1、针对TCP SYN洪流攻击： （1）阅读附件中的TCP SYN攻击程序，画出流程图。 （2）叙述SYN FLOOD攻击原理，结合课件并查询相关资料，分析半连接表的变化情况。 （3）分析实际使用时，攻击者一般要伪造源地址的原因。

### 回答1：
1、TCP SYN洪流攻击流程图：


2、SYN FLOOD攻击原理：

SYN FLOOD攻击是一种利用TCP协议漏洞的攻击方式。攻击者向目标主机发送大量的TCP连接请求，但是不完成握手过程，而是在目标主机的半连接表中留下大量未完成的连接请求，使得目标主机的资源被半连接表所占据，从而无法响应正常的连接请求。

半连接表是目标主机用于记录TCP连接状态的一种数据结构。当目标主机接收到一个TCP连接请求时，会在半连接表中记录下该连接请求的源IP地址、目标IP地址、源端口号、目标端口号等信息，然后向该连接请求的源地址发送SYN-ACK报文，等待该连接请求的源地址返回ACK报文，如果在一定时间内没有收到ACK报文，则该连接请求就会被删除。

在SYN FLOOD攻击中，攻击者向目标主机发送大量的TCP连接请求，但是不完成握手过程，从而在目标主机的半连接表中留下大量未完成的连接请求。由于半连接表的数量是有限的，当目标主机的半连接表被占据满之后，正常的连接请求就无法被响应，从而导致目标主机无法正常工作。

3、攻击者伪造源地址的原因：

攻击者伪造源地址的目的是为了隐藏自己的真实IP地址，从而使得目标主机无法追踪攻击者的真实身份。同时，攻击者还可以利用伪造源地址来进行IP地址欺骗攻击，例如攻击者可以伪造一个合法的IP地址向目标主机发送恶意数据包，使得目标主机误认为这些数据包是来自合法的IP地址，从而无法对这些数据包进行过滤和防御。

### 回答2：
针对TCP SYN洪流攻击的回答如下：

（1）根据附件中的TCP SYN攻击程序，可以画出如下的流程图：

开始 -> 选择目标IP地址和端口 -> 构造源IP地址和端口 -> 发送SYN请求 -> 接收SYN-ACK响应 -> 关闭连接 -> 返回开始

（2）SYN FLOOD攻击的原理是攻击者向目标主机发送大量的TCP连接请求（SYN包），但不完成后续的连接过程，从而消耗目标主机的资源。同时，攻击者可以使用伪造的源IP地址来使得目标主机无法正确识别和处理请求，增加攻击的难度。

在进行SYN FLOOD攻击时，半连接表的变化情况如下：
- 攻击开始时，半连接表中的条目数量较少。当攻击者发送大量的SYN包后，目标主机收到这些请求，并在半连接表中创建相应的条目。这些条目中包含了源IP地址、源端口号、目标IP地址和目标端口号等信息。
- 攻击者并不完成后续的连接过程，即不发送SYN-ACK包和ACK包，从而使得半连接表中的条目处于占用状态。随着攻击的进行，半连接表中的占用条目继续增加，占用了目标主机的资源。
- 当半连接表中的占用条目数量达到一定阈值时，目标主机无法正常处理更多的TCP连接请求，导致服务不可用。

（3）在实际使用时，攻击者一般要伪造源地址的原因主要有两个方面：
- 隐藏攻击者的真实身份：通过伪造源地址，攻击者可以隐藏自己的真实IP地址，使得被攻击的目标无法追踪到攻击者的身份。这增加了攻击者逃避法律追究的难度。
- 破坏通信链路和网络设备：通过伪造源地址，攻击者可以使得目标主机无法正常识别和处理请求，导致服务器负载加重，网络链路拥堵，甚至导致网络设备的故障。这对目标主机和网络设备造成了实质性的破坏。

### 回答3：
(1) 根据附件中的TCP SYN攻击程序，可以画出以下流程图：

起始：攻击主机发送大量的SYN请求至目标主机
目标主机接收到SYN请求后，会分配一个半连接（SYN_RECV），并向攻击主机发送一个SYN-ACK响应
攻击主机会收到目标主机的SYN-ACK响应，但不会响应ACK确认，而是忽略掉该响应，即不建立完整的连接
目标主机在一段时间内等待ACK确认，由于攻击主机不响应ACK，导致目标主机的资源被耗尽
攻击主机不断地发送大量的SYN请求，导致目标主机的半连接表被填满，无法接受其他正常的连接请求
结束

(2) SYN FLOOD攻击原理是通过发送大量的伪造的TCP SYN请求，使目标主机的半连接表（又称SYN队列）被填满，从而导致目标主机无法建立正常的TCP连接。半连接表是一个用于处理TCP三次握手过程中未完成连接的队列，主要用于接收SYN请求并分配序列号，之后发送SYN-ACK响应等待ACK确认。

在进行SYN洪流攻击时，攻击者发送大量伪造的源IP地址和随机的源端口号的SYN请求，这些请求会被目标主机接收并分配一个半连接（SYN_RECV）。目标主机会向发送SYN请求的源IP地址发送SYN-ACK响应。然而，由于伪造的源IP地址并不存在，所以这些SYN-ACK响应会无法到达真实的发送者。攻击者可以不断重复发送SYN请求，使得目标主机的半连接表被填满。一旦半连接表被填满，目标主机无法处理新的连接请求，导致正常用户无法访问目标服务器。

(3) 攻击者一般要伪造源地址的原因是为了隐蔽自己的真实身份和位置。通过伪造源地址，攻击者可以使攻击流量看起来来自于其他网络或主机，从而迷惑受攻击主机和网络的防御措施。此外，伪造源地址还可以使攻击者逃避追踪和法律责任。通过伪造源地址，攻击者可以隐藏或混淆自己的真实位置和身份，增加自己的匿名性，使得追踪和追捕变得更加困难。因此，攻击者一般会伪造源地址来进行网络攻击，包括TCP SYN洪流攻击。