编译安装 SlowHTTPTest 与 Slowloris Attack

背景

Acunetix WVS 扫到的漏洞，名称为 Slow HTTP Denial of Service Attack 。在告警中还有一句 Time difference between connections: 9968 ms，大概是正常 HTTP 请求 与 慢速 HTTP 请求的响应时间可以相差约 9900 ms 。写本文的主要目的是了解 Slow HTTP Denial of Service Attack 的原理，以及标准化验证流程。

标准化验证建议使用 slowhttptest 输出 HTML 报表
命令如下
./slowhttptest -c 1000 -H -g -o slow_header_stats -i 10 -r 200 -t GET -l 300 -u http://example.com -x 24 -p 3

另外也有其他 PoC 可供参考
https://github.com/llaera/slowloris.pl/blob/master/slowloris.pl

攻击原理简介

这种攻击对攻击者 带宽 依赖较小，主要是客户端与服务器建立和维持大量 TCP 连接，服务器每维护一个 TCP 连接都需要分配内存新建线程，当服务器没有对单一 IP 限制 TCP 连接数时，如果此时他们建立了大量连接，等待过程中占用 TCP 连接数达到服务器连接数上限，服务器便无法处理 新的 来自正常用户的其他 HTTP 请求，导致拒绝服务。

三种攻击模式

Slowloris：
针对目标服务器打开尽可能多的 TCP 连接，对每个 TCP 连接维持尽可能长的时间。
通常是不断向服务器发送 “不完整的 HTTP 请求” (完整的 HTTP 请求是以 \r\n\r\n 结尾，攻击时仅发送 \r\n ，少发送一个 \r\n，服务器认为请求还未发完，就会一直等待直至超时。)

等待过程中占用连接数达到服务器连接数上限，服务器便无法处理其他请求。

Slow HTTP Post：
原理和 Slowloris有点类似，这次是通过声明一个较大的 content-length 后，body 缓慢发送，导致服务器一直等待

Slow Read Attack：
向服务器发送一个正常合法的 read 请求，请求一个很大的文件，但认为的把 TCP 滑动窗口设置得很小，服务器就会以滑动窗口的大小切割文件，然后发送。文件长期滞留在内存中，消耗资源。这里有两点要注意：

a) tcp窗口设置要比服务器的socket缓存小，这样发送才慢。
b) 请求的文件要比服务器的socket缓存大，使得服务器无法一下子将文件放到缓存，然后去处理其他事情，而是必须不停的将文件切割成窗口大小，再放入缓存。同时攻击端一直说自己收不到。

编译

默认位置是 /usr/local/bin/slowhttptest 。

https://github.com/shekyan/slowhttptest/wiki/InstallationAndUsage

# https://github.com/shekyan/slowhttptest
autoreconf -f -i
./configure
make
sudo make install

# 刷新 zsh 以支持自动补全
rehash

https://stackoverflow.com/questions/33278928/how-to-overcome-aclocal-1-15-is-missing-on-your-system-warning

基本使用

slowhttptest 有 4 种测试模式，分别是 Slowloris (slow header), R-U-Dead-Yet (slow body), Apache killer (range attack) 和 Slow Read, 可以用 slowhttptest -h 查看详情。

Kali 的工具介绍页面对各参数有详细的解释
https://tools.kali.org/stress-testing/slowhttptest

示例用法 1
slowhttptest -c 10000 -H -g -o slowhttp -i 5 -u http://wp.blkstone.me -x 24 -p 10

示例用法 2
slowhttptest -c 1000 -H -g -o my_header_stats -i 10 -r 200 -t GET -l 300 -u http://wp.blkstone.me -x 24 -p 3

示例结果

分析示例

图例说明

以下两个案例均为 发送 1000 个 TCP 连接请求。

Closed / 关闭结束的 TCP 连接
Pending / 已发送 SYN 等待服务端 ACK 的半连接
Connected / 成功与服务器建立三次握手的 TCP 连接
Service available / 服务是否可用

需要说明的是 Connected 和 Pending 都是有极限的，当连个都到达极限时，如果有新的 SYN 到服务端，应该会直接被 RST 给关闭 (close) 掉。

案例 1

案例 1 分析

一开始 (0-7秒) 成功连接的 TCP 请求 (connected) 和 半连接 TCP 请求 (pending) 的数量都在快速增加，一直增加到第 7 秒，他们的和为 1000 (因为设定就是发 1000 个请求)， 在 23 秒的时候，大量半连接(pending) 由于三次握手一直未收到 ACK，超时，直接 (没成功握手就) 结束连接 (因此 closed 数量增加)。 但是 从 0-7 秒就连接上服务器的那些 TCP 连接 在后续到 300 秒时 都没有被超时强制结束。

结论就是服务器没有做 HTTP 慢请求 (Slowloris) 超时控制， 或者设定的超时时间在 300 秒以上。

案例 2

案例 2 分析

类似的， 一开始 (0-7秒) 成功连接的 TCP 请求 (connected) 和 半连接 TCP 请求 (pending) 的数量都在快速增加，一直增加到第 7 秒，他们的和为 1000 (因为设定就是发 1000 个请求)， 在 23 秒的时候，大量半连接 (pending) 由于三次握手一直未收到 ACK，超时，直接 (没成功握手就) 结束连接 (因此 closed 数量增加)。

与此同时，有部分 TCP 半连接 (pending) 转化成了 TCP 连接 (connected)。
与此同时，部分 TCP 连接 (connected) 也因为触发 HTTP 慢连接超时而被结束。
在 47 秒时，又有部分TCP 连接 (connected) 因为触发 慢连接超时被结束。

最终仅留下少量 TCP 连接 长期维持。
(推测是服务器在负载较低的情况下不会进行 慢连接超时强制结束 的操作)

修复建议

大致思路

1、限制单机 IP 的连接数。
2、限制 HTTP request header/body 的超时时间

How to Protect Against Slow HTTP Attacks – slowhttptest 作者
http://blog.shekyan.com/2011/11/how-to-protect-against-slow-http-attacks.html

针对不同的 Server 其对 慢速 HTTP 拒绝服务攻击 防范方法也不同，建议使用以下措施防范 慢速 HTTP 拒绝服务攻击：

【WebSphere】

1、限制 HTTP 数据的大小
在 WebSphere Application Server 中进行如下设置：
何单个 HTTP 头的默认最大大小为 32768 字节。可以将它设置为不同的值。
HTTP 头的默认最大数量为 50。可以将它设置为不同的限制值。

另一种常见的 DOS 攻击是发送一个请求，这个请求会导致一个长期运行的 GET 请求。WebSphere Application Server Plug-in 中的 ServerIOTimeoutRetry 属性可限制任何请求的重试数量。这可以降低这种长期运行的请求的影响。
设置限制任何请求正文的最大大小。

2、设置 keepalive 参数

打开 IBM http server安装目录，打开文件夹 conf ，打开文件 httpd.conf ,查找 KeepAlive 值，改 ON 为 OFF, 其默认为 ON。
这个值说明是否保持客户端与 HTTP SERVER 的连接数，如果设置为 ON ，则请求数到达 MaxKeepAliveRequests 设定值时请求将排队，导致响应变慢。

【Weblogic】
1、在配置管理界面中的协议 -> 一般信息下设置 完成消息超时时间小于 400
2、在配置管理界面中的协议 -> HTTP下设置 POST 超时、持续时间、最大 POST 大小为安全值范围。

【Nginx】

1、通过调整 $request_method ，配置服务器接受 HTTP 包的操作限制；
2、在保证业务不受影响的前提下，调整 client_max_body_size, client_body_buffer_size, client_header_buffer_size,large_client_header_buffersclient_body_timeout, client_header_timeout 的值，必要时可以适当的增加；
3、对于会话或者相同的 IP 地址，可以使用 HttpLimitReqModule 与 HttpLimitZoneModule 参数去限制请求量或者并发连接数；
4、根据CPU和负载的大小，来配置 worker_processes 和 worker_connections 的值，公式是：max_clients = worker_processes * worker_connections。

【Apache】
建议使用 mod_reqtimeout 和 mod_qos 两个模块相互配合来防护。

1、mod_reqtimeout 用于控制每个连接上请求发送的速率。配置例如：
请求正文部分，设置超时时间初始为 10 秒，并在收到客户端发送的数据后，每接收到 500 字节数据就将超时时间延长 1 秒，但最长不超过 40 秒。可以防护 slow message body 型的慢速攻击。
RequestReadTimeout body=10-40,minrate=500

需注意，对于 HTTPS 站点，需要把初始超时时间上调，比如调整到 20 秒。

2、mod_qos 用于控制并发连接数。配置例如：
当服务器并发连接数超过 600 时，关闭 keepalive
QS_SrvMaxConnClose 600
每个源IP最大并发连接数为50
QS_SrvMaxConnPerIP 50
这两个数值可以根据服务器的性能调整。

【IHS服务器】
先安装最新补丁包，然后启用 mod_reqtimeout 模块，在配置文件中加入：
loadModule reqtimeout_module modules/mod_reqtimeout.so

为 mod_reqtimeout 模块添加配置：

<IfModule mod_reqtimeout.c>
    RequestReadTimeout header=10-40,MinRate=500 body=10-40,MinRate=500
</IfModule>

对于 HTTPS 站点，建议 header=20-40,MinRate=500。

【F5负载均衡修复建议】
F5负载均衡设备有相应的防护模块。

参考资料

WHAT IS SLOWLORIS?
https://www.incapsula.com/ddos/attack-glossary/slowloris.html

slowhttptest wiki
https://github.com/shekyan/slowhttptest/wiki

应用层慢速 DDoS 攻击压力测试工具 – SlowHTTPTest
https://blog.csdn.net/xysoul/article/details/45169807

缓慢的 HTTP 拒绝服务攻击测试 – slowhttptest
http://front-ender.me/test/slowhttptest.html

缓慢的 HTTP 拒绝服务攻击漏洞的验证 ( slowhttptest 的安装)
https://blog.csdn.net/qq_32393893/article/details/81220015

【作者投稿】Slowhttptest攻击原理 – xazlsec
https://cloud.tencent.com/developer/column/4712

• #DDoS
• #PoC