该论文研究了多个 TCP/IP 协议栈实现中协议头字段的生成过程，发现这些字段会泄露关于全局协议状态的信息，并基于此构造了新的隐蔽信道。以往的工作通常假定主机未被防火墙保护，而本研究针对位于防火墙网络（包括源地址验证 SAV）内部的常见主机场景，提出了非破坏性的攻击方法：在数据外传场景中，非破坏性使得攻击更隐蔽、持续时间更长；在主机别名解析等应用中，确保伦理合规。研究重点覆盖 ICMP 和 UDP：ICMP 常被防火墙放行，UDP 在 HTTP/3 和 QUIC 推动下预计占据更大互联网流量份额，同时论文也对 TCP 给出了结果。核心贡献在于揭示了一种新的信息泄露面——通过远程观察和修改系统全局状态字段实现隐蔽通信，不依赖典型破坏性载荷。适合防火墙设计者、协议栈实现者、蓝队与安全研究员阅读，以理解协议状态信息如何成为隐蔽信道的载体。

本文针对 TCP/IP 协议栈分层架构中一个被忽视的安全风险进行了深入研究。尽管分层设计带来了实现灵活性和独立性，但当共享资源在不同层之间管理不当时，可能引入新的攻击面。作者发现了一种名为 SocketFilled 的跨层共享资源风险：在 Linux 系统中，链路层（例如地址解析过程）对传输层 UDP 发送缓冲区的不安全使用，可导致上层应用层的响应包被中断，从而形成拒绝服务（DoS）攻击。为探究这一跨层 DoS 漏洞的根源，作者系统分析了地址解析协议标准，并审查了主流开源操作系统（Linux、FreeBSD）中相关协议栈的实现。实验覆盖了主流操作系统以及常见 UDP 服务（如 DNS、QUIC）。结果显示，最新版 Linux 以及 BIND9、PowerDNS、Nginx 等著名服务软件均受影响，可导致严重丢包甚至服务完全中断。进一步，作者评估了 SocketFilled 在真实网络环境中的潜在影响：约 17.3% 的开放解析器、54.3% 的 Tranco Top 100K 域名权威服务器，以及 3.8% 的知名域名 HTTP/3 服务器可能受影响，其中包括 Bing、Amazon 等，这些数据在排除云服务器干扰后依然显著。作者已向 Linux 社区进行负责任披露。该研究揭示了跨层机制在 DoS 攻击中的有效性，呼吁安全社区关注协议栈实现中因分层复杂性而引入的安全挑战。对于蓝队和安全工程师，该成果可用于评估自身基础设施的潜在暴露面，并推动相关防御措施的落地。