Apache Tomcat 缓慢的HTTP拒绝服务攻击

Apache Tomcat 缓慢的HTTP拒绝服务攻击

漏洞详情

缓慢的HTTP拒绝服务攻击是一种专门针对于Web的应用层拒绝服务攻击，攻击者操纵网络上的肉鸡，对目标Web服务器进行海量HTTP请求攻击，直到服务器带宽被打满，造成了拒绝服务。

慢速HTTP拒绝服务攻击经过不断的演变和发展，主要有三种攻击类型，分别是Slow headers、Slow body、Slow read。以Slow headers为例，Web应用在处理HTTP请求之前都要先接收完所有的HTTP头部，因为HTTP头部中包含了一些Web应用可能用到的重要的信息。攻击者利用这点，发起一个HTTP请求，一直不停的发送HTTP头部，消耗服务器的连接和内存资源。抓包数据可见，攻击客户端与服务器建立TCP连接后，每10秒才向服务器发送一个HTTP头部，而Web服务器在没接收到2个连续的\r\n时，会认为客户端没有发送完头部，而持续的等等客户端发送数据。如果恶意攻击者客户端持续建立这样的连接，那么服务器上可用的连接将一点一点被占满，从而导致拒绝服务。这种攻击类型称为慢速HTTP拒绝服务攻击。

漏洞修复

具体操作：

1.编辑 tomcat/conf/server.xml，找到如下行：

<Connector connectionTimeout="20000" port="8080" protocol="HTTP/1.1" redirectPort="8443"/>

设置 connectiontimeout 值，默认为20000ms，修改为8000ms

2 设置AJAX的全局timeout时间（默认为30000ms）

	$.ajaxSetup({timeout:8000});

3 If possible, you should set the Secure flag for this cookie，set the HTTPOnly flag for this cookie解决方案：

设置tomcat/conf/web.xml文件:

<session-config>
     <session-timeout>30</session-timeout>
     <cookie-config>
        <secure>true</secure>
        <http-only>true</http-only>
     </cookie-config>
</session-config> 

2 在登陆时设置 HttpOnly：

response.setHeader("SET-COOKIE", "JSESSIONID=" + sessionid + "; secure ; HttpOnly")

启动了OPTIONS方法

tomcat/conf/web.xml 修改如下：

（1）更新

<web-app xmlns="http://java.sun.com/xml/ns/j2ee 
xmlns:xsi="i="http://www.w3.org/2001/XMLSchema-instance" 
xsi:schemaLocation="http://java.sun.com/xml/ns/j2ee/web-app_2_4.xsd" 
version="2.4">

（2）新增

<security-constraint>
	<web-resource-collection>
		<url-pattern>/*</url-pattern>	
		<http-method>PUT</http-method>	
		<http-method>DELETE</http-method>	
		<http-method>HEAD</http-method>	
		<http-method>OPTIONS</http-method>	
		<http-method>TRACE</http-method>
	</web-resource-collection>
	<auth-constraint></auth-constraint>
</security-constraint>

<login-config>
	<auth-method>BASIC</auth-method>
</login-config>