防火墙不能防止哪些攻击行为

防火墙不能防止以下类型的攻击：

• 内部攻击：这种攻击一般指的是从网络内部发起的工具，这些攻击轻者可以耗费节点能量，从而减少网络寿命，重者可以干扰到网络的正常运行，窃取网络内秘密信息，甚至发布虚假的恶意信息。常见的内部攻击有女巫攻击、复制攻击、隧道攻击等。

• 传送已经感染病毒的软件和文件：这种攻击主要是利用防火墙无法防御病毒的攻击和无法对插入的U盘等移动存储设备的扫描，这样一但带有病毒的软件或者文件进入计算机后会对整个网络环境进行攻击。

• 数据驱动型攻击：数据驱动攻击是通过向某个活动中的服务发送数据，以产生非预期结果来进行的攻击。常见的攻击有缓冲区溢出攻击、格式化字符串攻击、输入验证攻击、同步漏洞攻击、信任漏洞攻击等。

防火墙能阻挡的攻击有但不止以下这些：

• DDoS攻击：分布式拒绝服务攻击(英文意思是Distributed Denial of Service，简称DDoS)是指处于不同位置的多个攻击者同时向一个或数个目标发动攻击，或者一个攻击者控制了位于不同位置的多台机器并利用这些机器对受害者同时实施攻击。由于攻击的发出点是分布在不同地方的，这类攻击称为分布式拒绝服务攻击，其中的攻击者可以有多个；

• 广播风暴：广播风暴（broadcast storm）简单的讲是指当广播数据充斥网络无法处理，并占用大量网络带宽，导致正常业务不能运行，甚至彻底瘫痪，这就发生了“广播风暴”。一个数据帧或包被传输到本地网段 （由广播域定义）上的每个节点就是广播；由于网络拓扑的设计和连接问题，或其他原因导致广播在网段内大量复制，传播数据帧，导致网络性能下降，甚至网络瘫痪，这就是广播风暴；

• ARP欺骗攻击（需专用防火墙）：ARP欺骗（英语：ARP spoofing），又称ARP毒化（ARP poisoning，网络上多译为ARP病毒）或ARP攻击，是针对以太网地址解析协议（ARP）的一种攻击技术，通过欺骗局域网内访问者PC的网关MAC地址，使访问者PC错以为攻击者更改后的MAC地址是网关的MAC，导致网络不通；

• ICMP重定向攻击：ICMP重定向信息是路由器向主机提供实时的路由信息，当一个主机收到ICMP重定向信息时，它就会根据这个信息来更新自己的路由表。由于缺乏必要的合法性检查，如果一个黑客想要被攻击的主机修改它的路由表，黑客就会发送ICMP重定向信息给被攻击的主机，让该主机按照黑客的要求来修改路由表；

• Tcp syn攻击：SYN攻击是黑客攻击的手段。SYN洪泛攻击的基础是依靠TCP建立连接时三次握手的设计。第三个数据包验证连接发起人在第一次请求中使用的源IP地址上具有接受数据包的能力，即其返回是可达的；

• tcp rst攻击：RST攻击 这种攻击只能针对tcp，对udp无效。RST：（Reset the connection）用于复位因某种原因引起出现的错误连接，也用来拒绝非法数据和请求。如果接收到RST位时候，通常发生了某些错误；

• CC攻击：CC主要是用来攻击页面的。大家都有这样的经历，就是在访问论坛时，如果这个论坛比较大，访问的人比较多，打开页面的速度会比较慢，访问的人越多，论坛的页面越多，数据库压力就越大，被访问的频率也越高，占用的系统资源也就相当可观；