四两拨千斤 Apache HTTP DoS工具解析[网络技术]

国外安全人员昨天公布了一个很有意思的HTTP Dos攻击工具.这个工具可以通过耗尽服务器的可用衔接,对Apache(以及别的一些服务器,见下文)举行回绝服务攻击(Denial of Service attack).固然目前已经有很多别的的Dos工具,但这个工具对比特别,因为它会向服务器发送不完好的HTTP恳求报文,让HTTP衔接一向处于开放状况.
　　在这种情形下,服务器只有翻开衔接并等候完好的报文送达.但后果是,客户端(也就是这个Dos工具)根本不会把完好的报文信息发送过去,反而会持续发送一些恶意构造的报文行(bogus header line),使得这个衔接不能被关闭.

　　最开始发送的那部份HTTP恳求是完好合理的:

　　GET / HTTP/1.1\r\n

　　Host: host\r\n

　　User-Agent: Mozilla/4.0 (compatible; MSIE 7.0; Windows NT 5.1; Trident/4.0;

　　.NET CLR 1.1.4322; .NET CLR 2.0.503l3; .NET CLR 3.0.4506.2152;

　　.NET CLR 3.5.30729; MSOffice 12)\r\n

　　Content-Length: 42\r\n

　　在发送完这部份信息之后,客户端将停等候一段时间.注意,作为一个合理的报文段,它还贫乏一个回车换行来作为完毕符.目前这个工具所发送的假造的报文行是:

　　X-a: b\r\n

　　明显,这一行报文没有任何意义,服务器会忽视它并持续等候.当然,假如你想成立一个入侵检测系统(IDS)签名的话,你也可以自己设置这一行的内容.

　　公布该工具的那个网站说,这个工具对Apache 1.x 和 Apache 2.x 版本以及Squid都有效. 并且,考虑到这个工具根本不需求发送大量数据包便可以耗尽服务器的衔接数,招致一个带宽很小的用户都大概对一台高速服务器发动攻击,这个工具的潜在威胁真是不容藐视.所幸的是微软IIS6.0 和 IIS7.0的用户暂时还不受影响.

　　目前,我还不知道在Apache的配置有没有可以避免它攻击的设置选项,增添MaxClients这一项的值只会增添攻击的难度,但无法根绝服务器被攻击.不过我们的一位名叫Tomasz Miklas的读者表示,他能通过在Apache服务器前增添一个反向代理办理这个问题.

　　我们会密切关注这一点,还会在此后持续公布相关的信息.我们很等待别的Web服务器以及负载均衡器(load balancers)将若何抵挡这种攻击.