Slow HTTP Denial of Service Attack 漏洞解决办法

慢速HTTP拒绝服务攻击及其解决方案
最新推荐文章于 2021-09-11 16:13:43 发布
原创 最新推荐文章于 2021-09-11 16:13:43 发布 · 2.5w 阅读 · 4 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
文章标签：

#漏洞 #http tomcat

本文讨论了慢速HTTP拒绝服务攻击的原理、风险等级及解决方案，具体包括通过限制HTTP头部传输的最大许可时间来应对攻击。实例展示了如何在Tomcat的server.xml文件中进行配置调整。

问题名称：

Slow HTTP Denial of Service Attack

问题URL

http://10.238.*.*:58***

 

风险等级：

高

问题类型：

服务器配置类

漏洞描述：

利用的HTTP POST：POST的时候，指定一个非常大的

content-length，然后以很低的速度发包，比如10-100s发一个字节，hold住这个连接不断开。这样当客户端连接多了后，占用住了webserver的所有可用连接，从而导致DOS。

解决方案：

对web服务器的http头部传输的最大许可时间进行限制，修改成最大许可时间为20秒。

相

关

内

容

 实际解决方法：找到tomacat下的文件server.xml，找到如下信息,

 

原来为20000，修改为20，重启服务就行了。

 
 
from:gs-utrapower-zyr time:20150602
【主机漏洞扫描常见修复方案】：Tomcat安全（机房对外Web服务扫描）
专注于计算机研发知识和资讯分享
10-24 763
【代码】运维小技能：Tomcat安全（机房对外Web服务扫描）
Apache Nginx Tomcat Slow HTTP Denial of Service Attack漏洞修复办法
dendy的博客
03-27 3008
Slow HTTP Denial of Service Attack 中文叫作缓慢的HTTP攻击漏洞,网上多数是tomcat的修复方法，然而实际上会碰到iis nginx apache等web服务器的这个问题，于是就有了这个修复集合。 漏洞描述： 利用的HTTP POST：POST的时候，指定一个非常大的content-length，然后以很低的速度发包，比如10-100s发一个字节，hold...
Slow HTTP Denial of Service Attack | 如何证明
水榭山寺花烂漫，凤凰集外雁归来。敢与云峰争秀色，妙雨莲花九重开。
09-25 4266
文章目录前言Slow HTTP Denial of Service AttackVulnerability descriptionAttack detailsThe impact of this vulnerabilityHow to fix this vulnerabilityClassificationWeb References 前言 今天用扫描器给客户做扫描，然后AWVS报了个慢速HTTP拒绝服务攻击 为了方便大家复制，文字版的也放在下面 Slow HTTP Denial of Service A
慢Dos攻击修复（slowhttptest）
iokla
09-11 6219
Slow HTTP Denial of Service Attack 中文叫作缓慢的HTTP攻击漏洞,网上多数是tomcat的修复方法，然而实际上会碰到iis，nginx，apache等web服务器的这个问题，于是就有了这个修复集合。 漏洞描述： 利用的HTTP POST：POST的时候，指定一个非常大的content-length，然后以很低的速度发包，比如10-100s发一个字节，hold住这个连接不断开。这样当客户端连接多了后，占用住了webserver的所有可用连接，从而导致DOS。 修复方法： 对
Slow HTTP Denial of Service Attack
weixin_38169359的博客
02-12 222
一、漏洞描述 利用HTTP POST请求时，指定一个非常大的content-length，然后以很低的速度发包，比如10-100s发一个字节并保持这个连接不断开。当客户端连接数达到一定程度，占用服务器的所有可用连接，从而导致DOS。 二、漏洞利用 渗透工具：slowhttptest 下载地址：https://github.com/shekyan/slowhttptest.g...
常见web漏洞（awvs、nessus）验证方法小记-中危漏洞
weixin_43875708的博客
03-12 1万+
1.【中危】不安全的Javascript库（Vulnerable Javascript library） 漏洞描述 SWFObject库 SWFObject是一个免费的开放源代码工具，用于在网站中嵌入swf内容，SWFObject在Internet Explorer中进行动态嵌入的方法，以使用更友好的W3C方式创建。网站正在使用易受攻击的Javascript库，此版本的Javascript库报告了...
Slow HTTP Denial of Service Attack 漏洞解决
weixin_34289744的博客
08-16 368
修改tomcat conf 下  server.xml 文件 <Connector port="8080" protocol="HTTP/1.1" connectionTimeout="2000" redirectPort="8443" URIEncoding="UTF-8"/>   connectionTimeout=
[渗透]缓慢的HTTP拒绝服务攻击原理、利用和防范
热门推荐
胖胖的ALEX
02-18 1万+
Slow HTTP Denial of Service Attack 缓慢的HTTP拒绝服务攻击 TCP三次握手： 攻击原理： 对任何一个开放了http访问的服务器，先建立一个连接，指定一个比较大的content-length，然后以非常低的速度发包，比如1-10s发一个字节，然后维持这个连接不断开。如果客户端持续建立这样的连接，那么服务器的可用连接将一点一点被占满，从而导致拒绝服务。 和CC...
HTTP攻击与防范
12-02
了解HTTP请求欺骗攻击带来的危险性，掌握HTTP请求欺骗攻击方法，掌握防范攻击的方法。
Slow HTTP Denial Of Service Attack
weixin_34248258的博客
07-04 120
缓慢的HTTP POST DoS***依赖于HTTP协议的事实,通过设计,将每次发送数据包的一部分。如果一个HTTP请求是不完整的,或者如果转移率非常低,服务器保持其资源忙等待其余的数据。如果服务器保持太多的资源忙,HTTP服务器将拒绝其它的请求服务。这个工具就是通过发送缓慢HTTP请求,让目标HTTP服务器处于忙碌状态(也可以这样理解，当post请求时，指定一个非常大的co...
tomcat漏洞扫描Slow HTTP Denial of Service Attack
oatmeal2015的博客
06-24 1807
今天tomcat扫描漏洞的时候出现了以上图片遇到的问题、查看漏洞后 可能的问题是http头部的限定时间的长度过大，攻击服务器的操作者可以通过链接服务器之后，一直发送数据，这样处理下来，因为设置的请求的时间过长、开始新的请求，前面的请求一直在占用资源，这样来降低了tomcat的最大并发量。 解决办法：修改Tomcat的配置，把里面的connectionTimeout=”20000”修改成co...
Slow HTTP Denial of Service Attack防御
zhaozhanyong的专栏
10-23 1万+
1、拒绝或丢弃相应url的http的连接
Slow HTTP Denial of Service Attack解决办法
想到就写点东西的博客
01-26 8705
前几天扫描系统漏洞，发现Slow HTTP Denial of Service Attack漏洞，中文叫作缓慢的HTTP攻击漏洞。 解决办法如下： tomcat配置文件conf/server.xml中，                connectionTimeout="20000"                 redirectPort="8443" /> 把connecti
HTTP缓慢拒绝服务***
weixin_33737134的博客
02-08 750
tomcat慢速HTTP拒绝服务***安全问题解决办法 问题说明：HTTP协议的设计要求服务器在处理之前完全接收到请求。如果HTTP请求未完成，或者传输速率非常低，则服务器将保持其资源占用等待剩余的数据。如果服务器占用的资源太多，则会造成拒绝服务。 解决办法：修改Tomcat 配置文件 server.xml 中的 <Connector ... /> 配置中，设置connectionti...
Wireless Sensor Network Denial of Sleep Attack
最新发布
09-18
拒绝休眠攻击是无线传感器网络中的一种常见攻击方式，它会阻止传感器节点进入休眠状态，从而耗尽节点的能量，缩短网络的使用寿命。 在学术研究方面，有诸多文献围绕此展开。例如，A.D. Wood和J.A. Stankovic于2002年在IEEE Computer上发表的“Denial of Service in Sensor Networks”，虽未明确提及拒绝休眠攻击，但对传感器网络中的拒绝服务攻击进行了研究，这为理解拒绝休眠攻击提供了基础，因为拒绝休眠攻击属于拒绝服务攻击的一种特殊形式[^1]。 从原理上来说，攻击者通过持续发送干扰信号或伪造请求，使传感器节点误以为有任务需要处理，从而无法进入休眠状态。在实际应用中，这种攻击会严重影响无线传感器网络的性能和可靠性。 对于防御拒绝休眠攻击，可采用多种策略，如设计智能的休眠调度算法，使节点能够更准确地判断是否真的需要保持唤醒状态；还可加强网络的安全认证机制，防止伪造请求的干扰。 ```python # 以下是一个简单的伪代码示例，模拟一个基本的休眠调度算法 import time class SensorNode: def __init__(self): self.is_sleeping = False self.last_active_time = time.time() def check_activity(self): # 模拟检查是否有真实活动 current_time = time.time() if current_time - self.last_active_time > 10: # 假设10秒无活动则休眠 self.is_sleeping = True print("节点进入休眠状态") else: self.is_sleeping = False print("节点保持唤醒状态") self.last_active_time = current_time def receive_signal(self): # 模拟接收到信号 # 这里需要添加安全认证机制，判断信号是否合法 self.check_activity() # 创建一个传感器节点实例 node = SensorNode() # 模拟接收到信号 node.receive_signal() ```
评论 3
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值