关键词：
目录
漏洞扫描结果
漏洞扫描
OSS2.0 物联网创新业务系统进行web类安全扫描发现1类安全问题，本次发现“缓慢的HTTP拒绝服务攻击”漏洞问题，综合评定网络安全等级处于中风险状态。
缓慢的HTTP拒绝服务攻击
http://172.25.5.13:10056
漏洞等级：中
缓慢的HTTP拒绝服务攻击是一种专门针对于Web的应用层拒绝服务攻击，攻击者操纵网络上的肉鸡，对目标Web服务器进行海量HTTP请求攻击，直到服务器带宽被打满，造成了拒绝服务。
慢速HTTP拒绝服务攻击经过不断的演变和发展，主要有三种攻击类型，分别是Slow headers、Slow body、Slow read。以Slow headers为例，Web应用在处理HTTP请求之前都要先接收完所有的HTTP头部，因为HTTP头部中包含了一些Web应用可能用到的重要的信息。攻击者利用这点，发起一个HTTP请求，一直不停的发送HTTP头部，消耗服务器的连接和内存资源。抓包数据可见，攻击客户端与服务器建立TCP连接后，每10秒才向服务器发送一个HTTP头部，而Web服务器在没接收到2个连续的时，会认为客户端没有发送完头部，而持续的等等客户端发送数据。如果恶意攻击者客户端持续建立这样的连接，那么服务器上可用的连接将一点一点被占满，从而导致拒绝服务。这种攻击类型称为慢速HTTP拒绝服务攻击。
修改建议
Nginx 修复建议
1、通过调整$request_method，配置服务器接受http包的操作限制；
2、在保证业务不受影响的前提下，调整
client_max_body_size,
client_body_buffer_size,
client_header_buffer_size,
large_client_header_buffers
client_body_timeout,
client_header_timeout的值，必要时可以适当的增加；
3、对于会话或者相同的ip地址，可以使用HttpLimitReqModule and HttpLimitZoneModule参数去限制请求量或者并发连接数；
4、根据CPU和负载的大小，来配置worker_processes 和 worker_connections的值，公式是：max_clients = worker_processes * worker_connections。
具体nginx配置文件
user deployer;
user root;
worker_processes 16;
#error_log logs/error.log;
#error_log logs/error.log notice;
#error_log logs/error.log info;
#pid logs/nginx.pid;
events
worker_connections 1024;
http
limit_req_zone $binary_remote_addr zone=req_one:10m rate=10r/s;
limit_conn_zone $binary_remote_addr zone=limit_conn:10m;
include mime.types;
default_type application/octet-stream;
#log_format main '$remote_addr - $remote_user [$time_local] "$request" '
# '$status $body_bytes_sent "$http_referer" '
# '"$http_user_agent" "$http_x_forwarded_for"';
#access_log logs/access.log main;
sendfile on;
#tcp_nopush on;
#keepalive_timeout 0;
keepalive_timeout 65;
client_max_body_size 2m;
client_body_buffer_size 2m;
client_header_buffer_size 2k;
large_client_header_buffers 2 1k;
client_body_timeout 10s;
client_header_timeout 5s;
#gzip on;
server
listen 10056;
server_name localhost;
#charset koi8-r;
#access_log logs/host.access.log main;
location /
limit_conn limit_conn 10;
proxy_redirect off;
proxy_set_header Host $host;
proxy_set_header X-Real-IP $remote_addr;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
proxy_pass http://172.17.0.1:10050;
#error_page 404 /404.html;
# redirect server error pages to the static page /50x.html
error_page 500 502 503 504 /50x.html;
location = /50x.html
root html;
WebSphere 修复建议
1、限制 HTTP 数据的大小
在WebSphere Application Server 中进行如下设置：
任何单个 HTTP 头的默认最大大小为 32768 字节。可以将它设置为不同的值。
HTTP 头的默认最大数量为 50。可以将它设置为不同的限制值。
另一种常见的 DOS 攻击是发送一个请求，这个请求会导致一个长期运行的 GET 请求。WebSphere Application Server Plug-in 中的 ServerIOTimeoutRetry 属性可限制任何请求的重试数量。这可以降低这种长期运行的请求的影响。
设置限制任何请求正文的最大大小。
2、设置keepalive参数
打开ibm http server安装目录，打开文件夹conf，打开文件httpd.conf,查找KeepAlive值，改ON为OFF,其默认为ON。
这个值说明是否保持客户与HTTP SERVER的连接，如果设置为ON，则请求数到达MaxKeepAliveRequests设定值时请求将排队，导致响应变慢。
详见参考链接：
http://www.ibm.com/developerworks/cn/websphere/techjournal/1210_lansche/1210_lansche.html#new-step32
Weblogic 修复建议
1、在配置管理界面中的协议->一般信息下设置 完成消息超时时间小于200
2、在配置管理界面中的协议->HTTP下设置 POST 超时、持续时间、最大 POST 大小为安全值范围。
http://docs.oracle.com/cd/E12890_01/ales/docs32/integrateappenviron/configWLS.html#wp1101063
Apache 修复建议
建议使用mod_reqtimeout和mod_qos两个模块相互配合来防护。
1、mod_reqtimeout用于控制每个连接上请求发送的速率。配置例如：
#请求头部分，设置超时时间初始为10秒，并在收到客户端发送的数据后，每接收到500字节数据就将超时时间延长1秒，但最长不超过40秒。可以防护slowloris型的慢速攻击。
RequestReadTimeout header=10-40,minrate=500
#请求正文部分，设置超时时间初始为10秒，并在收到客户端发送的数据后，每接收到500字节数据就将超时时间延长1秒，但最长不超过40秒。可以防护slow message body型的慢速攻击。
RequestReadTimeout body=10-40,minrate=500
需注意，对于HTTPS站点，需要把初始超时时间上调，比如调整到20秒。
示例：
LoadModule reqtimeout_module modules/mod_reqtimeout.so
<IfModule reqtimeout_module>
RequestReadTimeout header=10-40,minrate=500 body=10-40,minrate=500
</IfModule>
2、mod_qos用于控制并发连接数。配置例如：
#当服务器并发连接数超过600时，关闭keepalive
QS_SrvMaxConnClose 600
#限制每个源IP最大并发连接数为50
QS_SrvMaxConnPerIP 50
这两个数值可以根据服务器的性能调整。
更多关于qos_module配置参考：
http://mod-qos.sourceforge.net/dos.html
示例：
LoadModule qos_module modules/mod_qos.so
<IfModule qos_module>
QS_SrvMaxConnClose 600
QS_SrvMaxConnPerIP 50
</IfModule>
IHS服务器
请您先安装最新补丁包，然后启用mod_reqtimeout模块，在配置文件中加入：
LoadModule reqtimeout_module modules/mod_reqtimeout.so
为mod_reqtimeout模块添加配置：
<IfModule mod_reqtimeout.c>
RequestReadTimeout header=10-40,MinRate=500 body=10-40,MinRate=500
</IfModule>
对于HTTPS站点，建议header=20-40,MinRate=500。
参见：http://www-01.ibm.com/support/docview.wss?uid=swg21652165
F5负载均衡修复建议
F5负载均衡设备有相应的防护模块，如无购买可参考附件中的详细配置过程。
关于F5的慢速攻击防护配置，请参考以下链接：
https://support.f5.com/kb/en-us/solutions/public/10000/200/sol10260.html
https://devcentral.f5.com/articles/mitigating-slow-http-post-ddos-attacks-with-irules-ndash-follow-up
IIS服务器
IIS可配置相关网站的Web.config如下：
1、WebLimits设置：
<configuration>
<system.applicationHost>
<webLimits connectionTimeout="00:00:30"
headerWaitTimeout="00:00:10"
dynamicIdleThreshold="150"
minBytesPerSecond="512"
/>
</system.applicationHost>
</configuration>
参考以下链接：
https://docs.microsoft.com/en-us/iis/configuration/system.applicationhost/weblimits#configuration
2、headerLimits设置：
<configuration>
<system.webServer>
<security>
<requestFiltering>
<requestLimits>
<headerLimits>
<add header="Content-type" sizeLimit="100" />
</headerLimits>
</requestLimits>
</requestFiltering>
</security>
</system.webServer>
</configuration>
参考以下链接：
https://docs.microsoft.com/en-us/iis/configuration/system.webserver/security/requestfiltering/requestlimits/headerlimits/
怎么样在php中使用fastcgi解析漏洞及修复方案
参考技术A（Nginx用户可以选择方案一或方案二，IIS用户请使用方案一）方案一，修改php.ini文件，将cgi.fix_pathinfo的值设置为0。完成后请重启PHP和NGINX（IIS）。方案二，在Nginx配置文件中添加以下代码：复制代码代码如下: if($fas... 查看详情
常见安全漏洞及修复方案(代码片段)
1.1跨站脚本（XSS）漏洞漏洞描述跨站脚本攻击(CrossSiteScripting,XSS)发生在客户端，可被用于进行窃取隐私、钓鱼欺骗、偷取密码、传播恶意代码等攻击行为。恶意的攻击者将对客户端有危害的代码放到服务器上作为一个... 查看详情
tomcatexample应用信息泄漏漏洞及修复(代码片段)
文章目录Tomcat介绍漏洞描述受影响范围漏洞复现修复方案免责声明Tomcat介绍Tomcat是一款开源的Web应用服务器软件。Tomcat属于轻量级应用服务器，在中小型系统和并发访问用户不多的场合下被普遍使用，是开发和调试JSP程... 查看详情
tomcatexample应用信息泄漏漏洞及修复(代码片段)
文章目录Tomcat介绍漏洞描述受影响范围漏洞复现修复方案免责声明Tomcat介绍Tomcat是一款开源的Web应用服务器软件。Tomcat属于轻量级应用服务器，在中小型系统和并发访问用户不多的场合下被普遍使用，是开发和调试JSP程... 查看详情
nginx修复漏洞(代码片段)
一、X-Frame-Options头配置错误修复建议：1.配置X-Frame-Options2.对于配置了已废弃的ALLOW-FROM，原则上不推荐使用3.删除重复配置的X-Frame-Options修复方法：1.nginx服务器：配置nginx发送X-Frame-Options响应头，把下面这行添... 查看详情
nginx解析漏洞环境搭建及实战(代码片段)
...139.128五、找张图片用记事本打开，在最后加上一段php代码六、上传提交该图片七、测试漏洞1、访问原图片http 查看详情
中间件漏洞汇总(代码片段)
...御HTTP.SYS远程代码执行(MS15-034)介绍影响范围影响版本复现修复建议apache篇未知扩展名解析漏洞漏洞原理复现修复建议AddHandler导致的解析漏洞原理复现修复建议目录遍历漏洞原理复现防御ApacheHTTPD换行解析漏洞（CVE-2017-15715ÿ... 查看详情
options漏洞修复(代码片段)
文章目录前言：OPTIONS漏洞说明Nginx修复方法环境说明修复测试Tomcat修复方法环境说明修复测试Tomcat版本：8.5.3测试SpringBoot项目修复方法环境说明修复测试总结前言：OPTIONS漏洞说明漏洞名称：OPTIONSmethodisenabled风险... 查看详情
redis未授权漏洞处理(代码片段)
漏洞描述：方案一修复原理:为Redis设置密码，密码会以明文方式保存在Redis配置文件中。修复风险1.修改配置后，必须使用认证密码连接Redis2.需要连接Redis数据库的业务代码，也必须同步修改连接方式。方案二修复原理:修改Redis... 查看详情
nginx修复漏洞(代码片段)
一、X-Frame-Options头配置错误修复建议：1.配置X-Frame-Options2.对于配置了已废弃的ALLOW-FROM，原则上不推荐使用3.删除重复配置的X-Frame-Options修复方法：1.nginx服务器：配置nginx发送X-Frame-Options响应头，把下面这行添... 查看详情
nginx使用“逻辑与”配置origin限制，修复cors跨域漏洞(代码片段)
目录1.漏洞报告2.漏洞复现3.Nginx修复3.1添加请求头3.2配置origin限制2.3调整origin限制1.漏洞报告漏洞名称：CORS跨域漏洞等级：中危漏洞证明：Origin从任何域名都可成功访问，未做任何限制。漏洞危害：因为同源策... 查看详情
nginx解析漏洞复现(代码片段)
...配置参数介绍：Cgi.fix_pathinfo为php-fpm对错误路径进行修复Security.limit_extension为php-fpm支持的后缀代码解析实验原理例如：“1.jpg/a.php“,a.php为不存在的文件,1.jpg为上传的恶意图片马。Fastcgi匹配后缀为.php的规则后将该URL请求... 查看详情
android全屏状态下弹出输入法adjustresize无效的修复方案及踩坑指南(代码片段)
Android全屏状态下弹出输入法adjustResize无效的修复方案及踩坑指南输入框被输入法遮挡的问题相信很多人都遇见过，这次记录的是Activity在全屏FullScreen状态下windowSoftInputMode的adjustResize不生效问题。下面是WindowManager类关于SOFT_IN... 查看详情
android隐私违规获取问题处理及hook拦截处理记录(virtualxposted/epic等)及android/ios多bundle加载方式修复方案(代码片段)
文章目录1.如何检测/复现android_id/Mac地址等权限被超前获取```但是,检测机构是如何检测我们的APP?```关于hooklogin插件太极----以上基础工作完成----2.RN端对安卓/iOS隐私权限的处理方案基于以上思路,有```两... 查看详情
web系统常见安全漏洞介绍及解决方案-sql注入(代码片段)
先看一下目录一、常见漏洞类型二、SQL注入1、SQL注入危险性、可能原因2、场景重现3、sql盲注4、检测⽅法5、防护⽅案三、使用ORM框架一、常见漏洞类型关于web安全测试，目前主要有以下几种攻击方法：XSS跨站脚本攻击CSR... 查看详情
nginx漏洞总结(代码片段)
...理web服务器，同时也提供了IMAP/POP3/SMTP服务。其将源代码以类BSD许可证的形式发布，因它的稳定性、丰富的功能集、简单的配置文件和低系统资源的消耗而闻名。2011年6月1日，nginx1.0.4发布。Nginx是一款轻量级的Web服务... 查看详情
漏洞修复web服务器http设置漏洞(代码片段)
...公开默认的nginxHTTP服务器设置Web服务器错误页面信息泄露修复方案服务验证Web服务器HTTP设置漏洞Web服务器HTTP头信息公开远程Web服务器发送的HTTP标头公开了可以帮助攻击者的信息，例如Web服务器使用的服务器版本和语言。默... 查看详情
cve-2020-27986(sonarqube敏感信息泄漏)漏洞修复(代码片段)
一、漏洞修复说明针对sonarqube的漏洞CVE-2020-27986修复方案。SonarQube8.4.2.36762允许远程攻击者通过api/settings/valuesURI发现明文SMTP、SVN和GitLab凭据。注意：据报道，供应商对SMTP和SVN的立场是“配置它是管理员的责任”。该漏洞... 查看详情