在SYN Flood攻击中，攻击者首先发送包含SYN标志的报文，这完成了第一次握手。受害服务器收到后，会返回SYN+ACK报文表示接受，完成第二次握手。然而，攻击者并不完成最后的ACK确认，而是让服务器保持这个半连接状态。由于TCP协议规定服务器需重试等待一段时间，恶意的大量伪造请求会让服务器维护庞大的半连接列表，耗尽CPU和内存资源。
拒绝服务攻击是如何展开的？
IP欺骗攻击的关键在于伪造大量IP地址，向目标持续发送RST数据包。服务器在处理这些错误信号时，会不断重置合法用户的连接，导致正常服务中断。攻击者无需直接破坏服务器硬件，只需利用协议对RST位的处理机制，就能让服务器忙于处理错误的连接重置请求，从而无法响应合法用户的正常业务需求。
拒绝服务攻击的核心目的，就是让目标机器无法提供正常服务或访问资源。黑客通过耗尽磁盘空间、内存、进程或网络带宽等手段，阻碍合法用户的使用。这种攻击不仅仅是消耗带宽，只要能让服务暂停、主机死机，都算在内。由于其根源在于网络协议本身的安全缺陷，至今仍是黑客常用的终极攻击手法。
另一种常见手法是IP欺骗DOS攻击，主要利用TCP中的RST位实现。攻击者伪装成合法用户的IP地址，向服务器发送带有RST标志的数据段。服务器收到后，会误以为该连接出错，从而清空原本建立的合法连接缓冲区。这样，当真正的用户再次发送数据时，服务器已无此连接记录，被迫重新开始建立连接，从而实现拒绝服务的目的。
SYN Flood是目前最主流的拒绝服务攻击方式，它专门利用TCP协议的缺陷。攻击者通过发送大量伪造的TCP连接请求，让被攻击方的CPU满负荷或内存不足，从而耗尽资源。这种攻击依赖于TCP的三次握手机制，通过半连接列表的堆积，让服务器疲于奔命，最终导致正常用户无法连接。