伪造TCP重置 长连接 短连接 RST报文 TCP重置攻击

 在运行中的进程突然被杀死时，该端发送RST

连接池16个连接

 

 

 

 

 

TCP重置攻击指的是使用伪造的TCP重置包干扰用户和网站的连接[1]。这个技术可以在善意的防火墙中应用[2]，但也可用于网络审查或是攻击，恶意中断TCP连接，是一种旁观者攻击。

本质上，Internet是用于单个计算机交换电子消息或IP数据包的系统。该系统包括用于承载消息的硬件（例如铜缆和光纤电缆）和用于格式化消息的形式化系统，称为“协议”。互联网上使用的基本协议是IP协议，通常与其他协议（例如TCP[4]或UDP协议）结合使用。TCP/IP是用于电子邮件和Web浏览的协议集。每个协议都有一个信息块，称为包头，包含在每个数据包的开头附近。包头含有关哪台计算机发送了数据包，哪台计算机应接收它，数据包大小等信息。

当两台计算机之间需要双向虚拟连接时，TCP与IP一起使用。（UDP是无连接IP协议。）两台机器上的TCP软件将通过交换数据包流进行通信（例如，装有浏览器的电脑和Web服务器）。使用TCP连接为计算机提供了一种简便的方法来交换对于单个数据包来说太大的数据项，例如视频剪辑，电子邮件附件或音乐文件。尽管某些网页对于单个数据包来说足够小，但为方便起见，它们也是通过TCP连接发送的。

 

TCP重置

主条目：传输控制协议

在传输控制协议（TCP）连接的数据包流中，每个数据包都包含一个TCP包头。这些包头中的每一个都包含一个称为“复位”（RST）标志的位。在大多数数据包中，该位设置为0，并且无效；但是，如果此位设置为1，则向接收计算机指示该计算机应立即停止使用TCP连接；它不应使用连接的标识号（端口）发送更多数据包，并丢弃接收到的带有包头的其他数据包，这些包头指示它们属于该连接。TCP重置基本上会立即终止TCP连接。

按照最初的设计，这是一个有用的工具。常见的应用是在进行TCP连接时计算机（计算机A）崩溃的情况。另一端的计算机（计算机B）将继续发送TCP数据包，因为它不知道计算机A已崩溃。重新启动计算机A后，它将从旧的崩溃前连接接收数据包。计算机A没有这些数据包的上下文，也无法知道如何处理这些数据包，因此它可以向计算机B发送TCP重置。此重置使计算机B知道该连接不再起作用。计算机B上的用户现在可以尝试其他连接或采取其他措施。

 

伪造TCP重置 

在上述情况下，TCP重置是由作为连接端点之一的计算机发送的。但操作中，第三台计算机可以监视连接上的TCP数据包，然后将包含TCP重置的“伪造”数据包发送到一个或两个端点。伪造数据包中的报头必须错误地表明它来自端点，而不是伪造者。此信息包括端点IP地址和端口号。IP和TCP包头中的每个字段都必须设置为令人信服的伪造值，以进行伪重置，以欺骗端点关闭TCP连接。正确格式化的伪造TCP重置可能是中断伪造者可以监视的任何TCP连接的非常有效的方法。

合理使用TCP重置注入 

伪造的TCP重置的一个明显的应用是在未经拥有端点的两方同意的情况下恶意破坏TCP连接。但是，也有人设计了使用伪造TCP重置来保护网络安全的系统。1995年被演示的一个原型“ Buster”软件包，该软件包会将伪造的重置发送到使用短列表中的端口号的任何TCP连接。Linux志愿者在2000年提出了在Linux防火墙上实现此功能，[5]而开源的Snort早在2003年就使用TCP重置来中断可疑连接。[6]

IETF认为，RFC3360中防火墙，负载平衡器和Web服务器进行的TCP重置是有害的。[7]

 

 

 

 

 

 

https://zh.wikipedia.org/wiki/TCP重置攻击

 

 

 

 

 

 

 

 

 

 

https://baike.baidu.com/item/短连接

 

短连接（short connnection）是相对于长连接而言的概念，指的是在数据传送过程中，只在需要发送数据时，才去建立一个连接，数据发送完成后，则断开此连接，即每次连接只完成一项业务的发送。

1. 需要的时候才建立连接；
2. 每次只发送一项业务。
 
短连接是指通讯双方有数据交互时，就建立一个连接，数据发送完成后，则断开此连接，即每次连接只完成一项业务的发送。
优点：不需要长期占用通道，对于业务频率不高的场合，能节省通道的使用。
缺点：需要在每次发送业务时，都要建立一次连接，连接建立的过程开销大。
 
 
 
短连接是指通讯双方有数据交互时，就建立一个连接，数据发送完成后，则断开此连接，即每次连接只完成一项业务的发送。
长连接多用于操作频繁，点对点的通讯，而且连接数不能太多情况。每个TCP连接都需要三步握手，这需要时间，如果每个操作都是短连接，再操作的话那么处理速度会降低很多，所以每个操作完后都不断开，下次处理时直接发送数据包就OK了，不用建立TCP连接。例如：数据库的连接用长连接，如果用短连接频繁的通信会造成socket错误，而且频繁的socket 创建也是对资源的浪费。
而像WEB网站的http服务一般都用短链接，因为长连接对于服务端来说会耗费一定的资源，而像WEB网站这么频繁的成千上万甚至上亿客户端的连接用短连接会更省一些资源，如果用长连接，而且同时有成千上万的用户，如果每个用户都占用一个连接的话，那可想而知吧。所以并发量大，但每个用户无需频繁操作情况下需用短连好。
总之，长连接和短连接的选择要视情况而定。
 
 
https://baike.baidu.com/item/长连接
 
短连接是指通讯双方有数据交互时，就建立一个连接，数据发送完成后，则断开此连接，即每次连接只完成一项业务的发送。
长连接多用于操作频繁，点对点的通讯，而且连接数不能太多情况。每个TCP连接都需要三步握手，这需要时间，如果每个操作都是短连接，再操作的话那么处理速度会降低很多，所以每个操作完后都不断开，下次处理时直接发送数据包就OK了，不用建立TCP连接。例如：数据库的连接用长连接，如果用短连接频繁的通信会造成socket错误，而且频繁的socket 创建也是对资源的浪费。
而像WEB网站的http服务一般都用短链接，因为长连接对于服务端来说会耗费一定的资源，而像WEB网站这么频繁的成千上万甚至上亿客户端的连接用短连接会更省一些资源，如果用长连接，而且同时有成千上万的用户，如果每个用户都占用一个连接的话，那可想而知吧。所以并发量大，但每个用户无需频繁操作情况下需用短连好。
总之，长连接和短连接的选择要视情况而定。

应用

手机推送原理

手机推送服务的原理很简单，就是通过建立一条手机与服务器的连接链路，当有消息需要发送到手机时，通过此链路发送即可。 推送服务的使用流程虽然略有差别但是大致都和IOS的APNS相似
1、首先是应用程序注册消息推送。
2、 IOS跟APNS Server要deviceToken。应用程序接受deviceToken。
3、应用程序将deviceToken发送给PUSH服务端程序。
4、 服务端程序向APNS服务发送消息。
5、APNS服务将消息发送给iPhone应用程序
 
推送方案评价标准
推送方案的公认评价采取4s标准：1.Safe(安全) 2. Stable（稳定） 3.Save（省电省流量省成本） 4.Slim（体积小）
1.Safe (安全)
推送方案应支持透传及各种加密方案，保障信息传递安全。
推送方案的ID系统应该独立于已有的网站或服务的ID系统，这样保障用户在不同手机上登录后的信息投递准确性，避免因为取消绑定事件失败因网络传输而造成的信息误投送。
2. Stable（稳定）
稳定包括两个部分一个是服务器端的稳定性，一个是手机端的稳定性。
服务端稳定性，因为使用长连接方案，对服务器的开销和要求很大，推送方案对服务器开发要求很高，海量线程连接下的服务器稳定性是非常具有挑战性的。一般的评判标准包括：
- 同时在线时峰值 （一般按照百万并发连接时服务器稳定性评测）
- 高并发时消息平均延迟时间（一般按照1分钟处理1百万条信息评测）
- 服务稳定性 （一般要求全年99.9%以上可用，有备份，有负载均衡等）
鉴于服务器稳定的开发难度很大，小团队不建议自己开发，建议使用稳定的第三方推送方案，如个推，蝴蝶等。
手机端的稳定性，主要是因为中国的复杂网络状况及手机型号适配情况造成手机长时间稳定联网较困难，所以稳定性非常重要，一般的评判标准包括：
- 每日联网23.5小时以上用户比例 （表征联网稳定性）
- 消息发送后9小时内收到率 （表征到达率）
一般来说，推送方案要做网络的分运营商，分省，分机型适配，自己开发工作量较大
3.Save（节省）
省电应注意CPU休眠，一般用服务缩短待机时间百分比评判
省流量应注意协议的修改和冗余数据包的处理，一般用空载待机月流量评判
省成本应考虑单服务器承载同时连接数，可承载同时连接数越多成本越低，业内 顶尖水平为个推的单服务器50万连接
4.Slim（体积小）
推送服务应该体积尽量小，不影响主程序的大小和复杂度，一般以小于300K为宜。
 
 
 
tcp长连接和短连接 - GeorgeXu - 博客园 https://www.cnblogs.com/georgexu/p/10909814.html

tcp长连接和短连接

 

TCP在真正的读写操作之前，server与client之间必须建立一个连接，

当读写操作完成后，双方不再需要这个连接时它们可以释放这个连接，

连接的建立通过三次握手，释放则需要四次握手，

所以说每个连接的建立都是需要资源消耗和时间消耗的。

1. TCP短连接

模拟一种TCP短连接的情况:

  1. client 向 server 发起连接请求
  2. server 接到请求，双方建立连接
  3. client 向 server 发送消息
  4. server 回应 client
  5. 一次读写完成，此时双方任何一个都可以发起 close 操作

在步骤5中，一般都是 client 先发起 close 操作。当然也不排除有特殊的情况。

从上面的描述看，短连接一般只会在 client/server 间传递一次读写操作！

2. TCP长连接

再模拟一种长连接的情况:

  1. client 向 server 发起连接
  2. server 接到请求，双方建立连接
  3. client 向 server 发送消息
  4. server 回应 client
  5. 一次读写完成，连接不关闭
  6. 后续读写操作...
  7. 长时间操作之后client发起关闭请求

3. TCP长/短连接操作过程

3.1 短连接的操作步骤是：

建立连接——数据传输——关闭连接...建立连接——数据传输——关闭连接

3.2 长连接的操作步骤是：

建立连接——数据传输...（保持连接）...数据传输——关闭连接

4. TCP长/短连接的优点和缺点

  • 长连接可以省去较多的TCP建立和关闭的操作，减少浪费，节约时间。

    对于频繁请求资源的客户来说，较适用长连接。

  • client与server之间的连接如果一直不关闭的话，会存在一个问题，

    随着客户端连接越来越多，server早晚有扛不住的时候，这时候server端需要采取一些策略，

    如关闭一些长时间没有读写事件发生的连接，这样可以避免一些恶意连接导致server端服务受损；

    如果条件再允许就可以以客户端机器为颗粒度，限制每个客户端的最大长连接数，

    这样可以完全避免某个蛋疼的客户端连累后端服务。

  • 短连接对于服务器来说管理较为简单，存在的连接都是有用的连接，不需要额外的控制手段。
  • 但如果客户请求频繁，将在TCP的建立和关闭操作上浪费时间和带宽。

5. TCP长/短连接的应用场景

  • 长连接多用于操作频繁，点对点的通讯，而且连接数不能太多情况。

    每个TCP连接都需要三次握手，这需要时间，如果每个操作都是先连接，

    再操作的话那么处理速度会降低很多，所以每个操作完后都不断开，

    再次处理时直接发送数据包就OK了，不用建立TCP连接。

    例如：数据库的连接用长连接，如果用短连接频繁的通信会造成socket错误，

    而且频繁的socket 创建也是对资源的浪费。

  • 而像WEB网站的http服务一般都用短链接，因为长连接对于服务端来说会耗费一定的资源，

    而像WEB网站这么频繁的成千上万甚至上亿客户端的连接用短连接会更省一些资源，

    如果用长连接，而且同时有成千上万的用户，如果每个用户都占用一个连接的话，

    那可想而知吧。所以并发量大，但每个用户无需频繁操作情况下需用短连好。

 

 
 
 
 
 12 | 连接无效：使用Keep-Alive还是应用心跳来检测？ https://time.geekbang.org/column/article/127900
 
上一篇文章中，我们讲到了如何使用 close 和 shutdown 来完成连接的关闭，在大多数情况下，我们会优选 shutdown 来完成对连接一个方向的关闭，待对端处理完之后，再完成另外一个方向的关闭。
在很多情况下，连接的一端需要一直感知连接的状态，如果连接无效了，应用程序可能需要报错，或者重新发起连接等。
在这一篇文章中，我将带你体验一下对连接状态的检测，并提供检测连接状态的最佳实践。
从一个例子开始
让我们用一个例子开始今天的话题。我之前做过一个基于 NATS 消息系统的项目，多个消息的提供者 （pub）和订阅者（sub）都连到 NATS 消息系统，通过这个系统来完成消息的投递和订阅处理。突然有一天，线上报了一个故障，一个流程不能正常处理。
经排查，发现消息正确地投递到了 NATS 服务端，但是消息订阅者没有收到该消息，也没能做出处理，导致流程没能进行下去。通过观察消息订阅者后发现，消息订阅者到 NATS 服务端的连接虽然显示是“正常”的，但实际上，这个连接已经是无效的了。
为什么呢？这是因为 NATS 服务器崩溃过，NATS 服务器和消息订阅者之间的连接中断 FIN 包，由于异常情况，没能够正常到达消息订阅者，这样造成的结果就是消息订阅者一直维护着一个“过时的”连接，不会收到 NATS 服务器发送来的消息。
这个故障的根本原因在于，作为 NATS 服务器的客户端，消息订阅者没有及时对连接的有效性进行检测，这样就造成了问题。
保持对连接有效性的检测，是我们在实战中必须要注意的一个点。
TCP Keep-Alive 选项很多刚接触 TCP 编程的人会惊讶地发现，在没有数据读写的“静默”的连接上，是没有办法发现 TCP 连接是有效还是无效的。
比如客户端突然崩溃，服务器端可能在几天内都维护着一个无用的 TCP 连接。前面提到的例子就是这样的一个场景。那么有没有办法开启类似的“轮询”机制，让 TCP 告诉我们，连接是不是“活着”的呢？
这就是 TCP 保持活跃机制所要解决的问题。
实际上，TCP 有一个保持活跃的机制叫做 Keep-Alive。
这个机制的原理是这样的：定义一个时间段，在这个时间段内，如果没有任何连接相关的活动，TCP 保活机制会开始作用，每隔一个时间间隔，发送一个探测报文，该探测报文包含的数据非常少，如果连续几个探测报文都没有得到响应，则认为当前的 TCP 连接已经死亡，系统内核将错误信息通知给上层应用程序。
上述的可定义变量，分别被称为保活时间、保活时间间隔和保活探测次数。
在 Linux 系统中，这些变量分别对应 sysctl 变量net.ipv4.tcp_keepalive_time、net.ipv4.tcp_keepalive_intvl、 net.ipv4.tcp_keepalve_probes，默认设置是 7200 秒（2 小时）、75 秒和 9 次探测。
如果开启了 TCP 保活，需要考虑以下几种情况：
第一种，对端程序是正常工作的。当 TCP 保活的探测报文发送给对端, 对端会正常响应，这样 TCP 保活时间会被重置，等待下一个 TCP 保活时间的到来。第二种，对端程序崩溃并重启。当 TCP 保活的探测报文发送给对端后，对端是可以响应的，但由于没有该连接的有效信息，会产生一个 RST 报文，这样很快就会发现 TCP 连接已经被重置。
第三种，是对端程序崩溃，或对端由于其他原因导致报文不可达。当 TCP 保活的探测报文发送给对端后，石沉大海，没有响应，连续几次，达到保活探测次数后，TCP 会报告该 TCP 连接已经死亡。
TCP 保活机制默认是关闭的，当我们选择打开时，可以分别在连接的两个方向上开启，也可以单独在一个方向上开启。如果开启服务器端到客户端的检测，就可以在客户端非正常断连的情况下清除在服务器端保留的“脏数据”；而开启客户端到服务器端的检测，就可以在服务器无响应的情况下，重新发起连接。为什么 TCP 不提供一个频率很好的保活机制呢？
我的理解是早期的网络带宽非常有限，如果提供一个频率很高的保活机制，对有限的带宽是一个比较严重的浪费。应用层探活如果使用 TCP 自身的 keep-Alive 机制，在 Linux 系统中，最少需要经过 2 小时 11 分 15 秒才可以发现一个“死亡”连接。
这个时间是怎么计算出来的呢？其实是通过 2 小时，加上 75 秒乘以 9 的总和。实际上，对很多对时延要求敏感的系统中，这个时间间隔是不可接受的。所以，必须在应用程序这一层来寻找更好的解决方案。
 
 
 
 
 
 
 
 
 
 
 
posted @ 2017-12-16 21:53  papering  阅读(935)  评论(0)  编辑  收藏  举报