HULK DoS-tool verplettert webservers
Een zelfbenoemde 'Nerd' en beveiligingsonderzoeker heeft een DoS-tool ontwikkeld om webservers mee plat te leggen. Volgens Barry Shteiman is het probleem met veel bestaande programma's die een Denial of Service (DoS) moeten veroorzaken, dat ze een voorspel patroon genereren. Daardoor is het mogelijk om een aanval te detecteren en af te slaan. Shteiman besloot voor onderzoeksdoeleinden zijn kennis van DoS-tools te gebruiken om de Http Unbearable Load King (HULK) te ontwikkelen.
Elke 'request' die HULK genereert en naar de webserver stuurt is uniek. Daardoor woorden 'caching engines' omzeild en krijgt de webserver de volle lading te verduren. "Mijn testserver met 4GB geheugen en Microsoft IIS7 was binnen een minuut door alle requests van één host platgelegd", aldus de onderzoeker.
THOR
Beveiligingsonderzoekers van Trustwave SpiderLabs stellen dat HULK vanwege de manier waarop het de requests ordent nog steeds te herkennen is. Daarom werd besloten om HULK tegen THOR te testen. THOR (Thumping Http Obvious Requests) is een ModSecurity rules profiel om herkenbare patronen van HULK te blokkeren. En dat blijkt goed te werken, want THOR weet HULK al na 10 requests te stoppen.
Helemaal interessant zou het zijn als je Hiawatha als WAF (Web Application Firewall) zou kunnen inzetten (zoals Apache met mod_security en de OWASP "Core Rule Set"). Bij SSL/TLS verkeer zal Hiawatha dat verkeer natuurlijk eerst moeten decrypten alvorens er gefilterd kan worden.
Zouden er ook echt productieservers draaien met selchts 4GB intern geheugen?
Als je een test doet, doe het dan goed.
Zeker wel. Voor een webserver met "normaal" verkeer is 4GB meer dan zat in de meeste gevallen. Behalve als je echt zware webapplicaties draait of zeer veel (concurrent) gebruikers hebt.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
