绿盟-检测到目标主机可能存在缓慢的HTTP拒绝服务攻击？

Posted 2023-05-05

绿盟对代码运行时进行扫描，发现了缓慢http拒绝服务攻击，问题及相关解决方案如截图，可是没有提供tomcat应当如何解决。请问要如何才能过得了检测？

参考技术A 这个是非常正常的。公网IP都有这样的情况，可以直接让技术人员屏蔽一些端口，比如80 8080 等端口，不要在服务器安装来路不明的软件。可以用新版的反病毒软件查杀木马病毒一次。一般也就没什么问题了。

缓慢的Http拒绝服务攻击漏洞的验证（slowhttptest的安装）

目录

• 目录

• 0x01 前言

• 0x02 什么是Http拒绝服务攻击？

• 0x02 如何验证（检测）Http拒绝服务攻击？

• 0x03 修复建议

• 请求头部分，设置超时时间初始为10秒，并在收到客户端发送的数据后，每接收到500字节数据就将超时时间延长1秒，但最长不超过40秒。可以防护slowloris型的慢速攻击。

• 请求正文部分，设置超时时间初始为10秒，并在收到客户端发送的数据后，每接收到500字节数据就将超时时间延长1秒，但最长不超过40秒。可以防护slow message body型的慢速攻击。

• 当服务器并发连接数超过600时，关闭keepalive

• 限制每个源IP最大并发连接数为50

0x01 前言

主要记录缓慢的Http拒绝服务攻击漏洞的验证过程。

0x02 什么是Http拒绝服务攻击？

缓慢的http拒绝服务攻击是一种专门针对于Web的应用层拒绝服务攻击，攻击者操纵网络上的肉鸡，对目标Web服务器进行海量http request攻击，直到服务器带宽被打满，造成了拒绝服务。
慢速HTTP拒绝服务攻击经过不断的演变和发展，主要有三种攻击类型，分别是Slow headers、Slow body、Slow read。以Slow headers为例，Web应用在处理HTTP请求之前都要先接收完所有的HTTP头部，因为HTTP头部中包含了一些Web应用可能用到的重要的信息。攻击者利用这点，发起一个HTTP请求，一直不停的发送HTTP头部，消耗服务器的连接和内存资源。抓包数据可见，攻击客户端与服务器建立TCP连接后，每40秒才向服务器发送一个HTTP头部，而Web服务器再没接收到2个连续的rn时，会认为客户端没有发送完头部，而持续的等等客户端发送数据。如果恶意攻击者客户端持续建立这样的连接，那么服务器上可用的连接将一点一点被占满，从而导致拒绝服务。这种攻击类型称为慢速HTTP拒绝服务攻击。

0x02 如何验证（检测）Http拒绝服务攻击？

需要的是slowhttptest这个工具，网上有安装教程，但是安装过程中老是出问题，最后解决，记录一下，过程如下。
首先安装libssl-dev

sudo apt-get install libssl-dev

然后

git clone https://github.com/shekyan/slowhttptest.git
cd slowhttptest
sudo ./configure
sudo make install

到这里时，遇到了问题：

折腾了半天也没有解决，后来使用官方WIKI（WIKI）的提示安装，依旧出现如下错误：

提示是缺少OpenSSL-devel，可是确信我是已经安装了的。
到这里想到前一种方法是编译成功了，就是执行编译的时候出错，所以想到一个方法。
直接把slowhttptest-1.7（官方方法）里面的所有内容复制粘帖在slowhttptest（git方法）里面，有重复的全部替换。
最后slowhttptest文件的内容如下：

然后进入该文件夹内，执行命令

sudo make install

成功安装。

尝试使用：

最后白帽子验证该漏洞的语句如下：

slowhttptest -c 1000 -X -g -o -slow_read_stats -r 200 -w 512 -y 1024 -n 5 -z 32 -k 3 -u http://blog.cnpanda.net -p 3

效果如下：

相关参数还是在附加下吧，虽然网上很多。

—a —开始开始值范围说明符用于范围头测试
-b 将字节限制的范围说明符用于范围头测试

• c 的连接数限制为65539

• d proxy host:port 用于指导所有流量通过web代理

• e proxy host:port 端口用于指导只有探针交通通过web代理

• h,B,R或x 指定减缓在头部分或在消息体,- R 允许范围检验,使慢读测试- x

• g 生成统计数据在CSV和HTML格式,模式是缓慢的xxx。csv / html,其中xxx是时间和日期

• i seconds 秒间隔跟踪数据在几秒钟内,每个连接

• k 管道因子次数重复请求在同一连接慢读测试如果服务器支持HTTP管道内衬。

• l 在几秒钟内，秒测试时间

• n 秒间隔从接收缓冲区读取操作

• o 文件定义输出文件路径和/或名称,如果指定有效- g

• p 秒超时等待HTTP响应在探头连接后,服务器被认为是不可访问的

• r seconds 连接速度

• s 字节值的内容长度标题详细说明,如果指定- b

• t verb 自定义

• u URL 目标URL,相同的格式键入浏览器,e。g https://host[:port]/

• v level 冗长等级0 - 4的日志

• w 字节范围广告的窗口大小会选择从

• x 字节最大长度的跟踪数据结束

• y 字节范围广告的窗口大小会选择从

• z 字节从接收缓冲区读取字节与单一的read()操作

0x03 修复建议

针对不同的Server其对慢速http拒绝服务攻击防范方法也不同，建议使用以下措施防范慢速http拒绝服务攻击：

【WebSphere】

1、限制 HTTP 数据的大小
在WebSphere Application Server 中进行如下设置：

任何单个 HTTP 头的默认最大大小为 32768 字节。可以将它设置为不同的值。
HTTP 头的默认最大数量为 50。可以将它设置为不同的限制值。

另一种常见的 DOS 攻击是发送一个请求，这个请求会导致一个长期运行的 GET 请求。WebSphere Application Server Plug-in 中的 ServerIOTimeoutRetry 属性可限制任何请求的重试数量。这可以降低这种长期运行的请求的影响。
设置限制任何请求正文的最大大小。

2、设置keepalive参数

打开ibm http server安装目录，打开文件夹conf，打开文件httpd.conf,查找KeepAlive值，改ON为OFF,其默认为ON。
这个值说明是否保持客户与HTTP SERVER的连接，如果设置为ON，则请求数到达MaxKeepAliveRequests设定值时请求将排队，导致响应变慢。

【Weblogic】

1、在配置管理界面中的协议->一般信息下设置 完成消息超时时间小于400
2、在配置管理界面中的协议->HTTP下设置 POST 超时、持续时间、最大 POST 大小为安全值范围。

【Nginx】

【Apache】

建议使用mod_reqtimeout和mod_qos两个模块相互配合来防护。
1、mod_reqtimeout用于控制每个连接上请求发送的速率。配置例如：

请求头部分，设置超时时间初始为10秒，并在收到客户端发送的数据后，每接收到500字节数据就将超时时间延长1秒，但最长不超过40秒。可以防护slowloris型的慢速攻击。

RequestReadTimeout header=10-40,minrate=500

请求正文部分，设置超时时间初始为10秒，并在收到客户端发送的数据后，每接收到500字节数据就将超时时间延长1秒，但最长不超过40秒。可以防护slow message body型的慢速攻击。

RequestReadTimeout body=10-40,minrate=500
需注意，对于HTTPS站点，需要把初始超时时间上调，比如调整到20秒。
2、mod_qos用于控制并发连接数。配置例如：

当服务器并发连接数超过600时，关闭keepalive

QS_SrvMaxConnClose 600

限制每个源IP最大并发连接数为50

QS_SrvMaxConnPerIP 50
这两个数值可以根据服务器的性能调整。

【IHS服务器】
先安装最新补丁包，然后启用mod_reqtimeout模块，在配置文件中加入：
LoadModule reqtimeout_module modules/mod_reqtimeout.so
为mod_reqtimeout模块添加配置：
<IfModule mod_reqtimeout.c>
RequestReadTimeout header=10-40,MinRate=500 body=10-40,MinRate=500
</IfModule>
对于HTTPS站点，建议header=20-40,MinRate=500。
参见：http://www-01.ibm.com/support/docview.wss?uid=swg21652165

【F5负载均衡修复建议】
F5负载均衡设备有相应的防护模块，如无购买可参考附件中的详细配置过程。
关于F5的慢速攻击防护配置，请参考以下链接：
https://support.f5.com/kb/en-us/solutions/public/10000/200/sol10260.html
https://devcentral.f5.com/articles/mitigating-slow-http-post-ddos-attacks-with-irules-ndash-follow-up

其他参考资料：
[*] Slowhttptest Github
[*] HTTP Dos攻击压力测试工具-Slowhttptest 1.5
[*] SlowHTTPTest安装出问题与解决
[*] 怎么装openssl-devel

文章出自：panda，可阅读原文，如有侵权请联系删除