[發明專利]一種ACK Flood攻擊的防護方法及裝置

有效

• 申請號: 202011038308.7
• 申請日: 2020-09-28
• 公開（公告）號: CN112187793B
• 公開（公告）日: 2022-09-16
• 發明（設計）人: 李明;樊宇;葉曉虎
• 申請（專利權）人: 綠盟科技集團股份有限公司;北京神州綠盟科技有限公司
• 主分類號: H04L9/40
• 分類號: H04L9/40
• 代理公司: 北京同達信恒知識產權代理有限公司 11291
• 代理人: 王媛媛

1.一種ACK Flood攻擊的防護方法，其特征在于，包括：

中間防護設備針對攔截的每一客戶端發送的ACK報文，基于在所述客戶端發送所述ACK報文之前所述中間防護設備返回給所述客戶端的ACK響應報文中的一段報文段，生成探測報文，其中，所述ACK響應報文為目標服務器通過所述中間防護設備返回給所述客戶端的；

丟棄所述ACK報文，并將生成的探測報文返回至所述客戶端；

當確定所述客戶端基于接收到的所述探測報文返回相應的探測響應報文時，檢測所述探測響應報文中是否包含SACK選項；

當檢測到所述探測響應報文中包含所述SACK選項，根據所述SACK選項相應的SACK信息判定所述客戶端是否為合法客戶端；當確定所述客戶端為合法客戶端時，將所述客戶端重傳的ACK報文以及后續發送的所有ACK報文發送至相應的目標服務器；否則，將所述客戶端重傳的ACK報文以及后續發送的所有ACK報文丟棄；

當檢測到所述探測響應報文中不包含所述SACK選項時，將所述客戶端重傳的ACK報文以及后續發送的所有ACK報文丟棄。

2.如權利要求1所述的方法，其特征在于，基于在所述客戶端發送所述ACK報文之前所述中間防護設備返回給所述客戶端的ACK響應報文中的一段報文段，生成探測報文，具體包括：

獲取所述ACK報文攜帶的第一源IP地址、第一目的IP地址、第一源端口、第一目的端口、第一序列號和第一確認號；

將所述第一源IP地址作為第二目的IP地址，將所述第一目的IP地址作為第二源IP地址，將所述第一源端口作為第二目的端口，將所述第一目的端口作為第二源端口；

將所述第一確認號減去X作為第二序列號，其中，X為大于或等于2的整數，將所述第一序列號減去Y作為第二確認號，其中，Y為大于或等于0的整數，并設置報文長度為大于或等于1且小于X的整數，所述報文長度為所述報文段的長度；

根據所述第二源IP地址、所述第二目的IP地址、所述第二源端口、所述第二目的端口、所述第二序列號、所述第二確認號以及所述報文長度，生成所述探測報文。

3.如權利要求2所述的方法，其特征在于，根據所述SACK選項相應的SACK信息判定所述客戶端是否為合法客戶端，具體包括：

獲取所述SACK信息中包含的起始序列號以及結束序列號；

當確定所述起始序列號的值與所述第二序列號相同，且所述結束序列號的值等于所述第二序列號與所述報文長度之和時，則判定所述客戶端是合法客戶端；否則，判定所述客戶端是非法客戶端。

4.如權利要求1所述的方法，其特征在于，還包括：

當確定在預設時間段內未收到所述客戶端發送的探測響應報文時，向所述客戶端重新發送所述探測報文。

5.一種ACK Flood攻擊的防護裝置，其特征在于，包括：

生成單元，用于針對攔截的每一客戶端發送的ACK報文，基于在所述客戶端發送所述ACK報文之前中間防護設備返回給所述客戶端的ACK響應報文中的一段報文段，生成探測報文，其中，所述ACK響應報文為目標服務器通過所述中間防護設備返回給所述客戶端的；

返回單元，用于丟棄所述ACK報文，并將生成的探測報文返回至所述客戶端；

檢測單元，用于當確定所述客戶端基于接收到的所述探測報文返回相應的探測響應報文時，檢測所述探測響應報文中是否包含SACK選項；

第一處理單元，用于當檢測到所述探測響應報文中包含所述SACK選項，根據所述SACK選項相應的SACK信息判定所述客戶端是否為合法客戶端；當確定所述客戶端為合法客戶端時，將所述客戶端重傳的ACK報文以及后續發送的所有ACK報文發送至相應的目標服務器；否則，將所述客戶端重傳的ACK報文以及后續發送的所有ACK報文丟棄；

第二處理單元，用于當檢測到所述探測響應報文中不包含所述SACK選項時，將所述客戶端重傳的ACK報文以及后續發送的所有ACK報文丟棄。