Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Уязвимость в протоколе HTTP/2, применённая в крупнейшей DDoS-атаке, opennews (??), 10-Окт-23, (0) [смотреть все] Исправление для CVE-2023-44487 было объединено golang go 63417И выпущен Go 1, Аноним (1), 23:46 , 10-Окт-23, (1) –7 // Зато фаны рекламившие caddy относительно nginx сейчас познают ярость Xel Naga , Аноним (-), 09:12 , 11-Окт-23, (31) А как такое может быть Ошибка к примеру в grpc-go и golang , test (??), 11:51 , 11-Окт-23, (77) шах и мат растофилы s, Аноним (3), 23:57 , 10-Окт-23, (3) +5 // может растофобы или ты из тех, кто считает что позитивный тест на зппп это хоро, Аноним (4), 00:02 , 11-Окт-23, (4) +7 // Ты это что же, на раст быковать смеешь Раст безопасный ЯП, защищает носителя от, Аноним (52), 10:13 , 11-Окт-23, (52) +3 Причем здесь это Атака есть вариация на тему DDOS с учетом особенностей протоко, Kuromi (ok), 00:07 , 11-Окт-23, (5) +1 // Да, всё верно, Rust не причем Был бы 8220 причём 8221 не было бы и уязвимос, Аноним (9), 00:14 , 11-Окт-23, (9) // Потому что HTTP 2 придумали сишники, очевидно же , Аноним (33), 09:21 , 11-Окт-23, (33) +2 Ну как же Волшебная пилюля же От всего лечит, от всего спасает А когда не спа, Аноним2 (?), 03:40 , 11-Окт-23, (19) +2 // На самом деле, она не лечит, она увеличивает IQ for free Допустим, средний сиш, Аноним (33), 11:29 , 11-Окт-23, (71) –2 Блин, если у этих IQ 80 то какой же тогда у вон тех, с хомячком на логотипе, и п, Аноним (-), 18:57 , 11-Окт-23, (110) конечно не проявляется это же Rust детка , Аноним (9), 00:23 , 11-Окт-23, (10) –2 К чести сказать, уязвимые версии были Но эта проблема была закрыта ещё в апреле, НяшМяш (ok), 03:59 , 11-Окт-23, (21) +7 // Искали соринку в расте и нашли точно такую же как везде Всё остальное - попытка, Аноним (90), 13:43 , 11-Окт-23, (90) –1 Тем временем, в angie пока никаких изменений https github com webserver-llc an, Аноним (7), 00:11 , 11-Окт-23, (7) // Ой, да ладно тебе На время посмотри Вот проснуться и сразу черрипикнут фикс , Анонин (?), 09:07 , 11-Окт-23, (29) +2 Ну, Дунин же сказалСоответственно, и про angie - тоже FUD , Аноним (33), 09:27 , 11-Окт-23, (35) дооптимизировались Ну ничего, ничего - это еще http 3 никто даже толком и не ко, пох. (?), 00:11 , 11-Окт-23, (8) –1 // Ну так в том же Апаче сколько раз находили серьезные, а то и жуткие дыры в реали, Kuromi (ok), 02:57 , 11-Окт-23, (18) +4 // Ну это еще как сказать, периодически всплывают новые креативные атаки Если инте, Аноним (-), 10:39 , 11-Окт-23, (56) +1 // Особенно если использовать зоопарк смузиподелок, потому что общепринятые сервер, Аноним (90), 13:46 , 11-Окт-23, (91) Ну да У более-менее попсовых серверов - вытоптанность поляны выше среднего, им , Аноним (-), 18:58 , 11-Окт-23, (111) Да ты не боись, в HTTP 1 1 пайплайнинг есть, а slowloris у так то и без него даж, Аноним (-), 09:15 , 11-Окт-23, (32) // IfModule mod_reqtimeout c RequestReadTimeout header 20-40,MinRate 500 body 2, Аноним (33), 09:33 , 11-Окт-23, (36) // Ну да, ну да, вы можете попытаться закостылить А атакующий - подобрать параметр, Аноним (-), 10:02 , 11-Окт-23, (43) +2 Неа 2-3 секунды на отправку запроса - более чем достаточно для любого клиента , Аноним (33), 10:04 , 11-Окт-23, (48) –1 В случае slowloris идея - жрать ресурсы сервака как можно дольше и масштабнее с , Аноним (57), 10:44 , 11-Окт-23, (57) Вот только slow lori тут не при чем Оно работает за счет того, что медленные за, Аноним (33), 11:22 , 11-Окт-23, (69) Таймауты в несколько секунд сами по себе - факапнут и загрузку легитимных файлов, Аноним (-), 16:13 , 11-Окт-23, (105) лол кек, опять кино про море, я вот только одно не понял, в nginx limit_req не о, Sw00p aka Jerom (?), 10:27 , 11-Окт-23, (54) // ограничивает, они даже радостно написали об этом в своем вывсеврети отклике на э, пох. (?), 23:22 , 11-Окт-23, (128) // https trac nginx org nginx ticket 2155 comment 11, Alex_K (??), 19:22 , 13-Окт-23, (145) +1 солидарен, пох , crypt (ok), 12:49 , 11-Окт-23, (82) Так вот почему ютуб сегодня такой дохлый , Аноним (11), 00:27 , 11-Окт-23, (11) Google-комбо - пиарить HTTP 3 и хейтить HTTP 2 на, так сказать, натуре , Аноним (14), 01:45 , 11-Окт-23, (14) +1 // э http 3 просто еще пальчиком никто не поковырял Там будут тааакие ништяки, , пох. (?), 01:55 , 11-Окт-23, (15) +2 // Mail ru ковырял Так и есть Там по дефолту никто не знает как защититься от ддо, Аноним2 (?), 04:18 , 11-Окт-23, (23) +2 Ну тогда пиара HTTP 1 x в этих ваших интернетах было просто немеряно Это воо, Аноним (52), 10:09 , 11-Окт-23, (50) Для Netty выпущен фикс https netty io news 2023 10 10 4-1-100-Final htmlСтранн, Golangdev (?), 02:20 , 11-Окт-23, (17) // У него поддержка TLS без которого HTTP 2 нормально не работает, потому что нуже, Аноним (33), 09:25 , 11-Окт-23, (34) Что это за Shitty который без клаудспайвари сайт за клаудспайварой даже серви, Аноним (52), 10:11 , 11-Окт-23, (51) –1 http 2 неудачный протокол как и всё что работает поверх типа gRPC , Вас (?), 07:43 , 11-Окт-23, (26) –2   // http неудачный протокол, хорошо что хоть что-то пытаются с этим сделать, но попы, Аноньимъ (ok), 10:49 , 11-Окт-23, (60)   // Ну во первых это апгрейд с HTTP Чтобы начать конект по вебсокету - надо част, Аноним (106), 16:21 , 11-Окт-23, (106)   Пора вернуться к истокам , Аноним (28), 09:03 , 11-Окт-23, (28) +2 // Dial-up с FIDO Медиаконтент заказывать через BBS с доставкой на прокатной флешк, Аноним (30), 09:12 , 11-Окт-23, (30) // Флоппинет же, однако , Аноним (-), 09:59 , 11-Окт-23, (40) –1 По телетайпу , Аноним (58), 10:47 , 11-Окт-23, (58) Если серьезно, то вполне адекватный протокол вписывающийся в идеалогию suckless , Аноним (41), 10:00 , 11-Окт-23, (41) +4 В детстве я тоже ддосил форумы и чатики спрутом 128513 шантажировав админов, Аноним (41), 09:58 , 11-Окт-23, (38) –3 // Спасибо за чистосердечное , Polizei (?), 15:13 , 11-Окт-23, (99) +2 И ещё гордишься этим Тфу Оброс подворотни , Аноним (102), 15:28 , 11-Окт-23, (102) Смысл было атаковать Google Они же легко определят DDoS и проанализируют его С, Пряник (?), 10:00 , 11-Окт-23, (42) // Последние несколько лет идут разные сообщения о том, что уровень технической кул, Аноньимъ (ok), 10:52 , 11-Окт-23, (61) // Неизбежный процесс для любой крупной корпорации - мотивированные люди вытесняютс, Аноним (33), 11:25 , 11-Окт-23, (70) +3 // Возможно поэтому стала популярна культура кикстарта - сначала докажи, что ты нуж, Пряник (?), 12:50 , 11-Окт-23, (83) Корпорация и СССР, например, устроены очень похоже Старинный боян, давнишнее на, Аноним (88), 13:26 , 11-Окт-23, (88) Верное наблюдение И там и там применяют технологию баптизма Лозунги транспа, Аноньимъ (ok), 14:49 , 11-Окт-23, (98) Идеальная корпоративная культура в банках Ошибка разработчикам известна Возможно, Аноним (101), 15:27 , 11-Окт-23, (101) Это ещё не худший банк В одном жёлтом, например, несколько лет назад каждое движ, Аноним (33), 19:44 , 11-Окт-23, (116) Тем не менее, крупным коропорациям, у которых много денег, эта культура никак не, Аноним (33), 14:25 , 11-Окт-23, (92) А кто сказал что жирнокорп не может деградировать и даже развалиться по модели р, Аноним (-), 19:05 , 11-Окт-23, (112) Как раз в соседней новости про curl обсуждали, что из редхата сваливают мейнте, Аноним (33), 23:19 , 11-Окт-23, (126) Ну так это ж не весь IBM со всеми его закоулками, а локальные траблы конкретного, Аноним (-), 20:46 , 12-Окт-23, (136) Вы чего-то в больших корпорациях не понимаете , Аноньимъ (ok), 16:21 , 13-Окт-23, (141) Я в этих корпорациях еще и был В отличие от вас Но вы можете мне мастеркласс п, Аноним (-), 21:15 , 13-Окт-23, (147) Ну так наняли питоняш всяких, которым сложно более пары часов в день быть эффект, Аноним (106), 16:24 , 11-Окт-23, (107) // Питончик, игогоша, растишка, сишка абстракции на абстракциях сидят и абстракц, Аноним (33), 23:04 , 11-Окт-23, (124) Да вон они, колибру переписывают с 32 битов на 64 как раз Уже и C-- какой-то, Аноним (-), 20:50 , 12-Окт-23, (137) Ну что же, давай посмотрим, насколько всё грустно По данным Yahoo Finance, за , Менеджер Антона Алексеевича (?), 22:45 , 12-Окт-23, (138) // Вы за меня не переживайте, я не грущу Эта фраза не то означает, это оборот тако, Аноньимъ (ok), 23:43 , 12-Окт-23, (139) И не будет коррелировать Как и вообще что либо реальное Смотря что у вас за би, Аноньимъ (ok), 23:59 , 12-Окт-23, (140) Не нужно елозить У любого бизнеса основная цель ровно одна извлечение прибыли , Менеджер Антона Алексеевича (?), 16:57 , 13-Окт-23, (142) То как оно офрмлено, и то чем оно является на самом деле - разные вещи Не говоря, Аноньимъ (ok), 17:57 , 13-Окт-23, (143) Бывает и такое да Обычно это банальный tax fraud Результат соответствующий Отн, Менеджер Антона Алексеевича (?), 18:20 , 13-Окт-23, (144) Activision например Отличный результат От налогов их освобождает правительство, Аноньимъ (ok), 20:44 , 13-Окт-23, (146) Смотрим в официальный финансовый отчёт Activision Blizzard Income tax expense 15, Менеджер Антона Алексеевича (?), 21:36 , 13-Окт-23, (149) –1 Вы чего Тут ту ру Это 99 денег в США у малого бизнеса И там половина чего кого, Аноньимъ (ok), 01:41 , 14-Окт-23, (151) А вон там Майкрософт как раз попался на этом самом Всего ничего - 30 миллиардов, Аноним (-), 21:19 , 13-Окт-23, (148) Ну так и в чём проблема-то Попался, получил по рукам, больше так не будет, буде, Менеджер Антона Алексеевича (?), 22:33 , 13-Окт-23, (150) Смысл вообще принимать запросов больше, чем можешь обработать Хотя никто даже н, Пряник (?), 10:03 , 11-Окт-23, (46) // ну, по идеи, клиентов не терять - в очередь их ставить, а не к конкурентам отпра, Аноним (-), 10:24 , 11-Окт-23, (53) О, вы не понимаете, дев ляп и в продакшен, должно работать ещё вчера, а вы тут ч, Аноньимъ (ok), 11:02 , 11-Окт-23, (62) –1 // Не не не, такой трафик в первую очередь влез в физический канал, объём которого , Пряник (?), 12:43 , 11-Окт-23, (79) // То им забили канал Так чтобы его забить вроде ненужно на принимающей стороне во, Аноньимъ (ok), 14:34 , 11-Окт-23, (96) Сервера подвесили Просто, чтобы не подвесили можно было бы намеренно канал мень, Пряник (?), 16:04 , 11-Окт-23, (104) Что в первом серваки заняты , что во втором канал занят случае - ваши серваки, Аноним (33), 19:39 , 11-Окт-23, (115) И да, фаервол ненужен, это опять таки админу платить, у нас нет таких денег Д, Аноньимъ (ok), 11:05 , 11-Окт-23, (64) –1 // Все это замечательно, хотя между строчек и читается обидка, что заклятые девляпс, Аноним (33), 11:42 , 11-Окт-23, (74) // Девляпсы - вовремя адаптировавшиеся к прогрессу админы из подвальчиков Сейчас сл, Аноним (88), 13:22 , 11-Окт-23, (87) То есть, они имеют более развитый интеллект, чем те, которые не адаптировались , Аноним (33), 14:27 , 11-Окт-23, (93) +2 Страшная правда заключается в том Вообще странно, вроде базовая штука, файрвол, Аноньимъ (ok), 14:29 , 11-Окт-23, (94) Посчитать TCP-соединения можно Посчитать HTTP 2-стримы - нельзя И PPS к этому не, Аноним (33), 19:37 , 11-Окт-23, (114) Чё Вы о чём вообще Http2 работает поверх TCP Один юзер это одно тср соединени, Аноньимъ (ok), 21:14 , 11-Окт-23, (117) На которое можно аллоцировать миллиарды стримов, у каждого из которых будут свои, Аноним (33), 23:15 , 11-Окт-23, (125) потому что это не ошибка а стандарт http2 так написан , пох. (?), 11:00 , 12-Окт-23, (131) Да вот говорят, пришел Anna Senpai к Креббсу - и оказалось что не так уж тот Бэт, Аноним (-), 23:01 , 11-Окт-23, (123) +1 Отдавать задачи на аутсорс - нормальная практика У фирм часто нет ни админов, н, Пряник (?), 12:45 , 11-Окт-23, (80) // Так как разбираться в чужом коде без качественной документации и консультаций от, Аноним (33), 12:49 , 11-Окт-23, (81) +1 Вообще - да Но Походу сейчас идёт расслоение водителей кобыл на малочисленных и, Аноним (88), 13:20 , 11-Окт-23, (86) Чтобы наладить IT-компоненты типового бизнеса который что-то заказывает, получа, Аноним (33), 14:33 , 11-Окт-23, (95) Ну такое, если вы мелкий продавец рогов и копыт, и вам нужен сайт визитка или не, Аноньимъ (ok), 14:42 , 11-Окт-23, (97) менеджер Программист - нинюна , пох. (?), 11:02 , 12-Окт-23, (132) я вот не особо понимаю, а какой практический смысл в дидосе, объективно если - ш, Аноним (-), 10:27 , 11-Окт-23, (55) // есть же дети, которым надо в твиттере написать tango down, дауны епта, Sw00p aka Jerom (?), 11:06 , 11-Окт-23, (65) // Меня в бородатые времена как-то в жаббере ддосить они весёлый парень решил видим, Аноньимъ (ok), 11:13 , 11-Окт-23, (67) // это же бизинессс, видать демо атака стресс тест была, а гугл завалить можно , Sw00p aka Jerom (?), 11:51 , 11-Окт-23, (76) Да, примерно год назад было популярно , Аноним (11), 15:35 , 11-Окт-23, (103) А я как-то видел как спамбот в жаба-конфу забрел Это совсем задник - он стал га, Аноним (106), 16:29 , 11-Окт-23, (108) +1 Да, жабер забавная ерунда, внебрачный сын smtp и icq С парсерами хмл имел не так, Аноньимъ (ok), 21:22 , 11-Окт-23, (118) Скорее, HTML-я какого, при том - безразмерного Кто вообще догадался до идее что, Аноним (-), 22:53 , 11-Окт-23, (120) Ну, причин может быть много Можно что-то скрыть А можно уронить или поднять чьи-, Аноньимъ (ok), 11:09 , 11-Окт-23, (66) // ну да, все результаты - моментные, Аноним (-), 19:48 , 12-Окт-23, (134) Бизнес нередко делают _частично_ закладываясь, что будет лучше, чем окажется на , Аноним (88), 13:10 , 11-Окт-23, (85) +1 Зиродей и небольшое количество ботов не вызывают удивления Похоже, что малой ча, Аноним (100), 15:22 , 11-Окт-23, (100) если ты гугль или еще кто там с бесконечной деньгой или бесконечными ресурсами, , пох. (?), 23:40 , 11-Окт-23, (130) // ну, теоритически - дану если, к примеру, открыть онлайн-магаз, конкурент там озо, Аноним (-), 19:52 , 12-Окт-23, (135) я тут из софта вижу только nginx, остальное - хистомусор маленьким хипсторами н, 12yoexpert (ok), 11:04 , 11-Окт-23, (63) –1 // nginx тоже хипстота на смузях, труЪ одмины используют опач , Аноним (33), 11:18 , 11-Окт-23, (68) –1 // он жив , Иваня (?), 11:41 , 11-Окт-23, (73) +2 // Живой проект - это хипсторский термин, означающий полуфабрикат, нуждающийся в , Аноним (33), 12:36 , 11-Окт-23, (78) И по достижении второго пункта отбираются в Debian или RHEL Да , Аноним (88), 13:04 , 11-Окт-23, (84) И через какое время после EOL с вашей точки зрения проект становится production , Котофалк (?), 18:02 , 11-Окт-23, (109) А вот как погрузят тебя на котофалк - так ты и production ready для вон тех ворк, Аноним (-), 19:16 , 11-Окт-23, (113) тук-тук, не пригласите ли войти в ваш уютный домик С удовольствием поспорю с ва, пох. (?), 23:35 , 11-Окт-23, (129) А фиг его знает, EoL или не EoL, по факту понятно только что EoS , Tron is Whistling (?), 14:40 , 12-Окт-23, (133) Проблема ожидаема, Аноним (75), 11:51 , 11-Окт-23, (75) TCP 3-way и x-RTT лишнее, говорили они Ну, расхлёбывайте теперь Наверняка далек, Tron is Whistling (?), 22:49 , 11-Окт-23, (119) // Слышь, эксперт, сабж так то поверх TCP работает , Аноним (-), 22:55 , 11-Окт-23, (121) // Я не про сабж, а про оверол психолохию HTTP 3 ещё хуже, просто пока на стадии Дж, Tron is Whistling (?), 22:59 , 11-Окт-23, (122) И да, сколько TCP 3-way сабж делает на вот данное число сеансов , Tron is Whistling (?), 23:19 , 11-Окт-23, (127) Скрыто модератором, Google (?), 18:03 , 16-Окт-23, (152) 1,3,7,8,11,14,17,26,28,38,42,46,55,63,75,119

Сообщения

[Сортировка по времени | RSS]

26. "Уязвимость в протоколе HTTP/2, задействованная в крупнейшей ..."	–2 +/–
Сообщение от Вас (?), 11-Окт-23, 07:43
http/2 неудачный протокол как и всё что работает поверх типа gRPC
Ответить | Правка | Наверх | Cообщить модератору

	60. "Уязвимость в протоколе HTTP/2, задействованная в крупнейшей ..."	+/–
	Сообщение от Аноньимъ (ok), 11-Окт-23, 10:49
	http неудачный протокол, хорошо что хоть что-то пытаются с этим сделать, но попытки в целом скорее забавляют. Вроде вебсокеты изобрели, вроде ничего так, но что там при коннекте происходит я не смотрел конечно.
	Ответить | Правка | Наверх | Cообщить модератору

	106. "Уязвимость в протоколе HTTP/2, задействованная в крупнейшей ..."	+/–
	Сообщение от Аноним (106), 11-Окт-23, 16:21
	> Вроде вебсокеты изобрели, вроде ничего так, но что там при коннекте происходит > я не смотрел конечно. Ну во первых это апгрейд с HTTP :). Чтобы начать конект по вебсокету - надо часть HTTP уметь. После того как прокатило, в принципе, там все что угодно, у него есть некий минимальный фрейминг и пара трюков чтобы нельзя было так нашару произвольный хост донимать как настоящим сокетом (иначе хомячками с браузерами досеры убьют все живое) - но дальше допущений минимум, примерно как с обычным сокетом. Во вторых, есть маленький нюанс. В силу упомянутого свойства, у клиента HTMLки + JS еще нету, чтобы коммуницировать по вебсокету то. И вебсокет НЕ для отгрузки файлов в чистом виде, это такой себе СОКЕТ. Конечно если HTML+JS у вас локально сохранен, или это какая-то апликуха вы можете и напрямую с websocket-сервером початиться. Но вот зайти на сайт сразу по вебсокету? Не, так не получится. В третьих, ws может в принципе быть инициирован как поверх HTTP1.x так и 2.x насколько я помню, но он таки опосля них работает и заменяет дальнейшее на HTTP -> кастомный протокол. Это однако не заменяет HTTP... как максимум замена или альтернатива XHR -> WebSocket может быть для ряда вещей более удачной идеей. Уповать на только ws без фалбэка на XHR для более тормозного но все ж IO - чревато, т.к. всякие корпы могут и зобанить сие на проксях, как раз потому что там произвольный протокол не особо поддающийся анализу потом и мало ли кто там что вытворит.
	Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема