摘要: HTTP Post慢速DOS攻擊第一次在技術社區被正式披露是今年的OWASP大會上,由Wong Onn Chee 和 Tom Brennan共同演示了使用這一技術攻擊的威力。他們的slides在這里:
http://www.darkreading.com/galleries/security/application-security/228400167/slide-show-ddos-with-the-slow-http-post-attack.html
這個攻擊的基本原理如下:
針對任意HTTP Server,建立一個連接,指定一個比較大的content-length,然后以很低的速度發包,比如10-100s發一個字節,hold住這個連接不斷開。如果客戶端持續建立這樣的連接,那么服務器上可用的連接將很快被占滿,從而導致DOS.
這一攻擊引起我注意的原因有這幾點:
1. 它可以針對任意Web服務。HTTP協議在接收到request之前是無法對請求內容作校驗的,所以即使你的Web應用沒有可用form 閱讀全文
http://www.darkreading.com/galleries/security/application-security/228400167/slide-show-ddos-with-the-slow-http-post-attack.html
這個攻擊的基本原理如下:
針對任意HTTP Server,建立一個連接,指定一個比較大的content-length,然后以很低的速度發包,比如10-100s發一個字節,hold住這個連接不斷開。如果客戶端持續建立這樣的連接,那么服務器上可用的連接將很快被占滿,從而導致DOS.
這一攻擊引起我注意的原因有這幾點:
1. 它可以針對任意Web服務。HTTP協議在接收到request之前是無法對請求內容作校驗的,所以即使你的Web應用沒有可用form 閱讀全文