1. Die Portnummer in der SYN-Nachricht des Clients unterscheidet sich von der historischen Verbindung
Zu diesem Zeitpunkt geht der Server davon aus, dass eine neue Verbindung hergestellt werden soll, und stellt daher über einen Drei-Wege-Handshake eine neue Verbindung her.
Was passiert mit dem Server im etablierten Zustand in der alten Verbindung?
Der Server sendet eine Nachricht an den Client: Die Client-Verbindung wurde geschlossen. Zu diesem Zeitpunkt gibt der Client-Kernel eine RST-Nachricht zurück und der Server gibt die Verbindung frei.
Der Server hat keine Nachricht an den Client gesendet: Nach einer gewissen Zeit startet der TCP-Keep-Alive-Mechanismus und die Verbindung wird freigegeben
2. Die Portnummer in der SYN-Nachricht des Clients ist dieselbe wie die historische Verbindung
Der Server im etablierten Zustand empfängt die SYN-Nachricht (die SYN-Nachricht ist zu diesem Zeitpunkt tatsächlich außer Betrieb, da die Initialisierungssequenznummer der SYN-Nachricht tatsächlich eine Zufallszahl ist ), und der Server antwortet mit einer Bestätigung mit der richtigen Reihenfolge Nummer Nr. ACK-Nachricht, der Client empfängt diese ACK und stellt fest, dass sie nicht das ist, was er möchte, sendet RST an den Server zurück und gibt die Verbindung frei.
Wie schließe ich eine TCP-Verbindung?
Um eine RST-Nachricht zu fälschen, müssen die beiden Bedingungen erfüllt sein, dass das Vierfache gleich ist und die Sequenznummer von der anderen Partei erwartet wird .
Das Tool killcx fälscht eine SYN-Nachricht mit demselben Vierfach, um eine legale Seriennummer zu erhalten.
Das TCPKILL-Tool dient dazu, die Seriennummer abzurufen, die die andere Partei voraussichtlich das nächste Mal erhalten wird, wenn die beiden Parteien eine TCP-Kommunikation durchführen. Geben Sie dann die Sequenznummer in die gefälschte RST-Nachricht ein und senden Sie sie an die andere Partei, um den Effekt des Schließens der TCP-Verbindung zu erzielen.
- tcpkill ist eine passive Erfassung, und die korrekte Seriennummer kann nur erhalten werden, wenn die beiden Parteien eine TCP-Kommunikation durchführen. Offensichtlich kann diese Methode die inaktive TCP-Verbindung nicht schließen.
- Das Killcx-Tool gehört zur aktiven Erfassung. Es sendet aktiv eine SYN-Nachricht und erhält die richtige Seriennummer über die von der anderen Partei geantwortete Challenge ACK. Daher kann diese Methode unabhängig davon geschlossen werden, ob die TCP-Verbindung aktiv ist oder nicht .