Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Легко эксплуатируемая DoS-уязвимость в HTTP-сервере Apache, opennews (??), 24-Авг-11, (0) [смотреть все] Какая прелесть 3, Аноним (-), 22:03 , 24-Авг-11, (1) +6 У меня на apache-1 3 42 говорит Host does not seem vulnerable , Сергей (??), 22:15 , 24-Авг-11, (2) +1 // Да, твой апач безусловно важен, но тут по близости ещё пара десятков миллионов а, Mikk (??), 22:28 , 24-Авг-11, (3) +7 Этот особо-раритетный апач и так легко DoSится запуском ab2 siege http_load зажа, Аноним (-), 14:23 , 25-Авг-11, (61) +1 // косясь на 1 3 за nginx Кто ж вам даст-то 200 коннекшенов прямо к бэкенду , Michael Shigorin (ok), 10:15 , 29-Авг-11, (116) // Во-во, костыль подставили - и вроде уже и не инвалид Вы б еще кеш на нжинксе, Аноним (-), 17:03 , 05-Сен-11, (121) Это смотря какой и что за ним дальше болтается думаю, у меня апач -- не самое, Michael Shigorin (ok), 18:47 , 05-Сен-11, (122) Тем не менее, любителей уронить вывешенный напрямую апач в интернете навалом , Аноним (-), 19:38 , 23-Сен-11, (124) nginx наше фсио, Аноним (-), 22:32 , 24-Авг-11, (4) +1 // Nginx не поможет, если он в роли фронтенда Проткстировал на куче своих хостов -, ALHSLeo (ok), 22:40 , 24-Авг-11, (5) +2   // Да уж, тут должен доктор помогать А чем он плох как бэкэнд с fastcgi например , Аноним (-), 04:01 , 25-Авг-11, (37)   // Высокая производительность nginx даром не даётся из-за особенностей его архитек, Andrew Kolchoogin (?), 13:14 , 25-Авг-11, (58) +1   На самом деле, эмулировать htaccess в nginx достаточно легко Как правило спец, uldus (ok), 14:24 , 25-Авг-11, (62)   Вот это костыли так костыли у меня 5млн дирректорий, где могут работать ht, Аноним (-), 15:00 , 25-Авг-11, (64)   Если у вас 5 млн директорий, то хостинг крупный и от ещё одной машинки от вас н, brzm (?), 17:31 , 25-Авг-11, (74)   Да нет, такое можно наблюдать даже у одного достаточно крупного сайта, на одной , Аноним (-), 20:20 , 25-Авг-11, (81)   Действительно, на htaccess много лишнего IO делается Поэтому маздай , Аноним (-), 19:47 , 26-Авг-11, (104)   Костыли - это в Apache, который на каждый запрос проверяет наличие htaccess во , uldus (ok), 19:37 , 25-Авг-11, (77)   Апач позволяет выбрать то, что нужно вам, а не пользоваться тем, что есть и не и, Аноним (-), 20:16 , 25-Авг-11, (80)   А вы адресок апача то своего опубликуйте, чтобы окружаюшие могли посмотреть и ОЦ, Аноним (-), 18:56 , 26-Авг-11, (98)   Вот это я понимаю, костыли так костыли При том что 5 млн дир и так не подарок, , Аноним (-), 19:08 , 26-Авг-11, (102)   Куда и дорога, пожалуй Довольно дурное изобретение человечества А эти обществе, Аноним (-), 14:30 , 25-Авг-11, (63) +1   Шаред хостинг серьезные конторы Где подвох , klalafuda (?), 20:16 , 25-Авг-11, (79) +2   В идиотах-менеджерах, вероятно , Аноним (-), 18:59 , 26-Авг-11, (99) +1   Кстати да, если статику отдаёт nginx или другой сервер, то получится эксплуатиро, TiGR (?), 22:46 , 24-Авг-11, (6) // Получится, у меня таким образом и построено - нгинкс фронтенд статика, за ним ап, ALHSLeo (ok), 22:48 , 24-Авг-11, (7) +2 // а зачем апачи отдают сжатую динамику жмите в nginx , zm_michael (?), 23:08 , 24-Авг-11, (10) Не всегда получается отдавать обрабатывать через нгинкс, некоторая часть хосто, ALHSLeo (ok), 23:18 , 24-Авг-11, (12) Тем хуже для вас Капитан , Аноним (-), 19:48 , 26-Авг-11, (105) Кто-нибудь знает, почему так , umbr (ok), 23:05 , 24-Авг-11, (9) –2 // header which requests as manydifferent bytes as possible from a file served by h, Аноним (-), 23:11 , 24-Авг-11, (11) // Т е проблема решается последовательной а не параллельной, как сейчас обработк, umbr (ok), 23:27 , 24-Авг-11, (13) // Апачевцы решили эту проблему блестяще - ограничили количество чанков десятью , Аноним (-), 00:14 , 25-Авг-11, (15) Главное 8212 завалить, а там запинаем с , umbr (ok), 00:26 , 25-Авг-11, (16) +6 Это было понятно еще когда они только начали делать бэкэнды с форками на каждого, Аноним (-), 03:21 , 25-Авг-11, (26) У меня Apache 2 2 17 с Линусовским ядром 3 0 3, ubuntu 11 04 сработало bash -, Евгений (??), 03:57 , 25-Авг-11, (34) –2 // У меня Apache 2 2 3 c Линуксовым ядром 2 6 18, centos, нет даже лимитс root 801, Аноним (-), 10:16 , 25-Авг-11, (45) // потому что ulimit , Аноним (-), 17:31 , 25-Авг-11, (73) –1 Интересно, когда появится апдейт в репах centos , Аноним (41), 07:47 , 25-Авг-11, (41) протестировал у себя на серверахвезде выдалоHost does not seem vulnerable может , HappyAlex (ok), 08:40 , 25-Авг-11, (42) // Partial не выдают в заголовках См эксплойт внутри, stimpack (?), 11:06 , 25-Авг-11, (50) When using a third party attack tool to verify vulnerability - know that most of, Аноним (-), 11:21 , 25-Авг-11, (51) +1 По-моему, DDoS Апача через исчерпание им всей памяти особой подготовки и специал, Bocha (??), 11:04 , 25-Авг-11, (47) +2 // А это зависит от того за кого вы болеете - за администратора или за атакующего , Аноним (-), 15:43 , 25-Авг-11, (68) +1 ограничить лимиты юзера под которым работает апач , Ващенаглухо (ok), 11:05 , 25-Авг-11, (48) в эксплойте ошибка на 74й строке if ARGV 1 надо if ARGV 0 а еще пр, stimpack (?), 11:05 , 25-Авг-11, (49) +3 // Да там даже шебанга нет, и так все понятно , Аноним (-), 13:51 , 25-Авг-11, (60) попробуйте на статике использоватьcurl -I -H Range bytes 0-1,0-2 -s mysite co, Аноним (52), 11:46 , 25-Авг-11, (52) Кто-нибудь воспроизвел Я пытался и на статике и на динамике и на голом апаче и н, Аноним (-), 12:09 , 25-Авг-11, (53) –1 // vrt kz - пример , stimpack (?), 12:16 , 25-Авг-11, (54) // Его похоже положили серьезно Как вообще должен сервак отвечать должен ли зад, Аноним (-), 12:26 , 25-Авг-11, (55) –3 // думаю, так быстро-быстро-быстро, опа, память кончилась , stimpack (?), 12:46 , 25-Авг-11, (56) У сервера заканчивается свободная память, потом и своп, а потом возможны вариант, Аноним (-), 16:00 , 25-Авг-11, (69) Во сколько потоков не запускаю - не вижу этого, хоть убейте , Аноним (-), 17:14 , 25-Авг-11, (72) Там ошибка не только в 74 строке, тут скрипт справленhttp paste org ru v4he2b, Аноним (52), 12:52 , 25-Авг-11, (57) если у кого остался апач версии 1 3, то пробелы нужно прописывать вот так Rewrit, igorya (?), 13:21 , 25-Авг-11, (59) +2 Для nginx-фронтенда можно сделать так В глобальную секцию http или server пишем, sergey (??), 16:04 , 25-Авг-11, (70) +3 Печально даже www apache org реагирует на эту атаку , CrOrc (?), 18:08 , 25-Авг-11, (75) // That s what should be called EPIC fail , Аноним (-), 19:03 , 26-Авг-11, (100) Скрипт не дает выбрать конкретный урл на файл Кто в теме подскажите , Аноним (52), 18:24 , 25-Авг-11, (76) // чего , Аноним (-), 20:09 , 25-Авг-11, (78) Выше изложенные варианты через mod_rewrite убоги Вот вариант блокирующие более 4, DiXaS (?), 00:57 , 26-Авг-11, (83) // Чем второй вариант не угодил , Аноним (-), 03:04 , 26-Авг-11, (84) // Тем что укажи пробел, или убери символ и все - защита не работает , DiXaS (?), 11:50 , 26-Авг-11, (87) // Второй из представленных в новости вариантов защищает от таких ситуаций не хуже , Аноним (-), 13:59 , 26-Авг-11, (91) Вчера по нехватки времени вставлял шаблоны региксов и уже не помню какой и где ч, DiXaS (?), 15:56 , 26-Авг-11, (97) Вот что-то нахерачил на баше seq 2 100 124 xargs -I _ sh -c echo -n , _, Анон (?), 08:30 , 26-Авг-11, (85) usr bin perl use IO Socket use Parallel ForkManager sub usage print Apach, kulibin (?), 11:06 , 26-Авг-11, (86) Серьёзно Повезло, что нигде у себя в конторе не нашёл сервера, где эта атака ср, Xaionaro (ok), 13:28 , 26-Авг-11, (89) // Учтя что оно работает даже на сайте опача здесь что-то не так Может быть, , Аноним (-), 19:05 , 26-Авг-11, (101) // Нет, у нас почти везде есть какой-то front-end, слишком большие нагрузки , Xaionaro (ok), 19:13 , 27-Авг-11, (111) Врут Не вижу никаких проблем с apache 1 3 x vs apache2 с выключенным gzip Тести, fossil (?), 14:13 , 26-Авг-11, (92) // Да, я у себя тоже нашёл сервак с apache 1 3 41 из портов FreeBSD , проверил, не, Xaionaro (ok), 14:20 , 26-Авг-11, (93) // Вероятно плохо проверял, надо на статике проверять 2 2 16 из репозитория Debian, fossil (?), 14:26 , 26-Авг-11, (95) // Ну, мне лень разбираться почему не сработало Но насколько я помню, там gzip в a, Xaionaro (ok), 14:42 , 26-Авг-11, (96) И на этом основании делаются выводы о том что атака не работает Весьма блондини, Аноним (-), 19:10 , 26-Авг-11, (103) Я ж сказал, т е да, эксперимент некорректен, извиняюсь Притом даже пояснил ч, Xaionaro (ok), 20:58 , 26-Авг-11, (106) Давай, делись адресочком своих серверов, а мы уже как нить да и посмотрим , Вася Пупкин (?), 03:34 , 27-Авг-11, (107) Да я бы с радостью Но у меня выработана некоторая корпоративная этика И если, Xaionaro (ok), 15:51 , 27-Авг-11, (108) Если Ваша защита базируется на незнании версий ПО заинтересованной стороной, то , Вася Пупкин (?), 18:42 , 27-Авг-11, (109) Я что-то не понял, я разве сказал, что защита на этом базируется Это одна из ме, Xaionaro (ok), 19:13 , 27-Авг-11, (110) Если Вы делаете такие выводы, то грош цена как раз им Ой, вот только не надо про, Michael Shigorin (ok), 10:31 , 29-Авг-11, (118) +1 У этого наивного чукотского юноши адресок с серверами кажется прямо в профайле у, Аноним (-), 17:14 , 28-Авг-11, (114) Я ещё раз повторяю предыдущие такое же замечание было удалено модераторами Я , Xaionaro (ok), 21:51 , 28-Авг-11, (115) +1 У меня такое ощущение уже несколько лет, что какие-то к колхозники из числа б, Michael Shigorin (ok), 10:29 , 29-Авг-11, (117) // 100 У меня до сих пор почти везде 1 3 x Но, к сожалению, закапывают они довол, fossil (?), 12:03 , 29-Авг-11, (120) У меня такая проблема При использовании SetEnvIf для Apache 2 0 и 2 2 выдает he, Аноним (-), 11:53 , 29-Авг-11, (119) // заменить на RequestHeader set Range badrange env bad-range, a (??), 17:18 , 06-Сен-11, (123) 1,2,4,9,34,41,42,47,48,49,52,53,57,59,70,75,76,83,85,86,89,92,119

Сообщения

[Сортировка по времени | RSS]

	5. "Легко эксплуатируемая DoS-уязвимость в HTTP-сервере Apache"	+2 +/–
	Сообщение от ALHSLeo (ok), 24-Авг-11, 22:40
	> nginx наше фсио Nginx не поможет, если он в роли фронтенда. Проткстировал на куче своих хостов - результат не однозначный, то-есть 1 и таже машина - 1 хост убивается 1000 форков, другой нет, а точнее - если страница использует сжатие гзипом - то заваливает, если не использует - то всё нормально, на остальных машинах поведение такое-же. Добавление строк в хтаксесс помогает, бешеное количество детей у апача не появляется, значит и память с процом не жрёт ( в тестовом скрипте увеличил количество форков до 1000 ). По сути - на момент запуска скрипта апач выедает весь проц, и за ним всю память, что вполне логично приводит к ддос-у.
	Ответить | Правка | Наверх | Cообщить модератору

	37. "Легко эксплуатируемая DoS-уязвимость в HTTP-сервере Apache"	+/–
	Сообщение от Аноним (-), 25-Авг-11, 04:01
	> Nginx не поможет, если он в роли фронтенда. Да уж, тут должен доктор помогать. А чем он плох как бэкэнд с fastcgi например?
	Ответить | Правка | Наверх | Cообщить модератору

	58. "Легко эксплуатируемая DoS-уязвимость в HTTP-сервере Apache"	+1 +/–
	Сообщение от Andrew Kolchoogin (?), 25-Авг-11, 13:14
	Высокая производительность nginx даром не даётся: из-за особенностей его архитектуры Apache'ных .htaccess в nginx нет и не будет. Соответственно, там, где они нужны -- например, на shared-хостингах -- nginx+FastCGI -- не выход, увы.
	Ответить | Правка | Наверх | Cообщить модератору

	62. "Легко эксплуатируемая DoS-уязвимость в HTTP-сервере Apache"	+/–
	Сообщение от uldus (ok), 25-Авг-11, 14:24
	> Высокая производительность nginx даром не даётся: из-за особенностей его архитектуры Apache'ных > .htaccess в nginx нет и не будет. На самом деле, эмулировать .htaccess в  nginx достаточно легко. Как правило специфика хостинга  не требуют приема изменений из .htaccess в режиме реального времени, а использование .htaccess сводится к редиректам и подключению своих обработчиков несуществующих страниц. Т.е. можно вызывать процесс через cron раз в минуту, проверять появление новых .htaccess и изменение старых, преобразовывать их в формат nginx и подключать к нему итоговый набор созданных на основе .htaccess правил через include.
	Ответить | Правка | Наверх | Cообщить модератору

	64. "Легко эксплуатируемая DoS-уязвимость в HTTP-сервере Apache"	+/–
	Сообщение от Аноним (-), 25-Авг-11, 15:00
	>> Высокая производительность nginx даром не даётся: из-за особенностей его архитектуры Apache'ных >> .htaccess в nginx нет и не будет. > На самом деле, эмулировать .htaccess в  nginx достаточно легко. Как правило > специфика хостинга  не требуют приема изменений из .htaccess в режиме > реального времени, а использование .htaccess сводится к редиректам и подключению своих > обработчиков несуществующих страниц. Т.е. можно вызывать процесс через cron раз в > минуту, проверять появление новых .htaccess и изменение старых, преобразовывать их в > формат nginx и подключать к нему итоговый набор созданных на основе > .htaccess правил через include. Вот это костыли так костыли.... у меня 5млн. дирректорий, где могут работать .htaccess, мне ставить отдельную машинку под ваше решение?
	Ответить | Правка | Наверх | Cообщить модератору

	74. "Легко эксплуатируемая DoS-уязвимость в HTTP-сервере Apache"	+/–
	Сообщение от brzm (?), 25-Авг-11, 17:31
	Если у вас 5 млн. директорий, то хостинг крупный и от ещё одной машинки от вас не убудет, благо оно того стоит. Ну и к тому же можно сделать удобную закладочку в панели хостинга с настройкой этих самых .htaccess по папкам с изменением по запросу.
	Ответить | Правка | Наверх | Cообщить модератору

	81. "Легко эксплуатируемая DoS-уязвимость в HTTP-сервере Apache"	+/–
	Сообщение от Аноним (-), 25-Авг-11, 20:20
	> Если у вас 5 млн. директорий, то хостинг крупный и от ещё > одной машинки от вас не убудет, благо оно того стоит. Ну > и к тому же можно сделать удобную закладочку в панели хостинга > с настройкой этих самых .htaccess по папкам с изменением по запросу. Да нет, такое можно наблюдать даже у одного достаточно крупного сайта, на одной машинке. Под моим управлением есть сайты с 30млн файлами и 1млн дир. Ну и вы и/о винтов для таких костылей подарите? Это как правило оказывается самым узким местом.
	Ответить | Правка | Наверх | Cообщить модератору

	104. "Легко эксплуатируемая DoS-уязвимость в HTTP-сервере Apache"	+/–
	Сообщение от Аноним (-), 26-Авг-11, 19:47
	> 1млн дир. Ну и вы и/о винтов для таких костылей подарите? > Это как правило оказывается самым узким местом. Действительно, на htaccess много лишнего IO делается. Поэтому маздай.
	Ответить | Правка | Наверх | Cообщить модератору

	77. "Легко эксплуатируемая DoS-уязвимость в HTTP-сервере Apache"	+/–
	Сообщение от uldus (ok), 25-Авг-11, 19:37
	> Вот это костыли так костыли.... у меня 5млн. дирректорий, где могут работать > .htaccess, мне ставить отдельную машинку под ваше решение? Костыли - это в Apache, который на каждый запрос проверяет наличие .htaccess во всех директориях начиная с текущей и до корня. Вас никто не заставляет каждый раз сканировать все пользовательские директории, достаточно, например, отслеживать изменения, просматривая часть лога FTP с момента прошлого просмотра. Или использовать специфичные для разных ОС механизмы нотификации изменения/создания файла с заданным именем.
	Ответить | Правка | К родителю #64 | Наверх | Cообщить модератору

	80. "Легко эксплуатируемая DoS-уязвимость в HTTP-сервере Apache"	+/–
	Сообщение от Аноним (-), 25-Авг-11, 20:16
	>> Вот это костыли так костыли.... у меня 5млн. дирректорий, где могут работать >> .htaccess, мне ставить отдельную машинку под ваше решение? > Костыли - это в Apache, который на каждый запрос проверяет наличие .htaccess > во всех директориях начиная с текущей и до корня. Апач позволяет выбрать то, что нужно вам, а не пользоваться тем, что есть и не изобретать костыли. Если нужно - можете отключить .htaccess, если нужно, то апач может искать .htaccess только в корневой дире виртуалхоста, ну или можно задать поиск по полной. >Вас никто > не заставляет каждый раз сканировать все пользовательские директории, достаточно, например, > отслеживать изменения, просматривая часть лога FTP с момента прошлого просмотра. Или > использовать специфичные для разных ОС механизмы нотификации изменения/создания файла > с заданным именем. По вашему это будет работать? ок, пишите, мы посмотрим и оценим.
	Ответить | Правка | Наверх | Cообщить модератору

	98. "Легко эксплуатируемая DoS-уязвимость в HTTP-сервере Apache"	+/–
	Сообщение от Аноним (-), 26-Авг-11, 18:56
	> По вашему это будет работать? ок, пишите, мы посмотрим и оценим. А вы адресок апача то своего опубликуйте, чтобы окружаюшие могли посмотреть и ОЦЕНИТЬ как оно у вас работает с вашим выбором ;)
	Ответить | Правка | Наверх | Cообщить модератору

	102. "Легко эксплуатируемая DoS-уязвимость в HTTP-сервере Apache"	+/–
	Сообщение от Аноним (-), 26-Авг-11, 19:08
	> Вот это костыли так костыли.... у меня 5млн. дирректорий, где могут работать > .htaccess, Вот это я понимаю, костыли так костыли! При том что 5 млн дир и так не подарок, в каждой дергаться на поиск htaccess - вот это и правда мегакостыль. Столько ненужных операций при запросах что просто жесть. Кстати можно вообще сервак выключить, чтоб уж наверняка не осилил запросы обслуживать.
	Ответить | Правка | К родителю #64 | Наверх | Cообщить модератору

	63. "Легко эксплуатируемая DoS-уязвимость в HTTP-сервере Apache"	+1 +/–
	Сообщение от Аноним (-), 25-Авг-11, 14:30
	> Высокая производительность nginx даром не даётся: из-за особенностей его архитектуры Apache'ных > .htaccess в nginx нет и не будет. Куда и дорога, пожалуй. Довольно дурное изобретение человечества. > Соответственно, там, где они нужны -- например, на shared-хостингах -- nginx+FastCGI -- > не выход, увы. А эти общественные туалеты вообще должны умереть лютой смертью. Задолбали уже случаями когда дыра в пионерском сайте приводит к слому сайта пятка солидных контор, просто потому что все валялось в общей помойке и пионерский сайт своей дырой подставил все остальные. Не говоря о том что если один пионер на уроке не поделил с другим ластик или карандаш, может оказаться завалена куча сайтов, просто потому что на том же апаче висел сайт пионера зажавшего карандаш.
	Ответить | Правка | К родителю #58 | Наверх | Cообщить модератору

	79. "Легко эксплуатируемая DoS-уязвимость в HTTP-сервере Apache"	+2 +/–
	Сообщение от klalafuda (?), 25-Авг-11, 20:16
	> А эти общественные туалеты вообще должны умереть лютой смертью. Задолбали уже случаями когда дыра в пионерском сайте приводит к слому сайта пятка солидных контор, просто потому что все валялось в общей помойке и пионерский сайт своей дырой подставил все остальные. Не говоря о том что если один пионер на уроке не поделил с другим ластик или карандаш, может оказаться завалена куча сайтов, просто потому что на том же апаче висел сайт пионера зажавшего карандаш. Шаред хостинг.. серьезные конторы.. Где подвох?
	Ответить | Правка | Наверх | Cообщить модератору

	99. "Легко эксплуатируемая DoS-уязвимость в HTTP-сервере Apache"	+1 +/–
	Сообщение от Аноним (-), 26-Авг-11, 18:59
	> Шаред хостинг.. серьезные конторы.. Где подвох? В идиотах-менеджерах, вероятно.
	Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема