什么是HTTP慢速连接攻击，我们可以采取的防护措施

缓慢的HTTP拒绝服务攻击是一种专门针对于Web的应用层拒绝服务攻击，攻击者操纵网络上的肉鸡，对目标Web服务器进行海量HTTP请求攻击，直到服务器带宽或内存被打满，造成了拒绝服务。慢速HTTP拒绝服务攻击经过不断的演变和发展，主要有三种攻击类型，分别是：

- Slow headers
Web应用在处理HTTP请求之前都要先接收完所有的HTTP头部，因为HTTP头部中包含了一些Web应用可能用到的重要的信息。攻击者利用这点，发起一个HTTP请求，一直不停的发送HTTP头部，消耗服务器的连接资源。比如：攻击客户端与服务器建立TCP连接后，每10秒才向服务器发送一个HTTP头部，而Web服务器在没接收到2个连续的\r\n时，会认为客户端没有发送完头部，而持续的等等客户端发送数据。

- Slow body
攻击者发送一个HTTP POST请求，该请求的Content-Length头部值很大，使得Web服务器或代理认为客户端要发送很大的数据。服务器会保持连接准备接收数据，但攻击客户端每次只发送很少量的数据，使该连接一直保持存活，消耗服务器的连接和内存资源。比如：攻击客户端与服务器建立TCP连接后，发送了完整的HTTP头部，POST方法带有较大的Content-Length，然后每10s发送一次随机的参数。服务器因为没有接收到相应Content-Length的body，而持续的等待客户端发送数据。

- Slow read
客户端与服务器建立连接并发送了一个HTTP请求，客户端发送完整的请求给服务器端，然后一直保持这个连接，以很低的速度读取Response，比如很长一段时间客户端不读取任何数据，通过发送Zero Window到服务器，让服务器误以为客户端很忙，直到连接快超时前才读取一个字节，以消耗服务器的连接和内存资源。比如：客户端把数据发给服务器后，服务器发送响应时，收到了客户端的ZeroWindow提示（表示自己没有缓冲区用于接收数据），服务器不得不持续的向客户端发出ZeroWindowProbe包，询问客户端是否可以接收数据。

如果恶意攻击客户端持续建立这样的连接，那么服务器上可用的连接将一点一点被占满，从而导致拒绝服务。这种攻击类型称为慢速HTTP拒绝服务攻击。

HTTP慢速攻击的特点
1.隐蔽性高：慢速攻击利用的是HTTP协议的合法特性，因此很难被传统的安全设备所识别。
2.占用资源少：每个慢速连接只发送少量的数据，因此攻击者可以使用较少的资源发起大量的攻击。
3.攻击效果显著：通过占用服务器的连接资源，慢速攻击可以迅速导致服务器性能下降，甚至崩溃。

防御HTTP慢速攻击通常需要采取一些措施
1.限制连接数
在服务器端设置最大连接数限制，防止攻击者通过大量半开连接占满服务器资源。
2.设定超时时间
对web服务器的HTTP头部传输的最大许可时间进行限制，为每个连接设置合理的超时时间，当连接在一定时间内没有活动时，自动关闭该连接。
3.针对HTTP慢速攻击的特点，对每秒钟HTTP并发连接数进行检查，若发现如POST报文的报文头都没有结束标识等异常，断开此IP地址与HTTP服务器的连接。
4.使用安全设备
部署专业的网络安全设备，像德迅云安全的安全加速SCDN，可以进行慢连接攻击防御，对如Slow Headers攻击，可以通过检测请求头超时时间、最大包数量阈值进行有效防护，提高服务器的安全防护能力。