如何处理套接字中的网络端口滥用

Question

close( mSocket );

终止TCP/IP连接的最佳方法是什么，该连接清理了系统上的开放套接字，但让远程方挂起。那就是我想要关闭一个插座的方式，对我来说是最低的成本，但对他们来说是最高的成本。

@尼古拉斯·威尔逊：

使用tcprepair似乎是个好主意。当套接字在TCP_REPAIR模式下关闭时，不会发送FIN或RST数据包。远程插座挂起。我要去试试看然后回去报告。下面是我的（未经测试的）代码：

if ( abuse )
{
   int aux = 1;
   if ( setsockopt( mSocket, SOL_TCP, TCP_REPAIR, &aux, sizeof( aux )) < 0 )
      reportError( "Tried to do a rude socket close... but could not turn on repair mode.\n" );
}
close( mSocket );

1. 只是不要关闭它。打开的插座是永远的。攻击者代价：高-他们没有鳍。对我来说成本更高。我的所有文件描述符最终都会被使用。
2. 为每个套接字生成一个线程，使其Hibernate10分钟，然后关闭套接字。攻击者代价：高-他们没有鳍。对我来说成本更高。虽然我最终关闭了套接字，但对于每一个请求，我的套接字使用的时间比攻击者的时间长，而且我有一个线程的开销。
3. 生成一个线程来处理过期的所有被滥用的套接字。攻击者代价：高-他们没有鳍。对我来说成本更高。就像2号一样，很多插座都开着。管理它的单线程开销。代码复杂度，令人烦恼。

Answer 1

好的，做了一些研究，我有了一个适合我的答案，基于tcprepair。它比我一开始想象的要复杂一点：

if ( abuse )
{
   // read some bytes from the spammer - to establish the connection
   u32 tries = 20;
   while ( tries )
   {
      sleep( 1000 );
      char tmpBuf[32];
      s32 readCount = recv( mSocket, &tmpBuf[0], 32, 0 );
      if ( readCount > -1 ) break;
      tries--;
   }
#ifdef TCP_REPAIR
   int aux = 1;
   if ( setsockopt( mSocket, SOL_TCP, TCP_REPAIR, &aux, sizeof( aux )) < 0 )
   {
     reportError( "could not turn on repair mode" );
   }
#else // !TCP_REPAIR
   // no TCP REPAIR - best we can do is an abort close
   struct linger so_linger;
   so_linger.l_onoff = 1;
   so_linger.l_linger = 0;
   if ( setsockopt( mSocket, SOL_SOCKET, SO_LINGER, &so_linger, sizeof so_linger ) < 0  )
   {
      reportError( "Cannot turn off SO_LINGER" );
   }
#endif // TCP_REPAIR
}
close( mSocket );

在内核级别，如果您关闭连接，TCP堆栈将发送FIN或RST数据包，无论您如何执行（关闭或关闭）。无论哪种方式都将通知攻击者您关闭了连接。

我们想悄悄地关闭连接，让他们等着发现你没有应答。因为我们有报复心。

但如果您在连接后立即通过IP阻止请求，而不首先读取套接字，则会以某种方式通知远程方。他们得到了RST。或者连接中的某些东西从未完全完成,远程系统几乎立即中止请求。

所以我们首先从黑客的套接字中读取几个字节。在我的例子中，套接字已经处于非阻塞模式。但如果不是，您想要将套接字设置为非阻塞，否则您将自己打开给黑客打开连接，但不发送数据包，让您的服务器挂起--就像您计划对他做的那样。如果几微秒后你没有收到一个数据包，你还是会关闭他。

但如果你从他那里读了几个字节，那么他的程序就会一直等待你的响应，而这个响应永远不会来。

像一个魅力一样工作，将您的浏览器指向此处：

http://oroboro.com/fail

铬至少会挂在那里5-10秒。看看我的日志，我每秒被打10次--他只能每10秒打我一次。从以下内容加载到我的系统：0。