反向SYN报文绕过内容检测？华为防火墙识破TCP分离握手注入

本文整理自华为官方发布的配置指导，命令与步骤均按原始文档呈现，供现场实施参考。

分离握手是什么来头？

大多数工程师对TCP三次握手的印象是"SYN、SYN+ACK、ACK"一气呵成，但实际实现里还存在一种分离握手：服务器收到客户端的SYN后，分开返回独立的ACK报文和SYN报文，客户端再回一个ACK，连接照样建立。这种写法平时相安无事，到了防火墙上却藏着一个隐患——客户端的SYN到达防火墙时会创建会话，服务器反向返回的SYN命中这条会话，无需再做安全策略检查就被直接放行给客户端。

攻击怎么借它进门？

攻击者盯上的正是这条"免检通道"。把服务器返回的SYN报文里的ack值改成0、再换一个新序列号，客户端收到后会误以为这是服务器发起的新连接请求：服务器反转角色变成了"客户端"，客户端的回应反而成了"服务端"的应答。角色一反转，外网流进内网的数据就可能绕开入侵防御、反病毒这类基于内容的安全系统，恶意数据就这么注了进来。

防范怎么开？

华为防火墙的TCP分离握手攻击防范功能针对这个手法，开启后丢弃命中反向会话的SYN报文，连带带数据的SYN一起拦，不给注入留通道。配置两步，先进系统视图：

system-view

再开启功能：

firewall defend tcp split-handshake-spoof enable

依据：华为官方典型配置案例（2026-11 版）。

开了会不会误伤？

有一点必须提醒：功能开了以后，正常的分离握手SYN报文也会被一并阻断。要是内网确实有对端设备靠分离握手建连，开了就会断业务，所以上线前先摸清对端实现，拿不准就先在测试环境验证，确认没有真实业务依赖再放开。

安全配置里"默认放行的路径"往往值得多看一眼。与其等渗透测试报告告诉你内容检测被绕过了，不如提前把这类协议层的旁路堵上，让每一条进内网的路径都从同一种检查里过。企业边界做协议合规检查时，类似这种冷门但要命的开关还有不少，贵州诚鑫致达科技在做防火墙深度加固时惯于逐项过这类细节，欢迎搜索关注我们，获取更多实战配置笔记。