1. dns劫持 (客户端请求后，返回服务器前)

a) DNS劫持又称域名劫持，是指在劫持的网络范围内拦截域名解析的请求，分析请求的域名，把审查范围以外的请求放行，否则返回假的IP地址或者什么都不做使请求失去响应，其效果就是对特定的网络不能反应或访问的是假网址。

2. http劫持 (到服务器后，返回客户端前)

a) HTTP劫持是在使用者与其目的网络服务所建立的专用数据通道中，监视特定数据信息，提示当满足设定的条件时，就会在正常的数据流中插入精心设计的网络数据报文，目的是让用户端程序解释“错误”的数据，并以弹出新窗口的形式在使用者界面展示宣传性广告或者直接显示某网站的内容。

b) HTTP劫持通常不是定时在你的系统中出现的，只有病毒引起的恶意推广才会不停地出现在你的视线中。并且HTTP劫持往往是在你进行网络操作刚刚开始的时候，例如，你刚刚打开了旺旺、登录邮箱或访问的网站还未完全打开时，劫持才会出现。

c) 这种劫持导致的最常见的现象就是弹出宣传页面，这种页面会突然跳出来，而且显示速度很快，比你要访问的网站提前很多。

d) 弹窗广告(CPM) 设置首次弹窗，提高用户体验(判定cookie是否包含网站信息, 表明用户是否点击)

3. 三次握手协议

OSI参考模型中的网络层，在TCP/IP协议中，TCP协议提供可靠的连接服务，采用三次握手建立一个连接。

第一次握手：建立连接时，客户端发送syn包(syn=j)到服务器，并进入SYN_SEND状态，等待服务器确认；

第二次握手：服务器收到syn包，必须确认客户的syn(ack=j+1)，同时自己也发送一个SYN包(syn=k)，即SYN+ACK包，此时服务器进入SYN_RECV状态；

第三次握手：客户端收到服务器的SYN+ACK包，向服务器发送确认包ACK(ack=k+1)，此包发送完毕，客户端和服务器进入ESTABLISHED状态，完成三次握手。

完成三次握手，客户端与服务器开始传送数据，在上述过程中，还有一些重要的概念：

未连接队列：在三次握手协议中，服务器维护一个未连接队列，该队列为每个客户端的SYN包(syn=j)开设一个条目，该条目表明服务器已收到SYN包，并向客户发出确认，正在等待客户的确认包。这些条目所标识的连接在服务器处于Syn_RECV状态，当服务器收到客户的确认包时，删除该条目，服务器进入ESTABLISHED状态。

SYN-ACK 重传次数：服务器发送完SYN－ACK包，如果未收到客户确认包，服务器进行首次重传，等待一段时间仍未收到客户确认包；

进行第二次重传，如果重传次数超过系统规定的最大重传次数，系统将该连接信息从半连接队列中删除。注意，每次重传等待的时间不一定相同。

半连接存活时间：是指半连接队列的条目存活的最长时间，也即服务从收到SYN包到确认这个报文无效的最长时间，该时间值是所有重传请求包的最长等待时间总和。

有时我们也称半连接存活时间为Timeout时间、SYN_RECV存活时间

SYN FLOOD(同步洪流)和 TCP 会话劫持

SYN FLOOD

当客户端和服务器在网络中使用TCP协议发起会话时，在服务器内存中会开辟一小块缓冲区来处理会话过程中消息的“握手”交换。会话建立数据包包含一个SYN片段，用于标识消息交换中的序列号。

而SYN FLOOD试图摧毁这一过程。攻击者快速发送一连串连接请求，之后并不响应服务器发送回来的应答，造成三次握手无法完成，在服务器上留下半打开的连接，分配给他们的缓存也被保留下来，使其他程序不能使用服务器。尽管缓冲区中的数据包在没有应答超过一段时间(通常3min)就会被丢弃，但大量虚假请求的后果是用于建立会话的合法请求难以建立。

TCP 会话劫持

假设A 为攻击者，B 为中介跳板机器(受信任的服务器)，C 为目的主机(多是服务器)。

会话劫持的常用方法：使用源路由(source Routed)IP数据包，使位于网络上的A 参与到B与C的连接中。

会话劫持的常见类型：中间人攻击。攻击者A通过某种类型的数据包嗅探程序侦听B与C的数据传输，可以截获他想要的任何信息而不打断会话。

会话劫持的方法：攻击者A向正在通话的B发送大量请求使其无暇响应合法用户C，此时A预测B的TCP序列号冒充B与C进行会话，骗取C的信任，从而达到攻击的目的。

有效抵御会话劫持的方法：使用加密传输。