发现服务器响应变慢等异常时，应优先排查SYN Flood攻击：通过dmesg查“SYN flooding”告警、netstat统计SYN_RECV数量、对比tcp_max_syn_backlog与SynDrop值及socket总数，并用tcpdump验证协议栈是否丢弃SYN包。
发现服务器响应变慢、连接失败或 CPU/带宽异常升高时，要优先排查 TCP 协议栈是否正承受 SYN Flood 攻击。这类攻击不直接打满 CPU，而是耗尽半连接资源，症状隐蔽但可快速验证。
看内核告警日志
运行 dmesg -T | grep "SYN flooding"，若输出类似 "possible SYN flooding on port 80. Sending cookies."，说明内核已检测到半连接队列溢出。这不是误报，而是明确信号——TCP 协议栈开始启用 syncookies 应对压力。
查半连接状态数量
执行 netstat -n | awk '/^tcp/ && == "SYN_RECV" {++c} END {print c+0}'。正常业务下该值通常低于 100；若持续高于 500，尤其伴随源 IP 高度离散（可用 netstat -nt | awk '{print }' | cut -d: -f1 | sort | uniq -c | sort -nr | head -5 验证），基本可确认攻击存在。
Zynq‑7000 / Zynq UltraScale+ 硬件调试技能。适用于 Xilinx Zynq（Cortex‑A9/A53 + FPGA）Linux 环境，调试 I2C、I2S、UART、GPIO 等外设。包括设备树配置、内核驱动、用户空间调试工具、交叉编译和常见问题排查，支持 PetaLinux 开发。
核对关键内核参数与实际负载
对比以下三项是否失衡：
- net.ipv4.tcp_max_syn_backlog：当前半连接队列上限（如 2048）
- cat /proc/net/snmp | awk '/Tcp/ {print $17}'：统计的 SynDrop 数值（表示因队列满被丢弃的 SYN 包数）
- lsof -ni | wc -l：当前打开 socket 总数
若 SynDrop 持续增长，且 socket 总数接近或超过 tcp_max_syn_backlog 值，说明协议栈已在丢包，攻击已生效。
抓包确认协议栈行为
在服务端用 tcpdump -i any 'tcp[tcpflags] & (tcp-syn|tcp-ack) == tcp-syn' -c 100 抓取入向 SYN 包。再检查内核是否回包：tcpdump -i any 'src host [server-ip] and tcp[tcpflags] & (tcp-syn|tcp-ack) == (tcp-syn|tcp-ack)' -c 50。若前者有大量包、后者极少或无回应，说明 SYN 已抵达网卡，但协议栈因队列满或策略拒绝处理——这是典型的协议栈层丢弃，而非网络层拦截。
