アタック用ソフトはTCPスタックは使ってないのでは？
そうでないと、TCP SYN floodとかUDP DoSみたいなことはできんでしょ。
（例の destination側に UDP/7を、source側にUDP/13とかUDP/19をセットして
source側に投げるってやつ）
まぁ、今でこそこんなのにひっかかるような設定のマシンはinternetに接続
されなくなったけど、つい数年前までは当たり前にころがってたね。