其他分享
首页 > 其他分享> > 缓慢的HTTP拒绝服务攻击漏洞

缓慢的HTTP拒绝服务攻击漏洞

作者:互联网

漏洞介绍

漏洞验证

第一步 安装工具

sudo apt-get install slowhttptest

第二步漏洞验证

slowhttptest -c 1000 -X -g -o -slow_read_stats -r 200 -w 512 -y 1024 -n 5 -z 32 -k 3 -u http://192.168.232.140 -p 3
slowhttptest -c 1000 -X -g -o -slow_read_stats -r 200 -w 512 -y 1024 -n 5 -z 32 -k 3 -u  http://192.168.232.183/bWAPP/sm_dos_1.php  -p 5

在这里插入图片描述
在这里插入图片描述
参数使用

—开始开始值范围说明符用于范围头测试
-b 将字节限制的范围说明符用于范围头测试
- c 的连接数限制为65539
- d proxy host:port 用于指导所有流量通过web代理
- e proxy host:port 端口用于指导只有探针交通通过web代理
- h,B,R或x 指定减缓在头部分或在消息体,- R 允许范围检验,使慢读测试- x
- g 生成统计数据在CSV和HTML格式,模式是缓慢的xxx。csv / html,其中xxx是时间和日期
- i seconds 秒间隔跟踪数据在几秒钟内,每个连接
- k 管道因子次数重复请求在同一连接慢读测试如果服务器支持HTTP管道内衬。
- l 在几秒钟内,秒测试时间
- n 秒间隔从接收缓冲区读取操作
- o 文件定义输出文件路径和/或名称,如果指定有效- g
- p 秒超时等待HTTP响应在探头连接后,服务器被认为是不可访问的
- r seconds 连接速度
- s 字节值的内容长度标题详细说明,如果指定- b
- t verb 自定义
- u URL 目标URL,相同的格式键入浏览器,e。g https://host[:port]/
- v level 冗长等级0 - 4的日志
- w 字节范围广告的窗口大小会选择从
- x 字节最大长度的跟踪数据结束
- y 字节范围广告的窗口大小会选择从
- z 字节从接收缓冲区读取字节与单一的read()操作

修复建议

针对不同的Server其对慢速http拒绝服务攻击防范方法也不同,建议使用以下措施防范慢速http拒绝服务攻击:

WebSphere

1、限制 HTTP 数据的大小
* 在WebSphere Application Server 中进行如下设置:

任何单个 HTTP 头的默认最大大小为 32768 字节。可以将它设置为不同的值。

HTTP 头的默认最大数量为 50。可以将它设置为不同的限制值。

另一种常见的 DOS 攻击是发送一个请求,这个请求会导致一个长期运行的 GET 请求。WebSphere Application Server Plug-in 中的 ServerIOTimeoutRetry 属性可限制任何请求的重试数量。这可以降低这种长期运行的请求的影响。

设置限制任何请求正文的最大大小。详见参考链接。

2、设置keepalive参数

打开ibm http server安装目录,打开文件夹conf,打开文件httpd.conf,查找KeepAlive值,改ON为OFF,其默认为ON。

这个值说明是否保持客户与HTTP SERVER的连接,如果设置为ON,则请求数到达MaxKeepAliveRequests设定值时请求将排队,导致响应变慢。

Weblogic

1、在配置管理界面中的协议->一般信息下设置 完成消息超时时间小于200
2、在配置管理界面中的协议->HTTP下设置 POST 超时、持续时间、最大 POST 大小为安全值范围。

Nginx

1、通过调整$request_method,配置服务器接受http包的操作限制;
2、在保证业务不受影响的前提下,调整client_max_body_size, client_body_buffer_size, client_header_buffer_size,large_client_header_buffersclient_body_timeout, client_header_timeout的值,必要时可以适当的增加;
3、对于会话或者相同的ip地址,可以使用HttpLimitReqModule and HttpLimitZoneModule参数去限制请求量或者并发连接数;
4、根据CPU和负载的大小,来配置worker_processes 和 worker_connections的值,公式是:max_clients = worker_processes * worker_connections。

Apache

建议使用mod_reqtimeout和mod_qos两个模块相互配合来防护。 
1、mod_reqtimeout用于控制每个连接上请求发送的速率。配置例如: 
#请求头部分,设置超时时间初始为10秒,并在收到客户端发送的数据后,每接收到500字节数据就将超时时间延长1秒,但最长不超过40秒。可以防护slowloris型的慢速攻击。 
RequestReadTimeout header=10-40,minrate=500 
#请求正文部分,设置超时时间初始为10秒,并在收到客户端发送的数据后,每接收到500字节数据就将超时时间延长1秒,但最长不超过40秒。可以防护slow message body型的慢速攻击。 
RequestReadTimeout body=10-40,minrate=500 
需注意,对于HTTPS站点,需要把初始超时时间上调,比如调整到20秒。 

示例:

LoadModule reqtimeout_module modules/mod_reqtimeout.so 
<IfModule reqtimeout_module> 
        RequestReadTimeout header=10-40,minrate=500 body=10-40,minrate=500 
</IfModule> 
 
2、mod_qos用于控制并发连接数。配置例如: 
# 当服务器并发连接数超过600时,关闭keepalive 
QS_SrvMaxConnClose 600  
# 限制每个源IP最大并发连接数为50 
QS_SrvMaxConnPerIP 50 
这两个数值可以根据服务器的性能调整。 
更多关于qos_module配置参考: 
http://mod-qos.sourceforge.net/dos.html 
 
示例: 
LoadModule qos_module modules/mod_qos.so 
<IfModule qos_module> 
QS_SrvMaxConnClose 600 
QS_SrvMaxConnPerIP 50 
</IfModule> 

IHS服务器

请您先安装最新补丁包,然后启用mod_reqtimeout模块,在配置文件中加入:  
LoadModule reqtimeout_module modules/mod_reqtimeout.so  
为mod_reqtimeout模块添加配置:  
<IfModule mod_reqtimeout.c> 
RequestReadTimeout header=10-40,MinRate=500 body=10-40,MinRate=500 
</IfModule> 
对于HTTPS站点,建议header=20-40,MinRate=500。  
参见:http://www-01.ibm.com/support/docview.wss?uid=swg21652165 

F5负载均衡修复建议

F5负载均衡设备有相应的防护模块,如无购买可参考附件中的详细配置过程。
关于F5的慢速攻击防护配置,请参考以下链接:

https://support.f5.com/kb/en-us/solutions/public/10000/200/sol10260.html 
https://devcentral.f5.com/articles/mitigating-slow-http-post-ddos-attacks-with-irules-ndash-follow-up 

IIS服务器

IIS可配置相关网站的Web.config如下: 
1、WebLimits设置: 
<configuration> 
    <system.applicationHost> 
        <webLimits connectionTimeout="00:00:30" 
        headerWaitTimeout="00:00:10" 
        dynamicIdleThreshold="150" 
        minBytesPerSecond="512" 
    /> 
    </system.applicationHost> 
</configuration> 
参考以下链接: 
https://docs.microsoft.com/en-us/iis/configuration/system.applicationhost/weblimits#configuration 
2、headerLimits设置: 
<configuration> 
 <system.webServer> 
  <security> 
   <requestFiltering> 
    <requestLimits> 
     <headerLimits> 
     <add header="Content-type" sizeLimit="100" /> 
     </headerLimits> 
    </requestLimits> 
   </requestFiltering> 
  </security> 
 </system.webServer> 
</configuration> 
参考以下链接: 
https://docs.microsoft.com/en-us/iis/configuration/system.webserver/security/requestfiltering/requestlimits/headerlimits/

标签:拒绝服务,HTTP,请求,10,漏洞,服务器,mod
来源: https://blog.csdn.net/qq_41901122/article/details/114143913