mkevac26 июн 2009 в 08:30

Slow Lori атака на веб-сервер Apache

2 мин

6.8K

Информационная безопасность *

+71

Комментарии 92

simonoff 26 июн 2009 в 08:52

опа :) Они только проснулись? :)))
nginx самое то!

icCE 26 июн 2009 в 08:55

У меня только один вопрос, как у человека который nginx не ставил и не работал.
Он может быть полноценной заменой apache? (например для WP и PHPBB3 )

simonoff 26 июн 2009 в 09:01

тут же написано что использовать nginx как прокси перед апачем.

icCE 26 июн 2009 в 09:03

Да это я понимаю, просто может nginx работать как самостоятельный web сервер?
Минусовать не надо, обычный житейский вопрос.
Или лучше использовать связку как прокси?

simonoff 26 июн 2009 в 09:06

Да можно :)
я использовал. пхп у меня работал как fastcgi, причем лучше использовать патч php-fpm

icCE 26 июн 2009 в 09:09

А есть статьи хорошие на эту тему?
Просто я обычно использую несколько вещей:
WP,PHPBB3, Simple Machines.

Да еще иногда CRM SugarCRM.
Просто если Nginx сможет полностью заменить apache, это классно!

SamDark 26 июн 2009 в 09:10

www.google.com/search?client=opera&rls=en&q=nginx+wordpress

Ну и так далее.

icCE 26 июн 2009 в 09:16

Да нет Гуглом пользоваться умею, просто думал мало ли кто то имеет хорошую статью на примете. Есть хороший сервис letmegooglethatforyou.com/ =) Правда что то он щас не работает T_T

simonoff 26 июн 2009 в 09:10

ну тут все уже зависит от вас. Сможете переписать mod_rewrite правила — значит хорошо, нет — извольте

alrond 26 июн 2009 в 12:38

там не сложно переписать:
1) надо в нгинксовой версии добавить слеши в начале
2) RewriteRule заменить на rewrite
3) [L] заменить на last;

Пример апача:

RewriteRule  ^(en|de)/album/(.+?)/(.+?)/(.*)$ album.php?cn=$1&albid=$2&albname=$3&$4 [L]

нгинкс

rewrite ^ /(en|de)/album/(.+?)/(.+?)/(.*)$ /album.php?cn=$1&albid=$2&albname=$3&$4 last;

alrond 26 июн 2009 в 12:40

в нгинкс-варианте не должно быть пробела между ^ и /:

rewrite ^/(en|de)/album/(.+?)/(.+?)/(.*)$ /album.php?cn=$1&albid=$2&albname=$3&$4 last;

НЛО прилетело и опубликовало эту надпись здесь

mkevac 26 июн 2009 в 10:41

А что такое nginx-passenger? Google не сильно помог.

НЛО прилетело и опубликовало эту надпись здесь

darkk 26 июн 2009 в 10:50

Вы про запускалку fastcgi процессов из пакета lighttpd (spawn-fcgi или как его там) или про что-то другое?

НЛО прилетело и опубликовало эту надпись здесь

darkk 26 июн 2009 в 10:58

Никогда не понимал, почему на неё будто молятся и ставят ради неё пакет лайти в добавок к nginx. Она же довольно тупая и по возможностям не отличается принципиально от штатного start-stop-daemon.

Хоть хабратопик в духе разрушителей мифов пиши :-)

НЛО прилетело и опубликовало эту надпись здесь

darkk 26 июн 2009 в 11:05

При том, что сама spawn'илка не делает ровным счётом ничего полезного и почти полностью полагается на штатный механизм PHP.
Это меня и удивляет.

НЛО прилетело и опубликовало эту надпись здесь

david_mz 26 июн 2009 в 11:27

Есть ещё патч php-fpm — по возможностям гораздо более интересный. Я лично его использзую, доволен.

darkk 26 июн 2009 в 11:33

Да, согласен полностью, php-fpm — хороший, нужный проект.

mvs 26 июн 2009 в 11:51

Приятная новость: 3 месяца назад spawn-fcgi формально отделился от lighttpd в отдельный проект: redmine.lighttpd.net/projects/spawn-fcg. И выпущено уже 3 minor-релиза.

mvs 26 июн 2009 в 11:52

* redmine.lighttpd.net/projects/spawn-fcgi

Sherman81 26 июн 2009 в 19:50

Так точно, поэтому у нас, например, обычный start-stop-daemon в обвязке с gentoo script :-)

Pilat 26 июн 2009 в 10:50

nginx не имеет механизмов, похожих на htaccess. Всё остальное более-менее можно и переписать.

НЛО прилетело и опубликовало эту надпись здесь

mkevac 26 июн 2009 в 10:57

Почему?

darkk 26 июн 2009 в 10:59

На каждый запрос дёргать N директорий (где N — уровень вложенности) на наличие и/или изменение .htaccess?

Pilat 26 июн 2009 в 11:00

тем более в случае с nginx понятие «директория» не такое простое как в апаче.

mkevac 26 июн 2009 в 11:02

Понял. Вы про файлик .htaccess на диске.
Я почему-то подумал про ограничение доступа вообще, в том числе те что в httpd.conf.

darkk 26 июн 2009 в 11:06

Ну возможности ограничения у него тоже не очень широкие. В LDAP он за паролями точно не полезет :-)

НЛО прилетело и опубликовало эту надпись здесь

mkevac 26 июн 2009 в 11:04

habrahabr.ru/blogs/infosecurity/62980/#comment_1743685

Но на самом деле это ведь не обязательная функция. Захотел администратор — значит будем дергать. Не включал эту функцию — не будем дергать.

НЛО прилетело и опубликовало эту надпись здесь

lifeforweb 26 июн 2009 в 09:05

Для многих задач может. Если все же нужен Апач, nginx принимает соединения, отдает статические файлы, а динамику передает дальше на обработку Апачу.

icCE 26 июн 2009 в 09:06

Спс. Пойду читать больше информации про nginx. Думаю в любом случаи он не помешает.

SamDark 26 июн 2009 в 09:08

Да.

jandosul 26 июн 2009 в 08:52

А что на рисунке рука или нога?

simonoff 26 июн 2009 в 08:53

рука

riro 26 июн 2009 в 10:00

я только щас понял что рука))

Holden 26 июн 2009 в 10:03

нога

mkevac 26 июн 2009 в 10:25

Рука. Это картинка из Википедии.

jandosul 27 июн 2009 в 05:21

ВикиМедии
commons.wikimedia.org/wiki/File:Slow_Loris_Female.jpg

kolpeex 26 июн 2009 в 15:03

руга

Dimster 26 июн 2009 в 19:31

Внимательно присмотревшись понял, что там рука, повернутая ладонью вверх и от камеры.

simonoff 26 июн 2009 в 08:53

Да кстати можно прямую ссылку на письмо RSnake в рассылке?

A1lfeG 26 июн 2009 в 08:58

Може нубский вопрос, но все же:
IIS такой атаке подвержен?

moscow_beast 26 июн 2009 в 09:08

Ща потестим

wpm1 26 июн 2009 в 09:16

нет. это подробно описано в статье.

mkevac 26 июн 2009 в 09:26

Не подвержен. Это связано с тем, что IIS использует совсем отличный от других веб-серверов спрособ обработки запросов.

A1lfeG 26 июн 2009 в 10:10

Спасибо :)

НЛО прилетело и опубликовало эту надпись здесь

mkevac 26 июн 2009 в 10:37

Сразу скажу что с ним не работал, рассказываю только по тому что я понял из статей.

В статьях написано что IIS посылает данные обработчикам не на уровне HTTP запросов, а на уровне сетевых пакетов или группы пакетов. Звучит очень сложно, но, в принципе, реально.

mkevac 26 июн 2009 в 10:38

Вот отрывок:

«What IIS does differently, is in the way it handles incoming requests: There is no static tie between a worker thread and a network socket in IIS. Rather, the workers are organized in a pool where they wait for incoming TCP packets (rather than TCP connections as Apache does). These packets are then assigned dynamically to threads. So, an idle connection occupies a socket, but it does not block an entire thread. Thus the web need not be shut down by penny-wielding customers or slowloris.»

darkk 26 июн 2009 в 10:51

Судя по википедии, в винде тоже подобие accept-фильтров BSD-шных (сюрприз!) используется. :-)

mkevac 26 июн 2009 в 10:53

Это вы в какой статье прочитали? Можно ссылку?

darkk 26 июн 2009 в 11:00

en.wikipedia.org/wiki/Kernelspace_web_server

pfactum 26 июн 2009 в 09:04

> один обший таймаут

Исправьте, пожалуйста.

Goodkat 26 июн 2009 в 09:08

>>Атака заключается в очень медленной посылке все новых и новых HTTP заголовков в рамках одного HTTP запроса...
Эстонский DoS :)

ramovsky 26 июн 2009 в 09:12

Замените нити на потоки… вроде принятая терминология.

mcm69 26 июн 2009 в 09:14

… и Slow Lori на ленивца.

mkevac 26 июн 2009 в 09:31

Это не одно и то же животное.

mcm69 26 июн 2009 в 14:26

Да, уже вижу. Ступил :-)

icCE 26 июн 2009 в 09:58

Судя по www.moscowzoo.ru/get.asp?ID=A52

Он у нас завется как Толстый Лори O_o?

alexxz 26 июн 2009 в 09:14

Ну да, прям ни кто не знал про эту атаку. 8-\ Самый настоящий баян.

mkevac 26 июн 2009 в 09:30

Вот и разработчики Apache так говорят, но на самом деле данный тип аттаки гораздо более доступен скрипт-киддисам, чем обычная DDoS атака. В то же время он гораздо дешевле.

maxcom 26 июн 2009 в 10:53

скрипт-киддисы в данном случае лечатся лимитом на число соединений с одного IP

mkevac 26 июн 2009 в 10:56

Увы, не все так просто. Существующие модули для ограничения соединений работают не на том уровне обработки запроса.
Более того, ограничением по IP вы порежете сети, которые сидят за NAT-ом.

maxcom 26 июн 2009 в 11:04

Netfilter поможет.

Что касается NAT, то надо просто лимит не слишком маленький ставить, чтобы не мешало нормальной работе. А при атаке лучше пусть сетка за NAT отключится, чем вообще весь апач

darkk 26 июн 2009 в 09:16

Данный тип атаки был обнародован специалистом по безопасности RSnake 17 июня

Вообще, в Update сказано, что он далеко не первый это придумал.

Ну а на самом деле это классический DoS против любого fork-ающегося сервера без адекватных лимитов и таймаутов. Настолько классический, что преподносить его как что-то новое довольно странно.

mkevac 26 июн 2009 в 09:29

Можно сказать что RSnake раскрыл глаза разработчикам Apache и поднял шум вокруг этого. Думаю им придется в ближайшее время заняться таймаутами как минимум.

darkk 26 июн 2009 в 09:33

Шум поднял и proof-of-concept сделал.

Атака не новая, новы только шум и инструмент.

Ну а таймауты/лимиты — это так, workaround. Проблему решает только accept-фильтр на базе state machine (либо в ядре, либо в самом апаче, либо перед апачем).

mkevac 26 июн 2009 в 10:23

В Apache есть mpm_event, который реализует state machine, но в этом случае не будут работать большинство модулей, в т.ч. mod_php. Все равно придется делать двухуровневую архитектуру.

Хотя чего уж там, сейчас даже нет реализации mod_php для mpm_worker, — только процессы.

Вы не в курсе, есть ли какие-то планы по имплементации accept http фильтров в ядре Линукс аналогично тем что есть в ядре FreeBSD?

darkk 26 июн 2009 в 10:31

Про планы не слышал, есть khttpd и tux, но я с ними не игрался.
khttpd даже в mainline 2.4 одно время был.

darkk 26 июн 2009 в 09:36

I_D 26 июн 2009 в 09:17

^{Атака заключается в очень медленной посылке все новых и новых HTTP заголовков в рамках одного HTTP запроса, никогда его не завершая

Какая страшная смерть! (с)}

Throwable 26 июн 2009 в 10:04

> в очень медленной посылке все новых и новых HTTP заголовков в рамках одного HTTP запроса, никогда его не завершая
> кроме огромного количества открытых cоединений со статусом ESTABLISHED.
По-моему фразы противоречат друг другу. В рамках одного запроса = одно соединение. Тогда откуда много открытых сокетов? Или я чего-то не понимаю?

В свое время я клал серваки следующим образом (спокойствие, хозяева были вкурсе):
1. Находится самая «тяжелая» страница с долгим запросом.
2. Пишется клиент, который открывает как можно больше соединений с сервером (пару тысяч).
3. Когда достигнуто максимально возможное значение, по всем посылается http запрос на эту страницу.
4. Для всех сокетов надо установить таймаут побольше и размер входного буфера 1 байт и не читать ответы от сервера.

Простой ограничитель числа коннекшнов с одного ip решает проблему.

mkevac 26 июн 2009 в 10:19

Представьте себе 100 000 соединений (пользователей) и в каждом межденно посылаются HTTP запросы. Получаем 100 000 открытых (ESTABLISHED) соединений. А потому как HTTP запрос еще не завершен, никакой информации в access_log не будет.

mvs 26 июн 2009 в 11:46

Пробовал 3 года назад на Apache-1.3 модуль, писавший в access_log только что поступившее соединение, не дожидаясь его завершения; удобно было для отслеживания скачивания больших файлов.
Однако названия модуля уже не вспомню, увы.

Holden 26 июн 2009 в 10:08

Что означает очень медленная посылка HTTP заголовков 10 байт в минуту или сколько?

mkevac 26 июн 2009 в 10:17

Не так принципиально. Главное то, чтобы таймаут не сработал (вы его ресетите посылкой данных) и чтобы траффик был маленький. Поскольку траффик маленький, не нужны большие затраты на канал.

vortex7 26 июн 2009 в 11:20

оффтопик: красавица (я про животное) :)

k0t_igrun 26 июн 2009 в 14:12

была почти такая же ситуация. только не хакеры ддосили, а региональные пользователи с модемами ходили.

поставили апач на фронтэнд и нагрузка на сервера упала.