主要记录缓慢的Http拒绝服务攻击漏洞的验证过程。
缓慢的http拒绝服务攻击是一种专门针对于Web的应用层拒绝服务攻击,攻击者操纵网络上的肉鸡,对目标Web服务器进行海量http request攻击,直到服务器带宽被打满,造成了拒绝服务。 慢速HTTP拒绝服务攻击经过不断的演变和发展,主要有三种攻击类型,分别是Slow headers、Slow body、Slow read。以Slow headers为例,Web应用在处理HTTP请求之前都要先接收完所有的HTTP头部,因为HTTP头部中包含了一些Web应用可能用到的重要的信息。攻击者利用这点,发起一个HTTP请求,一直不停的发送HTTP头部,消耗服务器的连接和内存资源。抓包数据可见,攻击客户端与服务器建立TCP连接后,每40秒才向服务器发送一个HTTP头部,而Web服务器再没接收到2个连续的rn时,会认为客户端没有发送完头部,而持续的等等客户端发送数据。如果恶意攻击者客户端持续建立这样的连接,那么服务器上可用的连接将一点一点被占满,从而导致拒绝服务。这种攻击类型称为慢速HTTP拒绝服务攻击。
需要的是slowhttptest这个工具,网上有安装教程,但是安装过程中老是出问题,最后解决,记录一下,过程如下。 首先安装libssl-dev
sudo apt-get install libssl-dev
然后
git clone https://github.com/shekyan/slowhttptest.git
cd slowhttptest
sudo ./configure
sudo make install
到这里时,遇到了问题:
折腾了半天也没有解决,后来使用官方WIKI(WIKI)的提示安装,依旧出现如下错误:
提示是缺少OpenSSL-devel,可是确信我是已经安装了的。 到这里想到前一种方法是编译成功了,就是执行编译的时候出错,所以想到一个方法。 直接把slowhttptest-1.7(官方方法)里面的所有内容复制粘帖在slowhttptest(git方法)里面,有重复的全部替换。 最后slowhttptest文件的内容如下:
然后进入该文件夹内,执行命令
sudo make install
成功安装。 尝试使用:
最后白帽子验证该漏洞的语句如下【请不要拿本站进行测试,小服务器,太脆弱】:
slowhttptest -c 1000 -X -g -o -slow_read_stats -r 200 -w 512 -y 1024 -n 5 -z 32 -k 3 -u http://www.example.com -p 3
效果如下:
相关参数还是在附加下吧,虽然网上很多。
—a —开始开始值范围说明符用于范围头测试 -b 将字节限制的范围说明符用于范围头测试
针对不同的Server其对慢速http拒绝服务攻击防范方法也不同,建议使用以下措施防范慢速http拒绝服务攻击:
【WebSphere】
1、限制 HTTP 数据的大小 在WebSphere Application Server 中进行如下设置:
任何单个 HTTP 头的默认最大大小为 32768 字节。可以将它设置为不同的值。
HTTP 头的默认最大数量为 50。可以将它设置为不同的限制值。
另一种常见的 DOS 攻击是发送一个请求,这个请求会导致一个长期运行的 GET 请求。WebSphere Application Server Plug-in 中的 ServerIOTimeoutRetry 属性可限制任何请求的重试数量。这可以降低这种长期运行的请求的影响。 设置限制任何请求正文的最大大小。
2、设置keepalive参数
打开ibm http server安装目录,打开文件夹conf,打开文件httpd.conf,查找KeepAlive值,改ON为OFF,其默认为ON。 这个值说明是否保持客户与HTTP SERVER的连接,如果设置为ON,则请求数到达MaxKeepAliveRequests设定值时请求将排队,导致响应变慢。
【Weblogic】
1、在配置管理界面中的协议->一般信息下设置 完成消息超时时间小于400 2、在配置管理界面中的协议->HTTP下设置 POST 超时、持续时间、最大 POST 大小为安全值范围。
【Nginx】
1、通过调整$request_method,配置服务器接受http包的操作限制; 2、在保证业务不受影响的前提下,调整client_max_body_size, client_body_buffer_size, client_header_buffer_size,large_client_header_buffersclient_body_timeout, client_header_timeout的值,必要时可以适当的增加; 3、对于会话或者相同的ip地址,可以使用HttpLimitReqModule and HttpLimitZoneModule参数去限制请求量或者并发连接数; 4、根据CPU和负载的大小,来配置worker_processes 和 worker_connections的值,公式是:max_clients = worker_processes * worker_connections。
【Apache】
建议使用mod_reqtimeout和mod_qos两个模块相互配合来防护。 1、mod_reqtimeout用于控制每个连接上请求发送的速率。配置例如:
RequestReadTimeout header=10-40,minrate=500
RequestReadTimeout body=10-40,minrate=500 需注意,对于HTTPS站点,需要把初始超时时间上调,比如调整到20秒。 2、mod_qos用于控制并发连接数。配置例如:
QS_SrvMaxConnClose 600
QS_SrvMaxConnPerIP 50 这两个数值可以根据服务器的性能调整。
【IHS服务器】 先安装最新补丁包,然后启用mod_reqtimeout模块,在配置文件中加入: LoadModule reqtimeout_module modules/mod_reqtimeout.so 为mod_reqtimeout模块添加配置: <IfModule mod_reqtimeout.c> RequestReadTimeout header=10-40,MinRate=500 body=10-40,MinRate=500 </IfModule> 对于HTTPS站点,建议header=20-40,MinRate=500。 参见:http://www-01.ibm.com/support/docview.wss?uid=swg21652165
【F5负载均衡修复建议】 F5负载均衡设备有相应的防护模块,如无购买可参考附件中的详细配置过程。 关于F5的慢速攻击防护配置,请参考以下链接: https://support.f5.com/kb/en-us/solutions/public/10000/200/sol10260.html https://devcentral.f5.com/articles/mitigating-slow-http-post-ddos-attacks-with-irules-ndash-follow-up
其他参考资料: [*] Slowhttptest Github [*] HTTP Dos攻击压力测试工具-Slowhttptest 1.5 [*] SlowHTTPTest安装出问题与解决 [*] 怎么装openssl-devel