缓慢的HTTP拒绝服务攻击漏洞

电玩女神 2022-11-03 04:23 485阅读 0赞

### 漏洞介绍 ###

*  缓慢的HTTP拒绝服务攻击是一种专门针对于Web的应用层拒绝服务攻击，攻击者操纵网络上的肉鸡，对目标Web服务器进行海量HTTP请求攻击，直到服务器带宽被打满，造成了拒绝服务。
 *  慢速HTTP拒绝服务攻击经过不断的演变和发展，主要有三种攻击类型，
 *  分别是Slow headers、Slow body、Slow read。
 *  以Slow headers为例，Web应用在处理HTTP请求之前都要先接收完所有的HTTP头部，因为HTTP头部中包含了一些Web应用可能用到的重要的信息。
 *  攻击者利用这点，发起一个HTTP请求，一直不停的发送HTTP头部，消耗服务器的连接和内存资源。
 *  抓包数据可见，攻击客户端与服务器建立TCP连接后，每10秒才向服务器发送一个HTTP头部，而Web服务器在没接收到2个连续的\\r\\n时，会认为客户端没有发送完头部，而持续的等等客户端发送数据。
 *  如果恶意攻击者客户端持续建立这样的连接，那么服务器上可用的连接将一点一点被占满，从而导致拒绝服务。这种攻击类型称为慢速HTTP拒绝服务攻击。

### 漏洞验证 ###

第一步 安装工具

sudo apt-get install slowhttptest

第二步漏洞验证

slowhttptest -c 1000 -X -g -o -slow_read_stats -r 200 -w 512 -y 1024 -n 5 -z 32 -k 3 -u http://192.168.232.140 -p 3
    slowhttptest -c 1000 -X -g -o -slow_read_stats -r 200 -w 512 -y 1024 -n 5 -z 32 -k 3 -u  http://192.168.232.183/bWAPP/sm_dos_1.php  -p 5

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxOTAxMTIy_size_16_color_FFFFFF_t_70]  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxOTAxMTIy_size_16_color_FFFFFF_t_70 1]  
参数使用

—开始开始值范围说明符用于范围头测试
    -b 将字节限制的范围说明符用于范围头测试
    - c 的连接数限制为65539
    - d proxy host:port 用于指导所有流量通过web代理
    - e proxy host:port 端口用于指导只有探针交通通过web代理
    - h,B,R或x 指定减缓在头部分或在消息体,- R 允许范围检验,使慢读测试- x
    - g 生成统计数据在CSV和HTML格式,模式是缓慢的xxx。csv / html,其中xxx是时间和日期
    - i seconds 秒间隔跟踪数据在几秒钟内,每个连接
    - k 管道因子次数重复请求在同一连接慢读测试如果服务器支持HTTP管道内衬。
    - l 在几秒钟内，秒测试时间
    - n 秒间隔从接收缓冲区读取操作
    - o 文件定义输出文件路径和/或名称,如果指定有效- g
    - p 秒超时等待HTTP响应在探头连接后,服务器被认为是不可访问的
    - r seconds 连接速度
    - s 字节值的内容长度标题详细说明,如果指定- b
    - t verb 自定义
    - u URL 目标URL,相同的格式键入浏览器,e。g https://host[:port]/
    - v level 冗长等级0 - 4的日志
    - w 字节范围广告的窗口大小会选择从
    - x 字节最大长度的跟踪数据结束
    - y 字节范围广告的窗口大小会选择从
    - z 字节从接收缓冲区读取字节与单一的read()操作

### 修复建议 ###

针对不同的Server其对慢速http拒绝服务攻击防范方法也不同，建议使用以下措施防范慢速http拒绝服务攻击：

#### WebSphere ####

1、限制 HTTP 数据的大小  
＊ 在WebSphere Application Server 中进行如下设置：

任何单个 HTTP 头的默认最大大小为 32768 字节。可以将它设置为不同的值。

HTTP 头的默认最大数量为 50。可以将它设置为不同的限制值。

另一种常见的 DOS 攻击是发送一个请求，这个请求会导致一个长期运行的 GET 请求。WebSphere Application Server Plug-in 中的 ServerIOTimeoutRetry 属性可限制任何请求的重试数量。这可以降低这种长期运行的请求的影响。

设置限制任何请求正文的最大大小。详见参考链接。

2、设置keepalive参数

打开ibm http server安装目录，打开文件夹conf，打开文件httpd.conf,查找KeepAlive值，改ON为OFF,其默认为ON。

这个值说明是否保持客户与HTTP SERVER的连接，如果设置为ON，则请求数到达MaxKeepAliveRequests设定值时请求将排队，导致响应变慢。

#### Weblogic ####

1、在配置管理界面中的协议->一般信息下设置 完成消息超时时间小于200  
2、在配置管理界面中的协议->HTTP下设置 POST 超时、持续时间、最大 POST 大小为安全值范围。

#### Nginx ####

1、通过调整$request\_method，配置服务器接受http包的操作限制；  
2、在保证业务不受影响的前提下，调整client\_max\_body\_size, client\_body\_buffer\_size, client\_header\_buffer\_size,large\_client\_header\_buffersclient\_body\_timeout, client\_header\_timeout的值，必要时可以适当的增加；  
3、对于会话或者相同的ip地址，可以使用HttpLimitReqModule and HttpLimitZoneModule参数去限制请求量或者并发连接数；  
4、根据CPU和负载的大小，来配置worker\_processes 和 worker\_connections的值，公式是：max\_clients = worker\_processes \* worker\_connections。

#### Apache ####

建议使用mod_reqtimeout和mod_qos两个模块相互配合来防护。 
    1、mod_reqtimeout用于控制每个连接上请求发送的速率。配置例如： 
    #请求头部分，设置超时时间初始为10秒，并在收到客户端发送的数据后，每接收到500字节数据就将超时时间延长1秒，但最长不超过40秒。可以防护slowloris型的慢速攻击。 
    RequestReadTimeout header=10-40,minrate=500 
    #请求正文部分，设置超时时间初始为10秒，并在收到客户端发送的数据后，每接收到500字节数据就将超时时间延长1秒，但最长不超过40秒。可以防护slow message body型的慢速攻击。 
    RequestReadTimeout body=10-40,minrate=500 
    需注意，对于HTTPS站点，需要把初始超时时间上调，比如调整到20秒。

示例：

LoadModule reqtimeout_module modules/mod_reqtimeout.so 
    <IfModule reqtimeout_module> 
            RequestReadTimeout header=10-40,minrate=500 body=10-40,minrate=500 
    </IfModule> 
     
    2、mod_qos用于控制并发连接数。配置例如： 
    # 当服务器并发连接数超过600时，关闭keepalive 
    QS_SrvMaxConnClose 600  
    # 限制每个源IP最大并发连接数为50 
    QS_SrvMaxConnPerIP 50 
    这两个数值可以根据服务器的性能调整。 
    更多关于qos_module配置参考： 
    http://mod-qos.sourceforge.net/dos.html 
     
    示例： 
    LoadModule qos_module modules/mod_qos.so 
    <IfModule qos_module> 
    QS_SrvMaxConnClose 600 
    QS_SrvMaxConnPerIP 50 
    </IfModule>

### IHS服务器 ###

请您先安装最新补丁包，然后启用mod_reqtimeout模块，在配置文件中加入：  
    LoadModule reqtimeout_module modules/mod_reqtimeout.so  
    为mod_reqtimeout模块添加配置：  
    <IfModule mod_reqtimeout.c> 
    RequestReadTimeout header=10-40,MinRate=500 body=10-40,MinRate=500 
    </IfModule> 
    对于HTTPS站点，建议header=20-40,MinRate=500。  
    参见：http://www-01.ibm.com/support/docview.wss?uid=swg21652165

### F5负载均衡修复建议 ###

F5负载均衡设备有相应的防护模块，如无购买可参考附件中的详细配置过程。  
关于F5的慢速攻击防护配置，请参考以下链接：

https://support.f5.com/kb/en-us/solutions/public/10000/200/sol10260.html 
    https://devcentral.f5.com/articles/mitigating-slow-http-post-ddos-attacks-with-irules-ndash-follow-up

### IIS服务器 ###

IIS可配置相关网站的Web.config如下： 
    1、WebLimits设置： 
    <configuration> 
        <system.applicationHost> 
            <webLimits connectionTimeout="00:00:30" 
            headerWaitTimeout="00:00:10" 
            dynamicIdleThreshold="150" 
            minBytesPerSecond="512" 
        /> 
        </system.applicationHost> 
    </configuration> 
    参考以下链接： 
    https://docs.microsoft.com/en-us/iis/configuration/system.applicationhost/weblimits#configuration 
    2、headerLimits设置： 
    <configuration> 
     <system.webServer> 
      <security> 
       <requestFiltering> 
        <requestLimits> 
         <headerLimits> 
         <add header="Content-type" sizeLimit="100" /> 
         </headerLimits> 
        </requestLimits> 
       </requestFiltering> 
      </security> 
     </system.webServer> 
    </configuration> 
    参考以下链接： 
    https://docs.microsoft.com/en-us/iis/configuration/system.webserver/security/requestfiltering/requestlimits/headerlimits/

[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxOTAxMTIy_size_16_color_FFFFFF_t_70]: /images/20221024/320506ad32b347e7bed1ef9426b83c29.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxOTAxMTIy_size_16_color_FFFFFF_t_70 1]: /images/20221024/77a2510e07f343fb8bebff2430fda126.png