Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Легко эксплуатируемая DoS-уязвимость в HTTP-сервере Apache, opennews (??), 24-Авг-11, (0) [смотреть все] Какая прелесть 3, Аноним (-), 22:03 , 24-Авг-11, (1) +6 У меня на apache-1 3 42 говорит Host does not seem vulnerable , Сергей (??), 22:15 , 24-Авг-11, (2) +1 // Да, твой апач безусловно важен, но тут по близости ещё пара десятков миллионов а, Mikk (??), 22:28 , 24-Авг-11, (3) +7 Этот особо-раритетный апач и так легко DoSится запуском ab2 siege http_load зажа, Аноним (-), 14:23 , 25-Авг-11, (61) +1 // косясь на 1 3 за nginx Кто ж вам даст-то 200 коннекшенов прямо к бэкенду , Michael Shigorin (ok), 10:15 , 29-Авг-11, (116) // Во-во, костыль подставили - и вроде уже и не инвалид Вы б еще кеш на нжинксе, Аноним (-), 17:03 , 05-Сен-11, (121) Это смотря какой и что за ним дальше болтается думаю, у меня апач -- не самое, Michael Shigorin (ok), 18:47 , 05-Сен-11, (122) Тем не менее, любителей уронить вывешенный напрямую апач в интернете навалом , Аноним (-), 19:38 , 23-Сен-11, (124) nginx наше фсио, Аноним (-), 22:32 , 24-Авг-11, (4) +1 // Nginx не поможет, если он в роли фронтенда Проткстировал на куче своих хостов -, ALHSLeo (ok), 22:40 , 24-Авг-11, (5) +2 // Да уж, тут должен доктор помогать А чем он плох как бэкэнд с fastcgi например , Аноним (-), 04:01 , 25-Авг-11, (37) // Высокая производительность nginx даром не даётся из-за особенностей его архитек, Andrew Kolchoogin (?), 13:14 , 25-Авг-11, (58) +1 На самом деле, эмулировать htaccess в nginx достаточно легко Как правило спец, uldus (ok), 14:24 , 25-Авг-11, (62) Вот это костыли так костыли у меня 5млн дирректорий, где могут работать ht, Аноним (-), 15:00 , 25-Авг-11, (64) Если у вас 5 млн директорий, то хостинг крупный и от ещё одной машинки от вас н, brzm (?), 17:31 , 25-Авг-11, (74) Да нет, такое можно наблюдать даже у одного достаточно крупного сайта, на одной , Аноним (-), 20:20 , 25-Авг-11, (81) Действительно, на htaccess много лишнего IO делается Поэтому маздай , Аноним (-), 19:47 , 26-Авг-11, (104) Костыли - это в Apache, который на каждый запрос проверяет наличие htaccess во , uldus (ok), 19:37 , 25-Авг-11, (77) Апач позволяет выбрать то, что нужно вам, а не пользоваться тем, что есть и не и, Аноним (-), 20:16 , 25-Авг-11, (80) А вы адресок апача то своего опубликуйте, чтобы окружаюшие могли посмотреть и ОЦ, Аноним (-), 18:56 , 26-Авг-11, (98) Вот это я понимаю, костыли так костыли При том что 5 млн дир и так не подарок, , Аноним (-), 19:08 , 26-Авг-11, (102) Куда и дорога, пожалуй Довольно дурное изобретение человечества А эти обществе, Аноним (-), 14:30 , 25-Авг-11, (63) +1 Шаред хостинг серьезные конторы Где подвох , klalafuda (?), 20:16 , 25-Авг-11, (79) +2 В идиотах-менеджерах, вероятно , Аноним (-), 18:59 , 26-Авг-11, (99) +1 Кстати да, если статику отдаёт nginx или другой сервер, то получится эксплуатиро, TiGR (?), 22:46 , 24-Авг-11, (6) // Получится, у меня таким образом и построено - нгинкс фронтенд статика, за ним ап, ALHSLeo (ok), 22:48 , 24-Авг-11, (7) +2 // а зачем апачи отдают сжатую динамику жмите в nginx , zm_michael (?), 23:08 , 24-Авг-11, (10) Не всегда получается отдавать обрабатывать через нгинкс, некоторая часть хосто, ALHSLeo (ok), 23:18 , 24-Авг-11, (12) Тем хуже для вас Капитан , Аноним (-), 19:48 , 26-Авг-11, (105) Кто-нибудь знает, почему так , umbr (ok), 23:05 , 24-Авг-11, (9) –2 // header which requests as manydifferent bytes as possible from a file served by h, Аноним (-), 23:11 , 24-Авг-11, (11)   // Т е проблема решается последовательной а не параллельной, как сейчас обработк, umbr (ok), 23:27 , 24-Авг-11, (13)   // Апачевцы решили эту проблему блестяще - ограничили количество чанков десятью , Аноним (-), 00:14 , 25-Авг-11, (15)   Главное 8212 завалить, а там запинаем с , umbr (ok), 00:26 , 25-Авг-11, (16) +6   Это было понятно еще когда они только начали делать бэкэнды с форками на каждого, Аноним (-), 03:21 , 25-Авг-11, (26) У меня Apache 2 2 17 с Линусовским ядром 3 0 3, ubuntu 11 04 сработало bash -, Евгений (??), 03:57 , 25-Авг-11, (34) –2 // У меня Apache 2 2 3 c Линуксовым ядром 2 6 18, centos, нет даже лимитс root 801, Аноним (-), 10:16 , 25-Авг-11, (45) // потому что ulimit , Аноним (-), 17:31 , 25-Авг-11, (73) –1 Интересно, когда появится апдейт в репах centos , Аноним (41), 07:47 , 25-Авг-11, (41) протестировал у себя на серверахвезде выдалоHost does not seem vulnerable может , HappyAlex (ok), 08:40 , 25-Авг-11, (42) // Partial не выдают в заголовках См эксплойт внутри, stimpack (?), 11:06 , 25-Авг-11, (50) When using a third party attack tool to verify vulnerability - know that most of, Аноним (-), 11:21 , 25-Авг-11, (51) +1 По-моему, DDoS Апача через исчерпание им всей памяти особой подготовки и специал, Bocha (??), 11:04 , 25-Авг-11, (47) +2 // А это зависит от того за кого вы болеете - за администратора или за атакующего , Аноним (-), 15:43 , 25-Авг-11, (68) +1 ограничить лимиты юзера под которым работает апач , Ващенаглухо (ok), 11:05 , 25-Авг-11, (48) в эксплойте ошибка на 74й строке if ARGV 1 надо if ARGV 0 а еще пр, stimpack (?), 11:05 , 25-Авг-11, (49) +3 // Да там даже шебанга нет, и так все понятно , Аноним (-), 13:51 , 25-Авг-11, (60) попробуйте на статике использоватьcurl -I -H Range bytes 0-1,0-2 -s mysite co, Аноним (52), 11:46 , 25-Авг-11, (52) Кто-нибудь воспроизвел Я пытался и на статике и на динамике и на голом апаче и н, Аноним (-), 12:09 , 25-Авг-11, (53) –1 // vrt kz - пример , stimpack (?), 12:16 , 25-Авг-11, (54) // Его похоже положили серьезно Как вообще должен сервак отвечать должен ли зад, Аноним (-), 12:26 , 25-Авг-11, (55) –3 // думаю, так быстро-быстро-быстро, опа, память кончилась , stimpack (?), 12:46 , 25-Авг-11, (56) У сервера заканчивается свободная память, потом и своп, а потом возможны вариант, Аноним (-), 16:00 , 25-Авг-11, (69) Во сколько потоков не запускаю - не вижу этого, хоть убейте , Аноним (-), 17:14 , 25-Авг-11, (72) Там ошибка не только в 74 строке, тут скрипт справленhttp paste org ru v4he2b, Аноним (52), 12:52 , 25-Авг-11, (57) если у кого остался апач версии 1 3, то пробелы нужно прописывать вот так Rewrit, igorya (?), 13:21 , 25-Авг-11, (59) +2 Для nginx-фронтенда можно сделать так В глобальную секцию http или server пишем, sergey (??), 16:04 , 25-Авг-11, (70) +3 Печально даже www apache org реагирует на эту атаку , CrOrc (?), 18:08 , 25-Авг-11, (75) // That s what should be called EPIC fail , Аноним (-), 19:03 , 26-Авг-11, (100) Скрипт не дает выбрать конкретный урл на файл Кто в теме подскажите , Аноним (52), 18:24 , 25-Авг-11, (76) // чего , Аноним (-), 20:09 , 25-Авг-11, (78) Выше изложенные варианты через mod_rewrite убоги Вот вариант блокирующие более 4, DiXaS (?), 00:57 , 26-Авг-11, (83) // Чем второй вариант не угодил , Аноним (-), 03:04 , 26-Авг-11, (84) // Тем что укажи пробел, или убери символ и все - защита не работает , DiXaS (?), 11:50 , 26-Авг-11, (87) // Второй из представленных в новости вариантов защищает от таких ситуаций не хуже , Аноним (-), 13:59 , 26-Авг-11, (91) Вчера по нехватки времени вставлял шаблоны региксов и уже не помню какой и где ч, DiXaS (?), 15:56 , 26-Авг-11, (97) Вот что-то нахерачил на баше seq 2 100 124 xargs -I _ sh -c echo -n , _, Анон (?), 08:30 , 26-Авг-11, (85) usr bin perl use IO Socket use Parallel ForkManager sub usage print Apach, kulibin (?), 11:06 , 26-Авг-11, (86) Серьёзно Повезло, что нигде у себя в конторе не нашёл сервера, где эта атака ср, Xaionaro (ok), 13:28 , 26-Авг-11, (89) // Учтя что оно работает даже на сайте опача здесь что-то не так Может быть, , Аноним (-), 19:05 , 26-Авг-11, (101) // Нет, у нас почти везде есть какой-то front-end, слишком большие нагрузки , Xaionaro (ok), 19:13 , 27-Авг-11, (111) Врут Не вижу никаких проблем с apache 1 3 x vs apache2 с выключенным gzip Тести, fossil (?), 14:13 , 26-Авг-11, (92) // Да, я у себя тоже нашёл сервак с apache 1 3 41 из портов FreeBSD , проверил, не, Xaionaro (ok), 14:20 , 26-Авг-11, (93) // Вероятно плохо проверял, надо на статике проверять 2 2 16 из репозитория Debian, fossil (?), 14:26 , 26-Авг-11, (95) // Ну, мне лень разбираться почему не сработало Но насколько я помню, там gzip в a, Xaionaro (ok), 14:42 , 26-Авг-11, (96) И на этом основании делаются выводы о том что атака не работает Весьма блондини, Аноним (-), 19:10 , 26-Авг-11, (103) Я ж сказал, т е да, эксперимент некорректен, извиняюсь Притом даже пояснил ч, Xaionaro (ok), 20:58 , 26-Авг-11, (106) Давай, делись адресочком своих серверов, а мы уже как нить да и посмотрим , Вася Пупкин (?), 03:34 , 27-Авг-11, (107) Да я бы с радостью Но у меня выработана некоторая корпоративная этика И если, Xaionaro (ok), 15:51 , 27-Авг-11, (108) Если Ваша защита базируется на незнании версий ПО заинтересованной стороной, то , Вася Пупкин (?), 18:42 , 27-Авг-11, (109) Я что-то не понял, я разве сказал, что защита на этом базируется Это одна из ме, Xaionaro (ok), 19:13 , 27-Авг-11, (110) Если Вы делаете такие выводы, то грош цена как раз им Ой, вот только не надо про, Michael Shigorin (ok), 10:31 , 29-Авг-11, (118) +1 У этого наивного чукотского юноши адресок с серверами кажется прямо в профайле у, Аноним (-), 17:14 , 28-Авг-11, (114) Я ещё раз повторяю предыдущие такое же замечание было удалено модераторами Я , Xaionaro (ok), 21:51 , 28-Авг-11, (115) +1 У меня такое ощущение уже несколько лет, что какие-то к колхозники из числа б, Michael Shigorin (ok), 10:29 , 29-Авг-11, (117) // 100 У меня до сих пор почти везде 1 3 x Но, к сожалению, закапывают они довол, fossil (?), 12:03 , 29-Авг-11, (120) У меня такая проблема При использовании SetEnvIf для Apache 2 0 и 2 2 выдает he, Аноним (-), 11:53 , 29-Авг-11, (119) // заменить на RequestHeader set Range badrange env bad-range, a (??), 17:18 , 06-Сен-11, (123) 1,2,4,9,34,41,42,47,48,49,52,53,57,59,70,75,76,83,85,86,89,92,119

Сообщения

[Сортировка по времени | RSS]

	11. "Легко эксплуатируемая DoS-уязвимость в HTTP-сервере Apache"	+/–
	Сообщение от Аноним (-), 24-Авг-11, 23:11
	header which requests as many different bytes as possible from a file served by httpd. Combining this with a gzip "Accept-Encoding" header the httpd is assumed to compress each of the bytes requested in the Range header seperately consuming large memory regions. The behaviour when compressing the streams is devestating and can end up in rendering the underlying operating system unusable when the requests are sent parallely. Symptomps are swapping to disk and killing of processes including but not solely httpd processes. Запрос (в котором заказано сжатие) приходит на отдельные байты (на десятки тысяч байтов), и каждый байт начинает сжиматься отдельно. Запуск десятков тысяч экземпляров упаковщиков (в смысле вызов gz_* функций из libz) и подготовка буферов для них (не удивлюсь, если буфер выделяется с нехилым запасом) приводят к потреблению большого количества памяти и/или созданию большого количества временных файлов.
	Ответить | Правка | Наверх | Cообщить модератору

	13. "Легко эксплуатируемая DoS-уязвимость в HTTP-сервере Apache"	+/–
	Сообщение от umbr (ok), 24-Авг-11, 23:27
	Т.е. проблема решается последовательной (а не параллельной, как сейчас) обработкой чанков?
	Ответить | Правка | Наверх | Cообщить модератору

	15. "Легко эксплуатируемая DoS-уязвимость в HTTP-сервере Apache"	+/–
	Сообщение от Аноним (-), 25-Авг-11, 00:14
	> Т.е. проблема решается последовательной (а не параллельной, как сейчас) обработкой чанков? Апачевцы решили эту проблему блестяще - ограничили количество чанков десятью.
	Ответить | Правка | Наверх | Cообщить модератору

	16. "Легко эксплуатируемая DoS-уязвимость в HTTP-сервере Apache"	+6 +/–
	Сообщение от umbr (ok), 25-Авг-11, 00:26
	"Главное — завалить, а там запинаем." (с) :)
	Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема