Een beveiligingsonderzoeker heeft een nieuwe Denial of Service-aanval ontwikkeld waarmee webservers eenvoudig zijn plat te leggen. De Slow Read DoS verlengt de tijd die een client nodig heeft om de antwoorden van de webserver te lezen. "Stel je een fastfoodrestaurant voor dat twee soorten hamburgers aanbiedt, en een klant kan bij de kassa niet bepalen welke hij wil, waardoor de rest van de klanten achter hem ook moeten wachten", zegt onderzoeker Sergey Shekyan op het weblog van beveiligingsbedrijf Qualys.

"Stel je nu hetzelfde restaurant voor, maar met een bord dat vraagt om alvast na te denken wat men wil bestellen, wat voor een snellere doorstroom moet zorgen. Maar nu kiest de klant honderden hamburgers, betaalt, en de rij moet weer wachten, omdat hij maar vijf hamburgers per keer naar zijn auto kan meenemen, waardoor het bord ook niet werkt."

Het "hamburger scenario" was de inspiratie toen Shekyan de "slowhttptest tool" ontwikkelde. "Ik was nieuwsgierig hoe HTTP servers op een langzame reactie op hun antwoorden reageren." De Slow Read DoS is gebaseerd op eerder onderzoek dat door onderzoekers Robert Hansen en de inmiddels overleden Jack C. Louis werd gedaan. Die bouwden de Slowloris HTTP DoS tool en Sockstress om servers mee plat te leggen.

Aanval
In tegenstelling tot Slowloris, waardoor de HTTP requests worden vertraagd en de webserver uiteindelijk geen legitieme clients meer kan bedienen, vertraagt de Slow Read DoS de antwoorden van de webserver. "Het idee van de aanval die ik implementeerde is eenvoudig. Omzeil de policies die de traag beslissende klanten filteren, stuur een legitieme HTTP request en lees vervolgens zeer langzaam het antwoord, waarbij je zoveel verbindingen als mogelijk open houdt."

De tweede vereiste is het "send buffer" van de server een lange periode met andere gegevens gevuld te houden, waardoor de verbinding met de client blijft bestaan. Dit wordt gedaan door de mogelijkheid van de client om gegevens te ontvangen te verkleinen naar een waarde die kleiner is dan het send buffer van de server.

Volgens Shekyan zou de Slow Read Dos-aanval nog lastiger te detecteren zijn dan bijvoorbeeld Slowloris-aanvallen. De onderzoeker merkt tevens op dat Apache in de standaard configuratie kwetsbaar is.