《白帽子讲web安全》读书笔记系列11：应用层拒绝服务攻击

曾经终败给现在 2022-02-25 09:22 186阅读 0赞

1、DDOS distributed Denial of Service 分布式拒绝服务；

利用合理的请求造成资源过载，导致服务不可用。

常见的DDOS攻击：SYN flood、UDP flood、ICMP flood等，其中SYN flood尤其严重。

TCP三次握手：SYN(x)、SYN/ACK(x+1,y)、ACK(x+1,y+1)

SYN flood攻击时，伪造大量源IP，向服务器发送大量SYN，服务器返回SYN/ACK包，并持续重试SYN time（一般30s-2min）；从而持续消耗服务器资源（CPU和内存），导致无暇处理正常连接。

对抗SYN flood：SYN Cookies/SYN Proxy、safereset等算法；

本质：通过各种方式，对来自于同一个源IP的数据包进行分析，如果判定受到攻击，则丢弃该源IP的包。

2、应用层DDOS

应用层DDOS攻击时TCP连接已建立，源IP为真实存在，商业Anti-DDOS主要防御网络DDOS。

CC攻击 Challenge Collapasar(黑洞)：对一些消耗资源较大的页面不断发起正常请求，以达到消耗服务器资源的目的。

针对应用层DDOS攻击的防御：在应用中针对每个“客户端”进行请求频率限制；限制需放在业务逻辑之前。

同一客户端的判断依据：IP、cookie，IP可通过代理或傀儡机获取，cookie可被清空；

应用层DDOS防御：

1）优化应用代码性能；

2）优化网络架构；

3）实施对抗手段，如限定每个IP的请求频率。

3、验证码

CAPTCHA 全自动区分计算机和人类的图灵测试

验证码破解：

1）图像识别算法；

2）验证码实现上的漏洞

a、验证码验证过后sessionID未更新，使用原sessionID可重复提交同一验证码；

b、提前将所有验证码图片生成好，以哈希过的字符串作为图片文件名，验证文件名；攻击者可收集图片名“彩虹表”，修补方法：验证码文件名需要随机化，满足“不可预测性”原则。

4、防御应用层DDOS

判断HTTP头中的User-Agent来识别客户端

让客户解析一段JavaScript

优化Apache配置参数：Timeout、KeepAliveTimeout、MaxClients；

对抗模块：mode\_qos、mod\_evasive

Yahoo解决思路：根据IP和Cookie等信息，计算客户端的请求频率并进行拦截。

5、资源耗尽攻击

slowloris攻击：以极低速度往服务器发送HTTP请求，以消耗连接数。

正常HTTP包头以两个CLRF作为结束，攻击者只发一个，并保持连接不释放。

HTTP POST DOS攻击：为POST包指定一个非常大的content-length，并以极低速度发包，保持连接不释放，从而导致DOS（拒绝服务）

解决办法：web应用防火墙或定制的webserver安全模块

Server Limit DOS web server对HTTP包头有长度限制，如Apache，默认Request Header为8192字节，Request Body默认2GB；如果客户端发送的HTTP包头超过这个大小，则服务器返回4xx错误

攻击者可能通过XSS攻击，恶意向客户端写入一个超长的cookie，则该客户端在清空该cookie之前，均无法访问该cookie所在域的任何页面，因为cookie也是放在HTTP包头里面的。

解决办法：调整apache参数LimitRequestFieldSize

6、正则表达式导致的攻击：RdDOS

当正则表达式写得不好时，就有可能被恶意输入利用，消耗大量资源，从而造成DOS。

如：^(a+)+$

发表评论取消回复

表情：

评论列表（有 0 条评论，186人围观）

还没有评论，来说两句吧...

相关阅读

相关《白帽子讲web安全》读书笔记系列1：互联网业务安全

一、安全是产品的一个特性，在设计之初就应该考虑安全隐患。开发者眼中一个项目影响因素优先级排序： 1、功能实现 2、性能 3、可用性 4、如期上线 5、可维护性

分手后的思念是犯贱/ 2022年03月08日 06:36/ 0 赞/ 237 阅读

相关《白帽子讲web安全》读书笔记系列4：Web server配置安全

Web server的安全关注两点： 1、Web server本身是否安全； 2、Web server是否提供了安全的功能；以root或admin账号运行web

港控/mmm°/ 2022年03月02日 12:23/ 0 赞/ 225 阅读

相关《白帽子讲web安全》读书笔记系列3：安全运营

安全运营 find and fix 通过漏洞扫描、渗透测试、代码审计等方式，发现系统中的安全问题，设计安全方案、实施安全方案并最终解决这些问题。 defend and de

浅浅的花香味﹌/ 2022年03月02日 12:21/ 0 赞/ 236 阅读

相关《白帽子讲web安全》读书笔记系列2：SDL

SDL：security development lifecycle 安全开发生命周期微软最早提出，在软件工程中实施，帮助解决软件安全问题的办法。培训安全要求质

墨蓝/ 2022年03月02日 12:18/ 0 赞/ 232 阅读

相关《白帽子讲web安全》读书笔记系列5：注入攻击与防御

1、SQL注入注入攻击的本质：把用户输入的数据当做代码执行条件1：用户可以控制输入；条件2：代码拼接了用户输入的数据最简单的恶意输入：beijing';d

爱被打了一巴掌/ 2022年03月01日 16:24/ 0 赞/ 221 阅读

相关《白帽子讲web安全》读书笔记系列8：访问控制

1、权限控制（访问控制）：某个主体对某个客体需要实施某种操作，系统对这种操作的限制即权限控制；如网络中的ACL、OS中的文件访问控制、web应用的访问控制等常见的web

我会带着你远行/ 2022年02月28日 16:12/ 0 赞/ 203 阅读

相关《白帽子讲web安全》读书笔记系列10：Web框架安全

实施安全方案，要达到好的效果，必须完成两个目标： 1）安全方案争取、可靠； 2）能够发现所有可能存在的安全问题，不出现遗漏。 1、MVC框架安全 MVC：Model-V

蔚落/ 2022年02月26日 01:06/ 0 赞/ 223 阅读

相关《白帽子讲web安全》读书笔记系列12：PHP安全

1、文件包含漏洞代码注入的典型代表，主要由4个函数完成： include() require() include\_once() require\_once()

你的名字/ 2022年02月25日 13:50/ 0 赞/ 255 阅读

相关《白帽子讲web安全》读书笔记系列11：应用层拒绝服务攻击

1、DDOS distributed Denial of Service 分布式拒绝服务；利用合理的请求造成资源过载，导致服务不可用。常见的DDOS攻击：SYN flo

曾经终败给现在/ 2022年02月25日 09:22/ 0 赞/ 187 阅读

相关《白帽子讲Web安全》读书笔记

闲扯再次拜读下这本书，肯定会有所新的收获。这本书之前送人了，不过忘了给谁了。。。只好下载网上的pdf版本来看了，并写下阅读笔记，内容以原文为主。前言 Web 是互联网

太过爱你忘了你带给我的痛/ 2021年12月09日 00:19/ 0 赞/ 333 阅读