mkevac Jun 26 2009 at 12:30

Slow Lori атака на веб-сервер Apache

2 min

5.8K

Information Security*

+71

Comments 92

simonoff Jun 26 2009 at 12:52

опа :) Они только проснулись? :)))
nginx самое то!

-1

icCE Jun 26 2009 at 12:55

У меня только один вопрос, как у человека который nginx не ставил и не работал.
Он может быть полноценной заменой apache? (например для WP и PHPBB3 )

simonoff Jun 26 2009 at 13:01

тут же написано что использовать nginx как прокси перед апачем.

icCE Jun 26 2009 at 13:03

Да это я понимаю, просто может nginx работать как самостоятельный web сервер?
Минусовать не надо, обычный житейский вопрос.
Или лучше использовать связку как прокси?

simonoff Jun 26 2009 at 13:06

Да можно :)
я использовал. пхп у меня работал как fastcgi, причем лучше использовать патч php-fpm

icCE Jun 26 2009 at 13:09

А есть статьи хорошие на эту тему?
Просто я обычно использую несколько вещей:
WP,PHPBB3, Simple Machines.

Да еще иногда CRM SugarCRM.
Просто если Nginx сможет полностью заменить apache, это классно!

SamDark Jun 26 2009 at 13:10

www.google.com/search?client=opera&rls=en&q=nginx+wordpress

Ну и так далее.

icCE Jun 26 2009 at 13:16

Да нет Гуглом пользоваться умею, просто думал мало ли кто то имеет хорошую статью на примете. Есть хороший сервис letmegooglethatforyou.com/ =) Правда что то он щас не работает T_T

simonoff Jun 26 2009 at 13:10

ну тут все уже зависит от вас. Сможете переписать mod_rewrite правила — значит хорошо, нет — извольте

alrond Jun 26 2009 at 16:38

там не сложно переписать:
1) надо в нгинксовой версии добавить слеши в начале
2) RewriteRule заменить на rewrite
3) [L] заменить на last;

Пример апача:

RewriteRule  ^(en|de)/album/(.+?)/(.+?)/(.*)$ album.php?cn=$1&albid=$2&albname=$3&$4 [L]

нгинкс

rewrite ^ /(en|de)/album/(.+?)/(.+?)/(.*)$ /album.php?cn=$1&albid=$2&albname=$3&$4 last;

alrond Jun 26 2009 at 16:40

в нгинкс-варианте не должно быть пробела между ^ и /:

rewrite ^/(en|de)/album/(.+?)/(.+?)/(.*)$ /album.php?cn=$1&albid=$2&albname=$3&$4 last;

UFO just landed and posted this here

mkevac Jun 26 2009 at 14:41

А что такое nginx-passenger? Google не сильно помог.

UFO just landed and posted this here

darkk Jun 26 2009 at 14:50

Вы про запускалку fastcgi процессов из пакета lighttpd (spawn-fcgi или как его там) или про что-то другое?

UFO just landed and posted this here

darkk Jun 26 2009 at 14:58

Никогда не понимал, почему на неё будто молятся и ставят ради неё пакет лайти в добавок к nginx. Она же довольно тупая и по возможностям не отличается принципиально от штатного start-stop-daemon.

Хоть хабратопик в духе разрушителей мифов пиши :-)

UFO just landed and posted this here

darkk Jun 26 2009 at 15:05

При том, что сама spawn'илка не делает ровным счётом ничего полезного и почти полностью полагается на штатный механизм PHP.
Это меня и удивляет.

UFO just landed and posted this here

david_mz Jun 26 2009 at 15:27

Есть ещё патч php-fpm — по возможностям гораздо более интересный. Я лично его использзую, доволен.

darkk Jun 26 2009 at 15:33

Да, согласен полностью, php-fpm — хороший, нужный проект.

mvs Jun 26 2009 at 15:51

Приятная новость: 3 месяца назад spawn-fcgi формально отделился от lighttpd в отдельный проект: redmine.lighttpd.net/projects/spawn-fcg. И выпущено уже 3 minor-релиза.

mvs Jun 26 2009 at 15:52

* redmine.lighttpd.net/projects/spawn-fcgi

Sherman81 Jun 26 2009 at 23:50

Так точно, поэтому у нас, например, обычный start-stop-daemon в обвязке с gentoo script :-)

Pilat Jun 26 2009 at 14:50

nginx не имеет механизмов, похожих на htaccess. Всё остальное более-менее можно и переписать.

-3

UFO just landed and posted this here

mkevac Jun 26 2009 at 14:57

Почему?

darkk Jun 26 2009 at 14:59

На каждый запрос дёргать N директорий (где N — уровень вложенности) на наличие и/или изменение .htaccess?

Pilat Jun 26 2009 at 15:00

тем более в случае с nginx понятие «директория» не такое простое как в апаче.

mkevac Jun 26 2009 at 15:02

Понял. Вы про файлик .htaccess на диске.
Я почему-то подумал про ограничение доступа вообще, в том числе те что в httpd.conf.

darkk Jun 26 2009 at 15:06

Ну возможности ограничения у него тоже не очень широкие. В LDAP он за паролями точно не полезет :-)

UFO just landed and posted this here

mkevac Jun 26 2009 at 15:04

habrahabr.ru/blogs/infosecurity/62980/#comment_1743685

Но на самом деле это ведь не обязательная функция. Захотел администратор — значит будем дергать. Не включал эту функцию — не будем дергать.

UFO just landed and posted this here

lifeforweb Jun 26 2009 at 13:05

Для многих задач может. Если все же нужен Апач, nginx принимает соединения, отдает статические файлы, а динамику передает дальше на обработку Апачу.

icCE Jun 26 2009 at 13:06

Спс. Пойду читать больше информации про nginx. Думаю в любом случаи он не помешает.

SamDark Jun 26 2009 at 13:08

Да.

jandosul Jun 26 2009 at 12:52

А что на рисунке рука или нога?

simonoff Jun 26 2009 at 12:53

рука

riro Jun 26 2009 at 14:00

я только щас понял что рука))

Holden Jun 26 2009 at 14:03

нога

mkevac Jun 26 2009 at 14:25

Рука. Это картинка из Википедии.

jandosul Jun 27 2009 at 09:21

ВикиМедии
commons.wikimedia.org/wiki/File:Slow_Loris_Female.jpg

-2

kolpeex Jun 26 2009 at 19:03

руга

Dimster Jun 26 2009 at 23:31

Внимательно присмотревшись понял, что там рука, повернутая ладонью вверх и от камеры.

simonoff Jun 26 2009 at 12:53

Да кстати можно прямую ссылку на письмо RSnake в рассылке?

A1lfeG Jun 26 2009 at 12:58

Може нубский вопрос, но все же:
IIS такой атаке подвержен?

moscow_beast Jun 26 2009 at 13:08

Ща потестим

wpm1 Jun 26 2009 at 13:16

нет. это подробно описано в статье.

mkevac Jun 26 2009 at 13:26

Не подвержен. Это связано с тем, что IIS использует совсем отличный от других веб-серверов спрособ обработки запросов.

A1lfeG Jun 26 2009 at 14:10

Спасибо :)

UFO just landed and posted this here

mkevac Jun 26 2009 at 14:37

Сразу скажу что с ним не работал, рассказываю только по тому что я понял из статей.

В статьях написано что IIS посылает данные обработчикам не на уровне HTTP запросов, а на уровне сетевых пакетов или группы пакетов. Звучит очень сложно, но, в принципе, реально.

mkevac Jun 26 2009 at 14:38

Вот отрывок:

«What IIS does differently, is in the way it handles incoming requests: There is no static tie between a worker thread and a network socket in IIS. Rather, the workers are organized in a pool where they wait for incoming TCP packets (rather than TCP connections as Apache does). These packets are then assigned dynamically to threads. So, an idle connection occupies a socket, but it does not block an entire thread. Thus the web need not be shut down by penny-wielding customers or slowloris.»

darkk Jun 26 2009 at 14:51

Судя по википедии, в винде тоже подобие accept-фильтров BSD-шных (сюрприз!) используется. :-)

mkevac Jun 26 2009 at 14:53

Это вы в какой статье прочитали? Можно ссылку?

darkk Jun 26 2009 at 15:00

en.wikipedia.org/wiki/Kernelspace_web_server

pfactum Jun 26 2009 at 13:04

> один обший таймаут

Исправьте, пожалуйста.

-7

Goodkat Jun 26 2009 at 13:08

>>Атака заключается в очень медленной посылке все новых и новых HTTP заголовков в рамках одного HTTP запроса...
Эстонский DoS :)

+14

ramovsky Jun 26 2009 at 13:12

Замените нити на потоки… вроде принятая терминология.

mcm69 Jun 26 2009 at 13:14

… и Slow Lori на ленивца.

mkevac Jun 26 2009 at 13:31

Это не одно и то же животное.

mcm69 Jun 26 2009 at 18:26

Да, уже вижу. Ступил :-)

icCE Jun 26 2009 at 13:58

Судя по www.moscowzoo.ru/get.asp?ID=A52

Он у нас завется как Толстый Лори O_o?

alexxz Jun 26 2009 at 13:14

Ну да, прям ни кто не знал про эту атаку. 8-\ Самый настоящий баян.

mkevac Jun 26 2009 at 13:30

Вот и разработчики Apache так говорят, но на самом деле данный тип аттаки гораздо более доступен скрипт-киддисам, чем обычная DDoS атака. В то же время он гораздо дешевле.

maxcom Jun 26 2009 at 14:53

скрипт-киддисы в данном случае лечатся лимитом на число соединений с одного IP

mkevac Jun 26 2009 at 14:56

Увы, не все так просто. Существующие модули для ограничения соединений работают не на том уровне обработки запроса.
Более того, ограничением по IP вы порежете сети, которые сидят за NAT-ом.

maxcom Jun 26 2009 at 15:04

Netfilter поможет.

Что касается NAT, то надо просто лимит не слишком маленький ставить, чтобы не мешало нормальной работе. А при атаке лучше пусть сетка за NAT отключится, чем вообще весь апач

darkk Jun 26 2009 at 13:16

Данный тип атаки был обнародован специалистом по безопасности RSnake 17 июня

Вообще, в Update сказано, что он далеко не первый это придумал.

Ну а на самом деле это классический DoS против любого fork-ающегося сервера без адекватных лимитов и таймаутов. Настолько классический, что преподносить его как что-то новое довольно странно.

mkevac Jun 26 2009 at 13:29

Можно сказать что RSnake раскрыл глаза разработчикам Apache и поднял шум вокруг этого. Думаю им придется в ближайшее время заняться таймаутами как минимум.

darkk Jun 26 2009 at 13:33

Шум поднял и proof-of-concept сделал.

Атака не новая, новы только шум и инструмент.

Ну а таймауты/лимиты — это так, workaround. Проблему решает только accept-фильтр на базе state machine (либо в ядре, либо в самом апаче, либо перед апачем).

mkevac Jun 26 2009 at 14:23

В Apache есть mpm_event, который реализует state machine, но в этом случае не будут работать большинство модулей, в т.ч. mod_php. Все равно придется делать двухуровневую архитектуру.

Хотя чего уж там, сейчас даже нет реализации mod_php для mpm_worker, — только процессы.

Вы не в курсе, есть ли какие-то планы по имплементации accept http фильтров в ядре Линукс аналогично тем что есть в ядре FreeBSD?

darkk Jun 26 2009 at 14:31

Про планы не слышал, есть khttpd и tux, но я с ними не игрался.
khttpd даже в mainline 2.4 одно время был.

darkk Jun 26 2009 at 13:36

I_D Jun 26 2009 at 13:17

^{Атака заключается в очень медленной посылке все новых и новых HTTP заголовков в рамках одного HTTP запроса, никогда его не завершая

Какая страшная смерть! (с)}

Throwable Jun 26 2009 at 14:04

> в очень медленной посылке все новых и новых HTTP заголовков в рамках одного HTTP запроса, никогда его не завершая
> кроме огромного количества открытых cоединений со статусом ESTABLISHED.
По-моему фразы противоречат друг другу. В рамках одного запроса = одно соединение. Тогда откуда много открытых сокетов? Или я чего-то не понимаю?

В свое время я клал серваки следующим образом (спокойствие, хозяева были вкурсе):
1. Находится самая «тяжелая» страница с долгим запросом.
2. Пишется клиент, который открывает как можно больше соединений с сервером (пару тысяч).
3. Когда достигнуто максимально возможное значение, по всем посылается http запрос на эту страницу.
4. Для всех сокетов надо установить таймаут побольше и размер входного буфера 1 байт и не читать ответы от сервера.

Простой ограничитель числа коннекшнов с одного ip решает проблему.

mkevac Jun 26 2009 at 14:19

Представьте себе 100 000 соединений (пользователей) и в каждом межденно посылаются HTTP запросы. Получаем 100 000 открытых (ESTABLISHED) соединений. А потому как HTTP запрос еще не завершен, никакой информации в access_log не будет.

mvs Jun 26 2009 at 15:46

Пробовал 3 года назад на Apache-1.3 модуль, писавший в access_log только что поступившее соединение, не дожидаясь его завершения; удобно было для отслеживания скачивания больших файлов.
Однако названия модуля уже не вспомню, увы.

Holden Jun 26 2009 at 14:08

Что означает очень медленная посылка HTTP заголовков 10 байт в минуту или сколько?

mkevac Jun 26 2009 at 14:17

Не так принципиально. Главное то, чтобы таймаут не сработал (вы его ресетите посылкой данных) и чтобы траффик был маленький. Поскольку траффик маленький, не нужны большие затраты на канал.

vortex7 Jun 26 2009 at 15:20

оффтопик: красавица (я про животное) :)

k0t_igrun Jun 26 2009 at 18:12

была почти такая же ситуация. только не хакеры ддосили, а региональные пользователи с модемами ходили.

поставили апач на фронтэнд и нагрузка на сервера упала.