2021 年 8 月马里兰大学与科罗拉多大学博尔德分校联合发表论文，揭示利用 TCP 协议中间盒缺陷发起反射放大攻击的新向量；2022 年 3 月 Akamai 实测峰值 11Gbps、1.5 Mpps 攻击流量，确认该技术已被武器化并针对银行、旅游、游戏、媒体、主机托管等行业发起多轮攻击活动。
攻击机制：中间盒如何被滥用
中间箱指部署在网络路径上的防火墙、内容过滤、NAT 等设备，它们常对 TCP 状态机做非标准处理。攻击者向目标 IP 发送伪造源地址的 SYN 包，中间盒因策略配置缺陷（如对非建立连接的 SYN+ACK 不校验序列号、或对 RST 包过度放行），将回复包反射放大至受害主机。实测中单个中间盒放大倍数可达数十倍，且因使用合规 TCP 端口，极难用传统 UDP 反射特征封堵。
检测与缓解：现有最佳实践
Akamai 建议三层防御：边界路由器启用 uRPF 与 BCP38 防止源地址欺骗；中间盒厂商修复 TCP 状态机逻辑，禁止对非法 SYN 回复 SYN+ACK、限制 RST 速率；受害端部署基于流行为基线的速率限制，配合 SYN Cookie 与 TCP-AUTH 选项。原文未给出具体部署比例或缓解后残留带宽数据。
对运维工程师的启示
TCP 中间盒反射打破了“仅 UDP 存在反射放大”的固有认知，迫使网络团队重新审核所有有状态设备的 TCP 处理逻辑。建议纳入定期渗透测试范围，重点验证防火墙、WAF、负载均衡器对异常 TCP 标志位组合的响应，并在上游运营商侧协商部署源地址验证，从源头切断伪造流量路径。
原文: APNIC Blog（2022-10-18）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog