通过阅读这篇文章，你会了解到这些知识

1. ESTABLISHED 状态的连接收到乱序包会回复什么
2. Challenge ACK 的概念
3. ACK 报文限速是什么鬼
4. SystemTap 工具在 linux 内核追踪中的使用
5. 包注入神器 scapy 的使用
6. RST 攻击的原理
7. killcx 等工具利用 RST 攻击的方式来杀掉连接的原理

scapy 实验复现现象

• 对于一个 SEQ 为随意的 SYN 包，TCP 回复了正确的 ACK 包

从 rfc793 文档中也可以看到：

• Linux 内核对于收到的乱序 SYN 报文，会回复一个携带了正确序列号和确认号的 ACK 报文。
• 这个 ACK 被称之为 Challenge ACK。

原因分析

为了方便说明，我们记发送 SYN 报文的一端为 A，处于 ESTABLISHED 状态接收 SYN 报文的一端为 B，B 对收到的 SYN 包回复 ACK 的原因是想让对端 A 确认之前的连接是否已经失效，以便做出一些处理。

如果 A 之前的此条连接已经不在了，此次 SYN 包是想发起新的连接，对于收到的 ACK 包，会立即回复一个 RST，且 RST 包的序列号就等于 ACK 包的序列号，B 收到这个合法的 RST 包以后，就会将连接释放。A 此时若想继续与 B 创建连接，则可以选择再次发送 SYN 包，重新建连，如下图所示。

内核源码分析

SystemTap 工具

如果攻击者疯狂发送假的乱序包，接收端也跟着回复 Challenge ACK，会耗费大量的 CPU 和带宽资源。于是 RFC 5961 提出了 ACK Throttling 方案，限制了每秒钟发送 Challenge ACK 报文的数量，这个值由 net.ipv4.tcp_challenge_ack_limit 系统变量决定，默认值是 1000，也就是 1s 内最多允许 1000 个 Challenge ACK 报文。