Slowloris a Nginx (atak typu DOS)

Ostatnio zrobiło się głośno o Slowloris, napisały o tym programiku większość portali informacyjnych. Jako że, ten programik jest łatwy w użyciu i łatwo dostępny to… spowoduje to, że zacznie się częste ataki przy użyciu tego skryptu w perlu, to na pewno :) . Najbardziej narażony na atak jest Apache, ze względu na to jak działa samo Apache i na sama metodę przeprowadzenia ataku. Apache dla każdego połączenia tworzy osobny proces. Atak wygląda zaś w sposób, iż skrypt wysyła niedokończone nagłówki HTTP w ilości spoooorej, zależy z jakimi parametrami wywoła się skrypt, jednocześnie nie kończąc połączenia. Z tego powodu Apache czeka na dokończenie nagłówka przez klienta, ale on tego nie zrobi. Więc nagle Apache tworzy baaaardzo dużo procesów co zabiera baaardzo dużo zasobów. Powoduje to zadyszkę serwera, a w najgorszym wypadku, serwer przestanie odpowiadać w ogóle. Niestety… nie zmieni się sposobu działania apache. Ale to problemem przy dobrej konfiguracji nie jest. Należy zmniejszyć keepalive na kilka sekund np. Inną metodą może byś zastosowanie skryptu, który będzie sprawdzał ilość połączeń per IP. Jak ich będzie za duże, wyląduję gość w IPTables :) . I na przykład serwerownia Leasweb udostępniła tego typu skrypt.

Ale o czym to ja chciałem… a, już wiem :) . Ale nie używam Apache, tylko Nginxa.. i ja o tym chciałem :P . Nginx działa w sposób odmienny. Tworzy 2-4 procesy, ewentualnie więcej w zależności od konfiguracji i każdy z tych procesów, może obsłużyć kilkadziesiąt/set tysięcy połączeń. Jedyny ograniczeniem jest ustawienie kernela co do ilości dostępnych socketów, otwartych plików przez proces itp.  Zaś na przykład  buffory związane z cachowanie połączeń sieciowych, połączeń itp. należy zmniejszyć. Po prostu ustawienia systemu ograniczą Nginxa. Ale, jednak należy pamiętać, że trzeba ustawić odpowiednio wysokie limity ilości połączeń dla pojedynczego procesu w konfiguracji Nginxa. Np proponowane przez autora Nginxa Igora Sysoeva.

worker_processes  4;
events {
   worker_connections  200000;
   use epoll;
}

Jak policzyć ilośc możliwych klientów podłaczonych do serwera?

worker_process * worker_connections = 4 * 200'000 = 800'000 połączeń

I Nginx spokojnie obsłuży taką ilość połączeń, pytanie tylko, czy system mu na to pozwoli, o czym wspominałem wcześniej :) .  Jeszcze jeden taki mały szkopuł. Należy zwrócić uwagę, czy Nginx działa jako pojedynczy serwer, czy też z tandemem np Apache, gdzie to Apache odpowiada za PHP. W takiej konfiguracji ilość maksymalnych połączeń należy podzielić na połowę. Z racji tego, że dla nginx 1 połączneie to kient <-> Nginx. Zaś kolejnym jest Nginx <-> Apache.

Czerwiec 20, 2009 | Kategoria serwer 

Komentarze

Jedna odpowiedź to “Slowloris a Nginx (atak typu DOS)”

  1. suchasplus::blog na Czerwiec 23rd, 2009 09:40

    Apache&&Squid的末日? — 试用Slowloris HTTP DoS…

    最近Slowloris很受推崇，评价很高，可以用很少的带宽实现攻击效果,下班之后试用了一把。Multiple HTTP Server Low Bandwidth Denial of Service (slowloris.pl)下载地址在这里攻击原理:攻击方先发送一个http header:GET / HTTP/1.1\r\nHost: Target host\r\nUser-Agent: Mozilla/4.0 (compatible; MSIE 7.0; Windows NT 5.1; T…

Zostaw komentarz