HTTP慢速拒绝服务攻击（Slow HTTP Dos）
本文摘自春告鳥 及libaisec
HTTP慢速拒绝服务攻击简介
HTTP慢速攻击是利用HTTP合法机制，以极低的速度往服务器发送HTTP请求，尽量长时间保持连接，不释放，若是达到了Web Server对于并发连接数的上限，同时恶意占用的连接没有被释放，那么服务器端将无法接受新的请求，导致拒绝服务。
HTTP慢速攻击原理（摘抄自倾旋师傅的博客:
既然是一个HTTP协议的缓慢攻击，这就要从HTTP协议说起了。
首先HTTP协议的报文都是一行一行的，类似于：
1 2 3 4 5 6 7 8 GET / HTTP/1.1 \r\n Host : payloads.online\r\n Connection: keep-alive\r\n Keep-Alive: 900 \r\n Content-Length: 100000000 \r\n Content_Type: application/x-www-form-urlencoded\r\n Accept: *.*\r\n \r\n
那么报文中的\r\n是什么？
\r\n代表一行报文的结束也被称为空行（CRLF），而\r\n\r\n代表整个报文的结束
从上面贴出的GET请求包可以看出，我们的客户端请求到服务器后，告知服务器这个连接需要保留。
通常我们知道HTTP协议采用“请求-应答”模式，当使用普通模式，即非KeepAlive模式时，每个请求/应答客户和服务器都要新建一个连接，完成之后立即断开连接（HTTP协议为无连接的协议）；当使用Keep-Alive模式（又称持久连接、连接重用）时，Keep-Alive功能使客户端到服 务器端的连接持续有效，当出现对服务器的后继请求时，Keep-Alive功能避免了建立或者重新建立连接。
那么当我们客户端发送一个报文，不以CRLF结尾，而是10s发送一行报文，我们的报文需要80s才能发送完毕，这80s内，服务器需要一直等待客户端的CRLF，然后才能解析这个报文。
如果客户端使用更多的程序发送这样的报文，那么服务器端会给客户端留出更多的资源来处理、等待这迟迟不传完的报文。假设服务器端的客户端最大连接数是100个，我们使用测试程序先连接上100次服务器端，并且报文中启用Keep-Alive，那么其他正常用户101、102就无法正常访问网站了。
简单来说，就是我们每次只发一行，每次发送之间的间隔时间很长，这迟迟未发送结束的HTTP包会占用服务端的资源，当达到服务端处理请求的上限时，这时候再用户对网站正常请求，服务端也处理不了了，导致了拒绝服务。
HTTP慢速攻击分类
HTTP慢速攻击分为三类：
Slow headers
Slow body
Slow read
第一类是最经典的HTTP Slow慢速攻击，由rsnake发明的，原理在上面已介绍。
2，Slow body
第二类也叫做Slow HTTP POST
原理为在POST提交方式中，允许在HTTP的头中声明content-length，即POST内容的长度。
提交了恶意头之后，将需要传输的body缓慢进行发送，跟Slow headers类似，导致服务器端长时间等待需要传输的POST数据，当请求的数量变多后，达到了消耗服务器资源的效果，导致服务器宕机。
3，Slow Read attack
第三类攻击方式采用调整TCP协议中滑动窗口大小，来对服务器单次发送的数据大小进行控制，使得服务器需要对一个相应包分为很多个包来发送，想要使这种攻击效果明显，请求的资源要尽量大，这里很容易理解，当请求的资源越大，返回包才越大，这样才能分成更多的包让服务器发送，导致拒绝服务的产生。
也就是说，客户端以极低的速度来读取返回包，来消耗服务器的连接和内存资源。
HTTP慢速攻击实战
一般使用slowhttptest工具（安装方式很多，不再赘述）
工具简介
SlowHTTPTest是一个可配置的应用层拒绝服务攻击测试工具，它可以工作在Linux，OSX和Cygwin环境以及Windows命令行接口，可以帮助安全测试人员检验服务器对慢速攻击的处理能力。
这个工具可以模拟低带宽耗费下的DoS攻击，比如慢速攻击，慢速HTTP POST，通过并发连接池进行的慢速读攻击（基于TCP持久时间）等。慢速攻击基于HTTP协议，通过精心的设计和构造，这种特殊的请求包会造成服务器延时，而当服务器负载能力消耗过大即会导致拒绝服务。
使用参数介绍 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 测试模式: -H slow header,slowloris默认采用此模式 -B slow body -R 远程攻击又名Apache killer -X slow read 报告选项： -g 生成具有套接字状态更改的统计信息（默认关闭） -o file_prefix 将统计信息输出保存在file.html和file.csv中（需要-g） -v level 日志信息，详细级别0-4：致命，信息，错误，警告，调试 常规选项： -c connections 连接目标连接数（50） -i seconds 后续数据之间的间隔（以秒为单位）（10） -l seconds 测试目标时间长度，以秒为单位（240） -r rate 每秒连接数（50） -s 如果需要，Content-Length标头的值（4096） -t 在请求中使用的动词，对于slow header和response，默认为GET；对于slow body，默认为POST -u URL 目标的绝对URL（http://localhost/） -x 在slowloris and Slow POST tests模式中，指定发送的最大数据长度 -f Content-Type标头的值（application/x-www-form-urlencoded） -m 接受(Accept)标头的值（text/html;q=0.9,text/plain;q=0.8,image/png,*/*;q=0.5） 探测/代理选项： -d host:port 为所有连接指定代理 -e host:port 为探测连接指定代理 -p seconds 指定等待时间来确认DoS攻击已经成功 range attack特定选项： -a 标头中的起始位置 -b 标头中的结束位置 slow read 特定选项： -k 在连接中重复相同请求的次数。如果服务器支持永久连接，则用于成倍增加响应大小。 -n 从recv缓冲区读取操作之间的时间间隔，以秒为单位（1） -w slow read 模式中指定tcp窗口范围下限 -y slow read 模式中指定tcp窗口范围上限 -z 在每次的read 中，从buffer中读取数据量
对于三种类型的慢速攻击，分别给出payload：（摘抄的！）
1 slowhttptest -c 65500 -H -i 10 -r 200 -s 8192 -t SLOWHEADER -u http://vulurl.com
该攻击会像我们刚才讲的慢速传递HTTP报文，占用服务器资源让其等待我们最后的CRLF。
Slow Read 1 slowhttptest -c 65500 -X -r 1000 -w 10 -y 20 -t SLOWREAD -n 5 -z 32 -u http://vulurl.com
该攻击会在Web服务器响应内容传输回来的时候，我们客户端缓慢的读取响应报文，这样服务器端也会一直等待客户端来接收完毕。
Slow Post 1 slowhttptest -c 65500 -B -i 10 -r 200 -s 8192 -t SLOWBODY -u http://vulurl.com
该攻击会构造一个POST数据包，将数据缓慢传输，使服务器端一直等待接收报文。
找一个存在漏洞的网址进行检测：
使用Slow Post的payload：（漏洞网址已高码）
1 slowhttptest -c 65500 -B -i 10 -r 200 -s 8192 -t SLOWBODY -u https://xxxxxx
当显示为NO，则表示存在HTTP慢速攻击漏洞，可导致拒绝服务。
解决办法
针对不同的Server其对慢速http拒绝服务攻击防范方法也不同：
WebSphere
1、限制 HTTP 数据的大小
在WebSphere Application Server 中进行如下设置：
任何单个 HTTP 头的默认最大大小为 32768 字节。可以将它设置为不同的值。
HTTP 头的默认最大数量为 50。可以将它设置为不同的限制值。
另一种常见的 DOS 攻击是发送一个请求，这个请求会导致一个长期运行的 GET 请求。WebSphere Application Server Plug-in 中的 ServerIOTimeoutRetry 属性可限制任何请求的重试数量。这可以降低这种长期运行的请求的影响。
设置限制任何请求正文的最大大小。
2、设置keepalive参数
打开ibm http server安装目录，打开文件夹conf，打开文件httpd.conf,查找KeepAlive值，改ON为OFF,其默认为ON。
这个值说明是否保持客户与HTTP SERVER的连接，如果设置为ON，则请求数到达MaxKeepAliveRequests设定值时请求将排队，导致响应变慢。
详见参考链接
Weblogic
1、在配置管理界面中的协议->一般信息下设置 完成消息超时时间小于200
2、在配置管理界面中的协议->HTTP下设置 POST 超时、持续时间、最大 POST 大小为安全值范围。
详见参考链接
Nginx
1、通过调整$request_method，配置服务器接受http包的操作限制；
2、在保证业务不受影响的前提下，调整
1 2 3 4 5 client_max_body_size client_body_buffer_size client_header_buffer_size large_client_header_buffersclient_body_timeout client_header_timeout
的值，必要时可以适当的增加；
3、对于会话或者相同的ip地址，可以使用HttpLimitReqModule and HttpLimitZoneModule参数去限制请求量或者并发连接数；
4、根据CPU和负载的大小，来配置worker_processes 和 worker_connections的值，公式是：max_clients = worker_processes * worker_connections。
Apache
建议使用mod_reqtimeout和mod_qos两个模块相互配合来防护。
1、mod_reqtimeout用于控制每个连接上请求发送的速率。配置例如：
1 2 3 4 5 6 7 RequestReadTimeout header=10-40,minrate=500 RequestReadTimeout body=10-40,minrate=500
需注意，对于HTTPS站点，需要把初始超时时间上调，比如调整到20秒。
1 2 3 4 LoadModule reqtimeout_module modules/mod_reqtimeout.so <IfModule reqtimeout_module > RequestReadTimeout header=10-40,minrate=500 body=10-40,minrate=500 </IfModule >
2、mod_qos用于控制并发连接数。配置例如：
当服务器并发连接数超过600时，关闭keepaliveQS_SrvMaxConnClose 600
限制每个源IP最大并发连接数为50QS_SrvMaxConnPerIP 50
更多关于qos_module配置参考
1 2 3 4 5 LoadModule qos_module modules/mod_qos.so <IfModule qos_module > QS_SrvMaxConnClose 600 QS_SrvMaxConnPerIP 50 </IfModule >
IHS服务器
请您先安装最新补丁包，然后启用mod_reqtimeout模块，在配置文件中加入：LoadModule reqtimeout_module modules/mod_reqtimeout.so
为mod_reqtimeout模块添加配置：
1 2 <IfModule mod_reqtimeout.c > RequestReadTimeout header=10-40,MinRate=500 body=10-40,MinRate=500
对于HTTPS站点，建议header=20-40,MinRate=500。
参见
F5负载均衡
F5负载均衡设备有相应的防护模块，如无购买可参考附件中的详细配置过程。Page1 ,Page2
IIS服务器
IIS可配置相关网站的Web.config如下：
1、WebLimits设置：
1 2 3 4 5 6 7 8 9 <configuration > <system.applicationHost > <webLimits connectionTimeout ="00:00:30" headerWaitTimeout ="00:00:10" dynamicIdleThreshold ="150" minBytesPerSecond ="512" /> </system.applicationHost > </configuration >
参考以下链接
2、headerLimits设置：
1 2 3 4 5 6 7 8 9 10 11 12 13 <configuration > <system.webServer > <security > <requestFiltering > <requestLimits > <headerLimits > <add header ="Content-type" sizeLimit ="100" /> </headerLimits > </requestLimits > </requestFiltering > </security > </system.webServer > </configuration >
参考
参考链接：
