1) 什么是慢速攻打
一说起慢速攻打，就要谈谈它的成名历史了。HTTP Post 慢速 DoS 攻打第一次在技术社区被正式披露是 2012 年的 OWASP 大会上，由 Wong Onn Chee 和 Tom Brennan 独特演示了应用这一技术攻打的威力。
这个攻打的基本原理如下：对任何一个凋谢了 HTTP 拜访的服务器 HTTP 服务器，先建设了一个连贯，指定一个比拟大的 content-length，而后以非常低的速度发包，比方 1 -10s 发一个字节，而后维持住这个连接不断开。如果客户端继续建设这样的连贯，那么服务器上可用的连贯将一点一点被占满，从而导致拒绝服务。
和 CC 攻打一样，只有 Web 服务器凋谢了 Web 服务，那么它就能够是一个靶子，HTTP 协定在接管到 request 之前是不对申请内容作校验的，所以即便你的 Web 利用没有可用的 form 表单，这个攻打一样无效。
在客户端以单线程形式建设较大数量的无用连贯，并放弃继续发包的代价十分的低廉。理论试验中一台一般 PC 能够建设的连贯在 3000 个以上。这对一台一般的 Web server，将是致命的打击。更不用说联合肉鸡群做分布式 DoS 了。
鉴于此攻打简略的利用水平、拒绝服务的结果、带有逃逸个性的攻击方式，这类攻打一炮而红，成为泛滥攻击者的钻研和利用对象。
2) 慢速攻打的分类
倒退到明天，慢速攻打也多种多样，其品种可分为以下几种：
Slow headers：Web 利用在解决 HTTP 申请之前都要先接管完所有的 HTTP 头部，因为 HTTP 头部中蕴含了一些 Web 利用可能用到的重要的信息。攻击者利用这点，发动一个 HTTP 申请，始终不停的发送 HTTP 头部，耗费服务器的连贯和内存资源。抓包数据可见，攻打客户端与服务器建设 TCP 连贯后，每 30 秒才向服务器发送一个 HTTP 头部，而 Web 服务器再没接管到 2 个间断的 \r\n 时，会认为客户端没有发送完头部，而继续的等等客户端发送数据。
Slow body：攻击者发送一个 HTTP POST 申请，该申请的 Content-Length 头部值很大，使得 Web 服务器或代理认为客户端要发送很大的数据。服务器会放弃连贯筹备接收数据，但攻打客户端每次只发送很大量的数据，使该连贯始终放弃存活，耗费服务器的连贯和内存资源。抓包数据可见，攻打客户端与服务器建设 TCP 连贯后，发送了残缺的 HTTP 头部，POST 办法带有较大的 Content-Length，而后每 10s 发送一次随机的参数。服务器因为没有接管到相应 Content-Length 的 body，而继续的期待客户端发送数据。
Slow read：客户端与服务器建设连贯并发送了一个 HTTP 申请，客户端发送残缺的申请给服务器端，而后始终放弃这个连贯，以很低的速度读取 Response，比方很长一段时间客户端不读取任何数据，通过发送 Zero Window 到服务器，让服务器误以为客户端很忙，直到连贯快超时前才读取一个字节，以耗费服务器的连贯和内存资源。抓包数据可见，客户端把数据发给服务器后，服务器发送响应时，收到了客户端的 ZeroWindow 提醒（示意本人没有缓冲区用于接收数据），服务器不得不继续的向客户端收回 ZeroWindowProbe 包，询问客户端是否能够接收数据。
应用较多的慢速攻打工具有：Slowhttptest 和 Slowloris。
3) 哪些服务器易被慢速攻打
慢速攻打次要利用的是 thread-based 架构的服务器的个性，这种服务器会为每个新连贯关上一个线程，它会期待接管残缺个 HTTP 头部才会开释连贯。比方 Apache 会有一个超时工夫来期待这种不齐全连贯（默认是 300s），然而一旦接管到客户端发来的数据，这个超时工夫会被重置。正是因为这样，攻击者能够很容易放弃住一个连贯，因为攻击者只须要在行将超时之前发送一个字符，便能够缩短超时工夫。而客户端只须要很少的资源，便能够关上多个连贯，进而占用服务器很多的资源。
教训证，Apache、httpd 采纳 thread-based 架构，很容易蒙受慢速攻打。而另外一种 event-based 架构的服务器，比方 nginx 和 lighttpd 则不容易蒙受慢速攻打。
4) 如何防护慢速攻打
Apache 服务器当初应用较多的有三种简略防护形式。
mod_reqtimeout：Apache2.2.15 后，该模块曾经被默认蕴含，用户可配置从一个客户端接管 HTTP 头部和 HTTPbody 的超时工夫和最小速率。如果一个客户端不能在配置工夫内发送完头部或 body 数据，服务器会返回一个 408REQUEST TIME OUT 谬误。配置文件如下：
< IfModule mod_reqtimeout.c >RequestReadTimeout header=20-40,MinRate=500 body=20,MinRate=500
< /IfModule >
mod_qos：Apache 的一个服务质量管制模块，用户可配置各种不同粒度的 HTTP 申请阈值，配置文件如下：
< IfModule mod_qos.c >
/# handle connections from up to 100000 different IPsQS_ClientEntries 100000
/# allow only 50 connections per IPQS_SrvMaxConnPerIP 50
/# limit maximum number of active TCP connections limited to 256MaxClients 256
/# disables keep-alive when 180 (70%) TCP connections are occupiedQS_SrvMaxConnClose 180
/# minimum request/response speed (deny slow clients blocking the server, keeping connections open without requesting anythingQS_SrvMinDataRate 1501200
< /IfModule >
mod_security：一个开源的 WAF 模块，有专门针对慢速攻打防护的规定，配置如下：
SecRule RESPONSE_STATUS“@streq 408”“phase:5,t:none,nolog,pass, setvar:ip.slow_dos_counter=+1, expirevar:ip.slow_dos_counter=60, id:’1234123456′”
SecRule IP:SLOW_DOS_COUNTER“@gt 5”“phase:1,t:none,log,drop,
msg:’Client Connection Dropped due to high number of slow DoS alerts’, id:’1234123457′”
传统的流量荡涤设施针对 CC 攻打，次要通过阈值的形式来进行防护，某一个客户在肯定的周期内，申请拜访量过大，超过了阈值，荡涤设施通过返回验证码或者 JS 代码的形式。这种防护形式的根据是，攻击者们应用肉鸡上的 DDoS 工具模仿大量 http request，这种工具个别不会解析服务端返回数据，更不会解析 JS 之类的代码。因而当荡涤设施截获到 HTTP 申请时，返回一段非凡 java script 代码，失常用户的浏览器会解决并失常跳转不影响应用，而攻打程序会攻打到空处。
而对于慢速攻打来说，通过返回验证码或者 JS 代码的形式仍然能达到局部成果。然而依据慢速攻打的特色，能够辅助以下几种防护形式：
1、周期内统计报文数量。一个 TCP 连贯，HTTP 申请的报文中，报文过多或者报文过少都是有问题的，如果一个周期内报文数量非常少，那么它就可能是慢速攻打；如果一个周期内报文数量十分多，那么它就可能是一个 CC 攻打。
2、限度 HTTP 申请头的最大许可工夫。超过最大许可工夫，如果数据还没有传输实现，那么它就有可能是一个慢速攻打。
如果你不懂技术，可分割主机吧帮忙进攻，咱们业余进攻各类 CC 攻打，DDOS 攻打，安全可靠！