धीमी HTTP POST का उपयोग कर सेवा हमले से इनकार

शुभ दिन, प्रिय Khabrovites!
मैं आपको अपनी राय में, सर्विस अटैक मैकेनिज्म से वंचित - स्लो HTTP POST के बारे में, अपेक्षाकृत नए और दिलचस्प के बारे में बताना चाहता हूं।
खोज से पता चला कि हब पर विषय पर कोई जानकारी नहीं थी, जिसने मुझे कुछ आश्चर्यचकित किया, और मैंने इस कष्टप्रद चूक के लिए निर्णय लिया। विषय नया नहीं है, लेकिन, जैसा कि मेरे छोटे अध्ययनों से पता चलता है, प्रासंगिक से अधिक है। आगे देखते हुए, मैं कहूंगा कि मेरे द्वारा प्राप्त किए गए परिणाम हमें एक व्यापक रूप से उपलब्ध तकनीक के अस्तित्व के बारे में बात करने की अनुमति देते हैं जो आपको एक छोटे चैनल के साथ एक कंप्यूटर से छोटी और मध्यम साइटों को "स्टैक" करने की अनुमति देता है, और सर्वव्यापी हाई-स्पीड इंटरनेट एक्सेस के साथ कई मशीनों का उपयोग करने से अब बहुत अधिक समस्याएं और अधिक होती हैं। गंभीर परियोजनाएं। उन सभी लोगों को जो शौक से स्वागत करते हैं, हब्रैट के तहत स्वागत करते हैं।

सिद्धांत

सभी सरल की तरह, इस हमले की तकनीक बहुत ही सुंदर और सरल है। हमला HTTP प्रोटोकॉल में कमजोरियों पर आधारित है। एक धीमा HTTP POST हमला इस प्रकार काम करता है: एक हमलावर एक वैध "सामग्री-लंबाई" फ़ील्ड के साथ एक POST हैडर भेजता है, जो वेब सर्वर को यह समझने की अनुमति देता है कि उसे कितना डेटा भेजा जा रहा है। जैसे ही हेडर भेजा जाता है, POST संदेश का मुख्य भाग बहुत धीमी गति से प्रसारित होने लगता है, जो सर्वर को संसाधनों को आवश्यकता से अधिक लंबे समय तक उपयोग करने की अनुमति देता है, और, परिणामस्वरूप, अन्य अनुरोधों के प्रसंस्करण में हस्तक्षेप करता है। इन कनेक्शनों के कई हजार मिनटों में एक वेब सर्वर डाल सकते हैं। यदि आपके सिस्टम में एक वेब इंटरफ़ेस है, तो इस प्रकार का हमला आपको बिना किसी समस्या के "डाल" देगा।
हमले का प्रदर्शन सर्वप्रथम OWASP 2010 अनुप्रयोग सुरक्षा सम्मेलन में आम जनता के लिए किया गया था। शोधकर्ता वोंग ओएन ची ने सबसे पहले 2009 में सिंगापुर के शोधकर्ताओं की एक टीम के साथ हमले की खोज की। बाद में, हमले पर (माइक्रोसॉफ्ट द्वारा सहित) शोध किया गया। प्रोटोकॉल में कमजोरता अब आधिकारिक तौर पर मान्यता प्राप्त है। शुरुआत में, चीन में इस तरह के हमले किए गए थे। ऑनलाइन गेम्स का उपयोग बोट्स को भर्ती करने के लिए किया जाता था - अशुभ खिलाड़ियों के कंप्यूटरों का उपयोग विशेष रूप से उत्पन्न HTTP अनुरोधों को लक्ष्य प्रणाली में भेजने के लिए किया जाता था।
हमले की सादगी ने इस सरल जावा एपलेट के लिए प्रभावी रूप से उपयोग करना संभव बना दिया जो एक ऑनलाइन गेम के दौरान लॉन्च किया गया था। जैसे ही पीड़ित ने स्व-हस्ताक्षरित एप्लेट स्वीकार किया, एप्लेट ने हमले को अंजाम देना शुरू कर दिया, जब उपयोगकर्ता एक ऑनलाइन गेम खेल रहा था। गेम से बाहर निकलने और ब्राउज़र को बंद करने के बाद, हमला बंद हो गया और एप्लेट को हटा दिया गया। यह पता लगाना कि आप हमले का स्रोत बन गए हैं, काफी समस्याग्रस्त है - कंप्यूटर शब्द के शास्त्रीय अर्थ में संक्रमित नहीं है, और ट्रैफ़िक को कानूनी HTTP ट्रैफ़िक से अलग करना मुश्किल है। इसके अलावा, इंटरनेट चैनल लगभग अतिभारित नहीं है।
यह हमला HTTP या HTTPS प्रोटोकॉल के तहत Microsoft IIS और Apache (जैसा कि मेरे प्रयोगों ने दिखाया है, असुरक्षित वेब सर्वर की सूची उनके लिए सीमित नहीं है) के साथ वेब सर्वर के पतन की ओर जाता है और जाहिर है, SSL, VPN और अन्य जैसे किसी भी "सुरक्षित" कनेक्शन। इसके अलावा, हमले को SMTP और यहां तक ​​कि DNS सर्वर के साथ काम करने के लिए अनुकूलित किया जा सकता है। लोड संतुलन सॉफ्टवेयर वर्तमान में इसी तरह के DDOS हमलों (Slowloris) को रोकने के लिए इस्तेमाल किया नई तकनीक के खिलाफ प्रभावी नहीं है।
प्रोग्राम जो हमले को लागू करते हैं (RU डेड येट? और OWASP HTTP POST टूल, जिसका मैंने उपयोग किया था, हम इसके बारे में बाद में बात करेंगे) आसानी से उपलब्ध हैं और आसानी से गुगुल कर रहे हैं। कार्यक्रम सेटिंग्स बहुत सरल हैं, एक विस्तृत मदद है और यहां तक ​​कि एक ग्राफिकल शेल (प्रोग्राम खुद कंसोल है)। स्रोत कोड भी उपलब्ध हैं।

OWASP HTTP POST टूल विंडो

अभ्यास

बेशक, मैंने यह सब व्यवहार में जाँच लिया। मैंने OWASP HTTP DoS टूल डाउनलोड किया, एक साइट जिसका मैंने नियंत्रण किया था, उसका पता दर्ज किया। उसने अविश्वसनीय रूप से बटन पर क्लिक किया। एक मिनट बाद साइट डाउन हो गई। यह इस तथ्य के बावजूद है कि मैं घर पर अच्छे इंटरनेट से वंचित हूं, और मेरी डाउनलोड गति केवल आधा मेगाबाइट है। साइट कमजोर है, यह एक सौ लोगों के लिए एक मंच (vBulletin) है, साझा होस्टिंग, nginx सर्वर। लेकिन, फिर भी, आपको यह स्वीकार करना चाहिए कि इस तरह की छोटी साइट को आधे मेगाबिट चैनल के नीचे से लटका दिया जाना चाहिए ... यह कम से कम आश्चर्यजनक है।
विज्ञान और आगे बढ़ा। यह महसूस करने के बाद कि एक बहुत छोटा चैनल हमले को लागू करने के लिए पर्याप्त है, मैंने एडवाटर के माध्यम से हमला शुरू किया (हम यहां टीओआर के बारे में पढ़ते हैं )। कोई फर्क नहीं पड़ता कि यह कितना मूर्ख और लग रहा था, साइट गिर गई। बाद में, एक व्यापक इंटरनेट चैनल के साथ कई कंप्यूटरों का उपयोग करते हुए, मैं एक ही एडिटोर के माध्यम से सब कुछ भेजने में कामयाब रहा, विशुद्ध रूप से वैज्ञानिक हित से बाहर, और अधिक गंभीर साइटों के लिए (पहले मालिक के साथ तर्क दिया कि मैं बॉटनेट की मदद के बिना उनके दिमाग की उपज डालूंगा)। ज्यादा है। एक स्क्रिप्ट में लिखा गया था कि एक निरंतर हमले को लागू करता है (ओडब्ल्यूएएसपी कार्यक्रम में इस मामले पर एक सीमा है - यह 40,000 अनुरोधों के बाद बंद हो जाता है), समय-समय पर आउटपुट टीओआर नोड को स्विच करता है, अपने कैश को साफ करता है और दोनों कार्यक्रमों को पुनरारंभ करता है। वैसे, उपयोग के इस मोड में, उन्होंने बहुत अच्छी तरह से प्रवाह करना शुरू कर दिया। प्रोसेसर 100% पर लोड होता है, और AdvTor बेशर्मी से याददाश्त को नष्ट कर देता है। सामान्य तौर पर, टीओआर इस तरह के उपयोग के बारे में उत्साही से दूर था, लेकिन यह आश्चर्यजनक रूप से अच्छी तरह से रखा गया था, हालांकि कभी-कभी यह तंग होता था। इसके लिए टीओआर नेटवर्क का उपयोग करना, बेशक, पूर्ण बर्बरता है, लेकिन खुजली वाले हाथों को विज्ञान पीड़ितों की आवश्यकता होती है। परीक्षण विभिन्न स्तरों के कई साइटों पर किए गए (फिर, मालिकों के साथ समझौते के द्वारा, एक बार को छोड़कर, जब मैंने एक दोस्त पर एक चाल खेलने का फैसला किया)। परिणाम दुखद था। यह निकला। लगभग किसी भी औसत साइट को बिछाने का कार्य अपेक्षाकृत सरल और संभव से अधिक है।

निष्कर्ष

1) स्लो HTTP POST आपको सर्विस हमलों से इनकार करने की अनुमति देता है, हमलावर कंप्यूटर (एस) और अटैक किए गए सर्वर के आवश्यक शक्ति / चैनल के पहले अप्राप्य अनुपात के साथ।
2) आज बड़ी संख्या में छोटे और मध्यम स्थल इस हमले के लिए अतिसंवेदनशील हैं। इसके अलावा, अक्सर सर्वर साइड पर यह पता लगाना भी मुश्किल होता है कि साइट पर हमला हो रहा है या नहीं - ट्रैफिक सामान्य मान से अधिक नहीं है।
3) हमले का कार्यान्वयन बहुत सरल है, और व्यावहारिक रूप से किसी भी निवेश की आवश्यकता नहीं है। इसके अलावा, यह विज्ञान के लिए जाने जाने वाले सेवा हमले का एकमात्र खंडन है जो वास्तविक रूप से प्रॉक्सी के माध्यम से आयोजित किया जा सकता है!
4) कानूनी ट्रैफ़िक पर हमले के ट्रैफ़िक की समानता "हानिकारक" पैकेटों को छानने में मदद करती है, और बोटनेट का पता लगाने के लिए एक मुश्किल को व्यवस्थित करना भी आसान बनाता है।

पुनश्च

जानकारी नई या पूर्ण होने का दावा नहीं करती है। यह बल्कि कई स्रोतों से एक सामूहिक मुफ्त अनुवाद है, साथ ही कुछ दिलचस्प अनुभव भी। यह एक दुर्लभ मुक्त रात (अच्छा पर्याप्त काम) पर लिखा गया था, इसलिए मैं त्रुटियों के लिए माफी माँगता हूँ, सही है। यदि यह विषय किसी को भी रुचिकर बनाता है, तो मैं आक्रमण तंत्र और रक्षा विधियों के बारे में अधिक विस्तार से लिखने के लिए तैयार हूं।

साहित्य और संदर्भ

OWASP से कार्यक्रम का आधिकारिक पृष्ठ
महान लेख (अंग्रेजी के साथ दोस्तों के लिए)
विषय पर आधिकारिक प्रस्तुति (पीडीएफ), फिर से अंग्रेजी बोलने वालों के लिए
संरक्षण विधियों (और फिर से अंग्रेजी) का वर्णन करने वाला एक विस्तृत अध्ययन
OWASP सामान्य विषय की जानकारी
इस एलजे में विषय पर एक पोस्ट थी

जोड़ा गया

प्रिय सिसिली, हैबराइज़र बहुत आलसी नहीं था , और उबंटू के तहत OWASP HTTP POST टूल संकलित किया। संदर्भ से, एक बाइनरी के साथ एक संग्रह और इसके संचालन के लिए आवश्यक पुस्तकालय। स्रोत कोड यहां उपलब्ध है ।