image

Oplossingen voor Apache HTTP DoS-tool

maandag 22 juni 2009, 11:32 door Redactie, 7 reacties

Het verschijnen van een programma waarmee het kinderlijk eenvoudig is om webservers plat te leggen, heeft voor de nodige beroering gezorgd, de meeste bedrijven zouden zich echter geen zorgen hoeven te maken. De publicatie zorgde voor boze reacties, die volgens sommigen niet terecht zijn. Ten eerste heeft Apache de publicatie goedgekeurd en lopen bedrijven met load balancers geen risico. Toch is niet iedereen het daarmee eens. "Als je weet hoeveel servers er Apache draaien, dan maakt dit deze tool zeer gevaarlijk, aangezien het geen enkele kennis van de aanvaller vereist. Het enige wat hij of zij moet doen is het draaien van de tool en de site gaat plat", zegt Bojan Zdrnja van het Internet Storm Center.

Hij adviseert bedrijven met een reverse proxy of load balancer om te controleren of ze daadwerkelijk kwetsbaar zijn of niet. Squid loopt namelijk ook risico. Voor webhosters en andere partijen die een "standalone" Apache webserver draaien zijn er andere oplossingen. De belangrijkste is in dit geval de "TimeOut Directive". Het bepaalt hoelang Apache wacht om een GET request te ontvangen, of hoe lang er op de pakketten tussen de POST requests wordt gewacht.

Een andere optie is het gebruik van een module zoals mod_limitipconn, die het aantal verbindingen van een IP-adres beperkt. Ook deze module heeft zo zijn nadelen, aangezien het ervoor kan zorgen dat legitieme bezoekers vanachter een proxy worden geweerd. "Dit is wat we min of meer op het moment hebben", besluit Zdrnja.

Reacties (7)
22-06-2009, 11:57 door toor
apache22 kent in freebsd de kernelmodule http://www.freebsd.org/cgi/man.cgi?query=accf_http. als je die laadt en apache herstart, heeft deze aanval geen enkel effect.
22-06-2009, 13:35 door toor
nog een mogelijke oplossing voor als er een ipfw firewall voor staat:

ipfw add allow tcp from any to me 80 setup limit src-addr 10

zo limit je het aantal connecties van een host tot 10.
22-06-2009, 13:45 door Anoniem
Door toor: nog een mogelijke oplossing voor als er een ipfw firewall voor staat:
ipfw add allow tcp from any to me 80 setup limit src-addr 10
zo limit je het aantal connecties van een host tot 10.

Dan heb je toch nog steeds het onderstaande probleem lijkt me. En mensen vanuit een bedrijf oid komen ook vanaf hetzelfde ip.
....die het aantal verbindingen van een IP-adres beperkt. Ook deze module heeft zo zijn nadelen, aangezien het ervoor kan zorgen dat legitieme bezoekers vanachter een proxy worden geweerd.
22-06-2009, 16:21 door Anoniem
Gelukkig draai ik IIS en niet dat onveilige Apache. Ben benieuwd hoe lang het nu weer duurt voordat dit gepatched wordt.
22-06-2009, 18:37 door spatieman
iis is in 5 minuten gepown3d :)
23-06-2009, 10:13 door Anoniem
"Gelukkig draai ik IIS en niet dat onveilige Apache."
Apache is niet onveilig, tot in tegenstelling van die troep waar nog altijd grote fouten in worden gevonden...

Als Apache zo onveilig is waarom maken dan zoveel mensen en bedrijven er gebruik van?
Het betreft hier niet de veilheid, maar stabiliteit en bereikbaarheid.

Leuk dat er wordt verwezen naar de TimeOut Directive.
Maar wat is dan een goede waarde?
En zelf denk ik dat dit ook niet alles oplost, aangezien deze slechts werkt voor langzame TCP verbindingen. Terwijl dit probleem zit in het fijt dat de verbinding open blijft en loze data blijft ontvangen.

OT: 300 seconden is 5 minuten, man dat is wel een heeel langzame verbinding dan.
23-06-2009, 10:37 door Anoniem
Wat een FUD weer over IIS of APache: beiden hebben hun gebreken en plus punten.
Daarnaast vind ik dit geen oplossingen aanbieden: een TimeOut wat gedeeltelijk werkt, of de mod_limitipconn die ook gedeeltelijk maar helpt.
Een reverse proxy zet je niet even zo voor + 200 webservers volgens mij daarnaast, wie gaat controleren of alles nog werkt nadat je alles veranderd hebt?
Eigenlijk is er geen simpele oplossing: alleen een reverse proxy of overstappen op een andere webserver.
Ik zou het het liefst zien in een patch of een fix die werkt voor alle Apaches.
Reageren

Deze posting is gelocked. Reageren is niet meer mogelijk.