Nginx 漏洞扫描及修复方案
目录
- 漏洞扫描结果
- 漏洞扫描
- 缓慢的HTTP拒绝服务攻击
- 漏洞等级:中
- 修改建议
- Nginx 修复建议
- 具体nginx配置文件
- WebSphere 修复建议
- Weblogic 修复建议
- Apache 修复建议
- IHS服务器
- F5负载均衡修复建议
- IIS服务器
漏洞扫描结果
漏洞扫描
OSS2.0 物联网创新业务系统进行web类安全扫描发现1类安全问题,本次发现“缓慢的HTTP拒绝服务攻击”漏洞问题,综合评定网络安全等级处于中风险状态。
缓慢的HTTP拒绝服务攻击
http://172.25.5.13:10056
漏洞等级:中
缓慢的HTTP拒绝服务攻击是一种专门针对于Web的应用层拒绝服务攻击,攻击者操纵网络上的肉鸡,对目标Web服务器进行海量HTTP请求攻击,直到服务器带宽被打满,造成了拒绝服务。
慢速HTTP拒绝服务攻击经过不断的演变和发展,主要有三种攻击类型,分别是Slow headers、Slow body、Slow read。以Slow headers为例,Web应用在处理HTTP请求之前都要先接收完所有的HTTP头部,因为HTTP头部中包含了一些Web应用可能用到的重要的信息。攻击者利用这点,发起一个HTTP请求,一直不停的发送HTTP头部,消耗服务器的连接和内存资源。抓包数据可见,攻击客户端与服务器建立TCP连接后,每10秒才向服务器发送一个HTTP头部,而Web服务器在没接收到2个连续的时,会认为客户端没有发送完头部,而持续的等等客户端发送数据。如果恶意攻击者客户端持续建立这样的连接,那么服务器上可用的连接将一点一点被占满,从而导致拒绝服务。这种攻击类型称为慢速HTTP拒绝服务攻击。
修改建议
Nginx 修复建议
1、通过调整$request_method,配置服务器接受http包的操作限制;
2、在保证业务不受影响的前提下,调整
client_max_body_size,
client_body_buffer_size,
client_header_buffer_size,
large_client_header_buffers
client_body_timeout,
client_header_timeout的值,必要时可以适当的增加;
3、对于会话或者相同的ip地址,可以使用HttpLimitReqModule and HttpLimitZoneModule参数去限制请求量或者并发连接数;
4、根据CPU和负载的大小,来配置worker_processes 和 worker_connections的值,公式是:max_clients = worker_processes * worker_connections。
具体nginx配置文件
user deployer;
user root;
worker_processes 16;#error_log logs/error.log;
#error_log logs/error.log notice;
#error_log logs/error.log info;#pid logs/nginx.pid;
events {worker_connections 1024;
}http {limit_req_zone $binary_remote_addr zone=req_one:10m rate=10r/s;limit_conn_zone $binary_remote_addr zone=limit_conn:10m;include mime.types;default_type application/octet-stream;#log_format main '$remote_addr - $remote_user [$time_local] "$request" '# '$status $body_bytes_sent "$http_referer" '# '"$http_user_agent" "$http_x_forwarded_for"';#access_log logs/access.log main;sendfile on;#tcp_nopush on;#keepalive_timeout 0;keepalive_timeout 65;client_max_body_size 2m;client_body_buffer_size 2m;client_header_buffer_size 2k;large_client_header_buffers 2 1k;client_body_timeout 10s;client_header_timeout 5s;#gzip on;server {listen 10056;server_name localhost;#charset koi8-r;#access_log logs/host.access.log main;location / {limit_conn limit_conn 10;proxy_redirect off;proxy_set_header Host $host;proxy_set_header X-Real-IP $remote_addr;proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;proxy_pass http://172.17.0.1:10050;}#error_page 404 /404.html;# redirect server error pages to the static page /50x.htmlerror_page 500 502 503 504 /50x.html;location = /50x.html {root html;}}
WebSphere 修复建议
1、限制 HTTP 数据的大小
在WebSphere Application Server 中进行如下设置:
任何单个 HTTP 头的默认最大大小为 32768 字节。可以将它设置为不同的值。
HTTP 头的默认最大数量为 50。可以将它设置为不同的限制值。
另一种常见的 DOS 攻击是发送一个请求,这个请求会导致一个长期运行的 GET 请求。WebSphere Application Server Plug-in 中的 ServerIOTimeoutRetry 属性可限制任何请求的重试数量。这可以降低这种长期运行的请求的影响。
设置限制任何请求正文的最大大小。
2、设置keepalive参数
打开ibm http server安装目录,打开文件夹conf,打开文件httpd.conf,查找KeepAlive值,改ON为OFF,其默认为ON。
这个值说明是否保持客户与HTTP SERVER的连接,如果设置为ON,则请求数到达MaxKeepAliveRequests设定值时请求将排队,导致响应变慢。
详见参考链接:
http://www.ibm.com/developerworks/cn/websphere/techjournal/1210_lansche/1210_lansche.html#new-step32
Weblogic 修复建议
1、在配置管理界面中的协议->一般信息下设置 完成消息超时时间小于200
2、在配置管理界面中的协议->HTTP下设置 POST 超时、持续时间、最大 POST 大小为安全值范围。
http://docs.oracle.com/cd/E12890_01/ales/docs32/integrateappenviron/configWLS.html#wp1101063
Apache 修复建议
建议使用mod_reqtimeout和mod_qos两个模块相互配合来防护。
1、mod_reqtimeout用于控制每个连接上请求发送的速率。配置例如:
#请求头部分,设置超时时间初始为10秒,并在收到客户端发送的数据后,每接收到500字节数据就将超时时间延长1秒,但最长不超过40秒。可以防护slowloris型的慢速攻击。
RequestReadTimeout header=10-40,minrate=500
#请求正文部分,设置超时时间初始为10秒,并在收到客户端发送的数据后,每接收到500字节数据就将超时时间延长1秒,但最长不超过40秒。可以防护slow message body型的慢速攻击。
RequestReadTimeout body=10-40,minrate=500
需注意,对于HTTPS站点,需要把初始超时时间上调,比如调整到20秒。
示例:
LoadModule reqtimeout_module modules/mod_reqtimeout.so
<IfModule reqtimeout_module> RequestReadTimeout header=10-40,minrate=500 body=10-40,minrate=500
</IfModule>
2、mod_qos用于控制并发连接数。配置例如:
#当服务器并发连接数超过600时,关闭keepalive
QS_SrvMaxConnClose 600
#限制每个源IP最大并发连接数为50
QS_SrvMaxConnPerIP 50
这两个数值可以根据服务器的性能调整。
更多关于qos_module配置参考:
http://mod-qos.sourceforge.net/dos.html
示例:
LoadModule qos_module modules/mod_qos.so
<IfModule qos_module>
QS_SrvMaxConnClose 600
QS_SrvMaxConnPerIP 50
</IfModule>
IHS服务器
请您先安装最新补丁包,然后启用mod_reqtimeout模块,在配置文件中加入:
LoadModule reqtimeout_module modules/mod_reqtimeout.so
为mod_reqtimeout模块添加配置:
<IfModule mod_reqtimeout.c>
RequestReadTimeout header=10-40,MinRate=500 body=10-40,MinRate=500
</IfModule>
对于HTTPS站点,建议header=20-40,MinRate=500。
参见:http://www-01.ibm.com/support/docview.wss?uid=swg21652165
F5负载均衡修复建议
F5负载均衡设备有相应的防护模块,如无购买可参考附件中的详细配置过程。
关于F5的慢速攻击防护配置,请参考以下链接:
https://support.f5.com/kb/en-us/solutions/public/10000/200/sol10260.html
https://devcentral.f5.com/articles/mitigating-slow-http-post-ddos-attacks-with-irules-ndash-follow-up
IIS服务器
IIS可配置相关网站的Web.config如下:
1、WebLimits设置:
<configuration> <system.applicationHost> <webLimits connectionTimeout="00:00:30" headerWaitTimeout="00:00:10" dynamicIdleThreshold="150" minBytesPerSecond="512" /> </system.applicationHost>
</configuration>
参考以下链接:
https://docs.microsoft.com/en-us/iis/configuration/system.applicationhost/weblimits#configuration
2、headerLimits设置:
<configuration> <system.webServer> <security> <requestFiltering> <requestLimits> <headerLimits> <add header="Content-type" sizeLimit="100" /> </headerLimits> </requestLimits> </requestFiltering> </security> </system.webServer>
</configuration>
参考以下链接:
https://docs.microsoft.com/en-us/iis/configuration/system.webserver/security/requestfiltering/requestlimits/headerlimits/
Nginx 漏洞扫描及修复方案相关推荐
- 漏洞扫描常见修复方案
1.Apache JServ protocol service 描述: 问题出在Tomcat的8009端口,错误的提示是8009端口上运行着tcp协议. 修复方案: 解决办法: 只能是通过关闭8009 ...
- Log4j 严重漏洞修最新修复方案参考
CVE-2021-44228,原理上是 log4j-core 代码中的 JNDI 注入漏洞.这个漏洞可以直接导致服务器被入侵,而且由于"日志"场景的特性,攻击数据可以多层传导,甚至 ...
- ajax无刷新kesion,Kesion cms注入漏洞分析及其修复方案
函数过滤混乱导致注入 复制代码代码如下: Dim KS:Set KS=New PublicCls Dim Action Action=KS.S("Action") Select C ...
- Log4j2核弹级漏洞线上修复方案!
一.漏洞描述2月9日晚,Apache Log4j2反序列化远程代码执行漏洞细节已被公开,Apache Log4j-2中存在JNDI注入漏洞,当程序将用户输入的数据进行日志记录时,即可触发此漏洞,成功利 ...
- Apache Log4j2 RCE 命令执行漏洞预警及修复方案
漏洞名称:Apache Log4j2远程代码执行漏洞 组件名称:Apache Log4j2 截止2021年12⽉10⽇,受影响的Apache log4j2版本: 2.0≤Apache Log4j< ...
- linux查看漏洞修复情况,linux 漏洞扫描补丁修复
亲测5.9 32位-6.5 64位可用,无需删除旧版本ssh 编译安装. 1.建立备用连接.telnet yum install telnet telnet-server vi /etc/xinetd ...
- 常见主机漏洞及修复方案
1.openssh累积型漏洞 高 cve-2017-10012 修复意见: 升级版本至>=openssh-5.3p1-122.el6 2.NTP累积型漏洞 高 修复意见: 稳定版请尽快安装 ...
- Linux glibc 库的修复方案扯出更严重的新漏洞
聚焦源代码安全,网罗国内外最新资讯! 作者:Steven J. Vaughan-Nichols 编译:代码卫士 GNC C Library (glibc) 库对 Linux 至关重要.因此当它出问题 ...
- AppScan 10(漏洞扫描工具) 安装及功能简介
一.简介 AppScan是一款Web应用安全测试工具,采用黑盒测试的方式,可以扫描常见的web应用安全漏洞.其工作原理,首先是根据起始页爬取站下所有可见的页面,同时测试常见的管理后台:获得所有页面之后 ...
- 自动化漏洞扫描工具使用指南
作为企业的IT安全管理员,您的重要任务之一,一定离不开全面的漏洞管理.即,全方位地评估.报告和缓解企业内部技术栈中,存在的各项安全弱点和网络威胁.而面对此类繁杂复杂的工作时,我们往往需要借助自动化的漏 ...
最新文章
- MiaSocks发布第一个测试版
- 运行SSIS包的几种方式
- 配置Windows下编译运行C/C++过程
- 做能及之事,过平淡的日子,烦事多忘,好事多为
- python设计模式之猴子补丁模式
- ws配置 zuul_微服务网关 Spring Cloud Gateway
- 阿里银泰集团物业预付费系统项目的设计与应用
- 7本软书,助你打破职场天花板
- guzzle php,PHP HTTP 客户端 - Guzzle
- Laravel接入SDK淘宝客调用
- 关于.net的一则笑话(无奈一笑)
- 《Windows-Program:Win32/Contebrew.A!ml 病毒》
- Unity 语音识别以及音频可视化
- 2020高级操作系统 复习考点(五)
- 数据结构的逻辑结构和物理结构的基本概念
- 【Henu ACM Round#19 E】 Om Nom and Candies
- windows10完全卸载npm
- Ubtun系统如何测试网速
- mybatis中循环map集合操作
- bonetale android什么游戏,bonetale