cc攻击分析第一先学习一下tcp ip协议1、连接建立阶段的三次握手一般情况下，客户端连到服务器叫做主动打开，
cc攻击分析
第一>先学习一下tcp ip协议
1、连接建立阶段的三次握手
一般情况下，客户端连到服务器叫做主动打开，服务器上的端口监听叫做被动打开
a、准备，服务器进程被动打开端口
b、第一次:客户发送SYN报文，主动打开连接。这个报文中的序号叫做ISN（初始序号），是随机产生的。（SYN报文不带数据，但是消耗一个序号）
c、第二次：服务器收到后，发送SYN+ACK报文。
d、第三次：客户段收到后，发送ACK报文进行确认。
2、连接正常终止的三次握手协议：（以客户主动关闭为例）
a、客户：发送FIN，主动关闭
b、服务器：发送FIN+ACK（当然可以加最后一块报文）
c、客户：发ACK确认
3、半关闭与四次握手：
半关闭：一方虽然关闭了发送数据，但还是可以接收数据
a、客户：发送FIN
b、服务器：发ACK，同时通知应用进程
c、服务器继续传数据
d、服务器发FIN
e、客户发ACK
4、连接复位与RST标记：在一端的TCP可以请求拒绝一个连接，或者 异常终止一条连接 或者 终止一条空闲连接时候，这些都可以用RST标记位完成。
5、状态转移（有限状态机制）
（1）、正常流程的状态转移：（C表示客户端，S表示服务器,+表示接收，-表示发送）
C: CLOSED--（-SYN）-->SYN-SEND--(+"SYN+ACK", -ACK)-->ESTABLISHED--(-FIN)-->
FIN-WAIT-1--(+ACK)-->FIN-WAIT-2--(+FIN, -ACK)-->TIME_WAIT--(2MSL之后)-->CLOSED
S: CLOSED--（被动打开）-->LISTEN--(+SYN, -"SYN+ACK")-->SYN-RCVD--(+ACK)-->ESTABLISHED--(+FIN, -ACK)-->CLOSE-WAIT--(-FIN)-->LAST-ACK--(+ACK)-->CLOSED
其中，CLOSE-WAIT表示收到第一个FIN，发送了ACK，等应用进程关闭
(2)、拒绝连接时的状态转移：
C: CLOSED--(-SYN)-->SYN-SEND--(+"RST+ACK")-->CLOSED
S: CLOSED--(被动打开)-->LISTEN--(-"ACK+RST")-->SYN-RCVD--(过段时间)-->LISTEN
(3)、异常终止时候的状态转移
C: ...ESTABLISHED--(-"ACK+RST")-->CLOSED
S: ...ESTABLISHED--(+"ACK+RST")-->CLOSED
第二>分析一下cc攻击
CC攻击是实现DDoS其中一种方法。CC攻击的特点：业内有人将CC攻击称之为“Web杀手”,当web服务遭受到时候，见不到虚假IP，更特别的是见不到特别大的异常流量。而且与传统的ddos的实现方法相比，cc攻击只需一个普通用户的网络流量，就足以挂掉一台高性能的Web服务器。
通过命令行查看是否被攻击
当Web遭受CC攻击时，80端口将被大量的垃圾数据堵塞了，正常的连接被中止，最终导致拒绝对外提供服务。在命令行下输入命令netstat -an可查看当前的连接情况，如果看到大量类似如下的连接记录时，可以断定服务器正在遭受cc攻击。
TCP 192.8.8.8:80 8.7.1.6:2205 SYN_RECEIVED 4
解释：“8.7.1.6”就是被用来代理攻击的主机的IP，“SYN_RECEIVED”表示TCP连接状态标志，表明无法建立握手应答处于等待状态。因为来自不同的代理IP的攻击，所以这样的记录一般都会有很多条，这是受到攻击的一个重要特征。
