nối “ma”.
• Khi SYN backlog đầy, server sẽ bỏ qua hoặc từ chối các kết nối TCP hợp lệ.
• Với các hệ thống dùng cân bằng tải (load balancer), hiện tượng này gây chia tải không đều, làm rối loạn phân phối truy cập.
• Trong môi trường farm nhiều máy chủ, hiệu ứng domino sẽ khiến toàn bộ hệ thống giật lag hoặc ngưng trệ.

---

🤔 Tại sao kiểu tấn công này vẫn còn nguy hiểm tới tận hôm nay?

1. Gói SYN là một phần của lưu lượng bình thường → rất khó để firewall hay IDS lọc ra là hợp pháp hay tấn công.
2. Kích thước nhỏ → dễ sinh ra với số lượng lớn mà không tốn nhiều băng thông.
3. Có thể giả mạo địa chỉ IP → không cần nhận phản hồi, rất khó lần ra nguồn tấn công.

---

🛡️ Các cách phòng chống thực chiến:

• Tường lửa stateful: kiểm tra trạng thái kết nối để ngăn kết nối bất thường.
• Kỹ thuật SYN Cookies: thay vì giữ thông tin kết nối trong bộ nhớ, server chỉ cấp tài nguyên khi nhận ACK xác nhận.
• Giới hạn tốc độ (rate limiting): giảm tốc độ xử lý các kết nối SYN đến.
• Giảm timeout cho kết nối half-open để nhanh chóng giải phóng tài nguyên.

---

🧪 Ví dụ công cụ tấn công (dùng để test lab, không dùng phá hoại):

hping3 -S -p 80 --flood <địa chỉ IP server>

• -S: bật cờ SYN
• -p 80: gửi đến port 80
• --flood: gửi liên tục không giới hạn
  ⚠️ Chỉ thử nghiệm trên lab của bạn hoặc môi trường kiểm thử cho phép

---

🎯 Dành cho anh em CCNA, CCNP, CCIE:

“Hiểu bản chất SYN Flood là bạn đang cầm chìa khóa phát hiện những cuộc tấn công layer 4 phổ biến nhất hiện nay.”

• Nếu đang triển khai dịch vụ web, load balancer, firewall, hoặc thiết bị bảo mật – đừng bỏ qua cấu hình kiểm soát SYN.
• Đừng nghĩ chỉ các doanh nghiệp lớn mới là mục tiêu – bất kỳ thiết bị nào mở port TCP mà không bảo vệ tốt đều có thể là nạn nhân.

---

👉 Bạn muốn tiếp tục với các kỹ thuật tấn công TCP khác như ACK Flood, RST Attack, hay kiểu slow HTTP attack không?