Nginx 漏洞扫描及修复方案

最新推荐文章于 2024-09-22 15:06:10 发布

licbc

最新推荐文章于 2024-09-22 15:06:10 发布

阅读量3.9k

点赞数 4

分类专栏：系统安全管理

本文链接：https://blog.csdn.net/licbc/article/details/117803756

版权

本文介绍了Nginx服务器遭受的‘缓慢的HTTP拒绝服务攻击’，详细分析了该攻击的原理和危害，并提供了一系列针对Nginx、WebSphere、Weblogic、Apache、IHS、F5和IIS服务器的修复建议和配置文件示例，以助于提升网络安全等级。

摘要由CSDN通过智能技术生成

漏洞扫描结果

漏洞扫描

OSS2.0 物联网创新业务系统进行web类安全扫描发现1类安全问题，本次发现“缓慢的HTTP拒绝服务攻击”漏洞问题，综合评定网络安全等级处于中风险状态。

缓慢的HTTP拒绝服务攻击

http://172.25.5.13:10056

漏洞等级：中

缓慢的HTTP拒绝服务攻击是一种专门针对于Web的应用层拒绝服务攻击，攻击者操纵网络上的肉鸡，对目标Web服务器进行海量HTTP请求攻击，直到服务器带宽被打满，造成了拒绝服务。

慢速HTTP拒绝服务攻击经过不断的演变和发展，主要有三种攻击类型，分别是Slow headers、Slow body、Slow read。以Slow headers为例，Web应用在处理HTTP请求之前都要先接收完所有的HTTP头部，因为HTTP头部中包含了一些Web应用可能用到的重要的信息。攻击者利用这点，发起一个HTTP请求，一直不停的发送HTTP头部，消耗服务器的连接和内存资源。抓包数据可见，攻击客户端与服务器建立TCP连接后，每10秒才向服务器发送一个HTTP头部，而Web服务器在没接收到2个连续的时，会认为客户端没有发送完头部，而持续的等等客户端发送数据。如果恶意攻击者客户端持续建立这样的连接，那么服务器上可用的连接将一点一点被占满，从而导致拒绝服务。这种攻击类型称为慢速HTTP拒绝服务攻击。

修改建议

Nginx 修复建议

1、通过调整$request_method，配置服务器接受http包的操作限制； 
2、在保证业务不受影响的前提下，调整
client_max_body_size, 
client_body_buffer_size, 
client_header_buffer_size,
large_client_header_buffers
client_body_timeout, 
client_header_timeout的值，必要时可以适当的增加； 
3、对于会话或者相同的ip地址，可以使用HttpLimitReqModule and HttpLimitZoneModule参数去限制请求量或者并发连接数； 
4、根据CPU和负载的大小，来配置worker_processes 和 worker_connections的值，公式是：max_clients = worker_processes * worker_connections。

具体nginx配置文件

user  deployer;
user root;
worker_processes  16;

#error_log  logs/error.log;
#error_log  logs/error.log  notice;
#error_log  logs/error.log  info;

#pid        logs/nginx.pid;
events {
   
    worker_connections  1024;
}

http {
   

    limit_req_zone $binary_remote_addr zone=req_one:10m rate=10r/s;
    limit_conn_zone $binary_remote_addr zone=limit_conn:10m;

    include       mime.types;
    default_type  application/octet-stream;

    #log_format  main  '$remote_addr - $remote_user [$time_local] "$request" '
    #