Finalmente, o cliente devolve um pacote ACK para confirmar o recebimento do pacote do servidor. Após concluir essa sequência de envios e recebimentos de pacotes, a conexão TCP é aberta e consegue enviar e receber dados.
Para criar uma negação de serviço, o invasor se aproveita do fato de que, após ter recebido o pacote inicial SYN, o servidor irá responder com um ou mais pacotes SYN/ACK e esperar a etapa final do handshake. Veja como isso funciona:
O invasor envia um grande volume de pacotes SYN para o servidor visado, muitas vezes com endereços IP falsificados.
O servidor responde a cada uma das solicitações de conexão e deixa uma porta aberta pronta para receber a resposta.
Enquanto o servidor espera o pacote ACK final, que não chega nunca, o invasor continua a enviar mais pacotes SYN. A chegada de cada novo pacote SYN faz com que o servidor mantenha uma nova conexão de porta aberta temporariamente por determinado tempo; após todas as portas disponíveis terem sido usadas, o servidor se torna incapaz de operar normalmente.
Em termos de rede, quando um servidor deixa uma conexão aberta mas a máquina do outro lado não, a conexão é considerada entreaberta. Nesse tipo de ataque de DDoS, o servidor visado fica continuamente deixando conexões abertas e esperando que cada conexão chegue ao tempo limite antes que as portas fiquem disponíveis novamente. O resultado, então, é que esse tipo de ataque pode ser considerado um “ataque de porta entreaberta”.
Ataque direto: uma inundação SYN na qual o endereço IP não é falsificado é conhecida como um ataque direto. Nesse ataque, o invasor não mascara o seu endereço IP. Como resultado do uso de um único dispositivo de origem com endereço IP real para criar o ataque, o invasor fica altamente vulnerável à descoberta e mitigação. Para criar o estado de porta entreaberta na máquina visada, o hacker impede que sua máquina responda aos pacotes SYN-ACK do servidor. Geralmente isso é conseguido por meio de regras de firewall, que detêm os pacotes de saída que não sejam pacotes SYN, ou por meio da filtragem de todos os pacotes de entrada SYN-ACK antes de chegarem à máquina do usuário mal-intencionado. Na prática, esse método é usado raramente (se é que é usado), pois a mitigação é bastante direta: basta bloquear o endereço IP de cada sistema mal-intencionado. Se usar uma botnet como a Mirai, o invasor não irá se preocupar em mascarar o IP do dispositivo infectado.
Ataque falsificado: um usuário mal-intencionado também pode falsificar o endereço IP em cada pacote SYN que enviar para inibir os esforços de mitigação e tornar sua identidade mais difícil de ser descoberta. Porém, embora possam ser falsificados, os pacotes podem possivelmente ser rastreados até sua origem. Fazer esse tipo de trabalho de detetive é difícil, mas não é impossível, especialmente se os provedores de serviços de internet (ISPs) estiverem dispostos a ajudar.