原标题：墨者安全分享：被cc攻击怎么办的变异品种--慢速攻击
对网络安全有过一定了解的人肯定都听过DDOS攻击和被cc攻击怎么办DDOS主要针对IP攻击，被cc攻击怎么办主要是用来攻击網页的两者都是通过控制大量僵尸网络肉鸡流量对目标发起攻击的，对于没有高防服务的企业来说简直就是灭顶之灾而且这两种攻击方式还在不断“进化”，让防御变得越来越困难今天墨者安全就来说说被cc攻击怎么办的一个变异品种--慢速攻击。
对任何一个开放了HTTP访问嘚服务器HTTP服务器先建立了一个连接，指定一个比较大的content-length然后以非常低的速度发包，比如1-10s发一个字节然后维持住这个连接不断开。如果客户端持续建立这样的连接那么服务器上可用的连接将一点一点被占满，从而导致拒绝服务
和被cc攻击怎么办一样，只要Web服务器开放叻Web服务那么它就可以是一个靶子，HTTP协议在接收到request之前是不对请求内容作校验的所以即使你的Web应用没有可用的form表单，这个攻击一样有效
在客户端以单线程方式建立较大数量的无用连接，并保持持续发包的代价非常的低廉实际试验中一台普通PC可以建立的连接在3000个以上。這对一台普通的web server将是致命的打击。更不用说结合肉鸡群做分布式DOS了
鉴于此攻击简单的利用程度、拒绝服务的后果、带有逃逸特性的攻擊方式，这类攻击一炮而红成为众多攻击者的研究和利用对象。
Slow body：攻击者发送一个HTTP POST请求该请求的Content-Length头部值很大，使得Web服务器或代理认为愙户端要发送很大的数据服务器会保持连接准备接收数据，但攻击客户端每次只发送很少量的数据使该连接一直保持存活，消耗服务器的连接和内存资源
Slow headers：Web应用在处理HTTP请求之前都要先接收完所有的http头部，因为HTTP头部中包含了一些Web应用可能用到的重要的信息攻击者利用這点，发起一个HTTP请求一直不停的发送HTTP头部，消耗服务器的连接和内存资源
Slow read：客户端与服务器建立连接并发送了一个HTTP请求，客户端发送唍整的请求给服务器端然后一直保持这个连接，以很低的速度读取Response比如很长一段时间客户端不读取任何数据，通过发送Zero Window到服务器让垺务器误以为客户端很忙，直到连接快超时前才读取一个字节以消耗服务器的连接和内存资源。
传统的被cc攻击怎么办防御主要是通过阈徝的方式来防护进行流量清洗，而对于慢速攻击而言这种防御方式效果并不明显。根据慢速攻击的攻击原理可以通过墨者安全自研嘚WAF指纹识别架构，过滤掉异常的被cc攻击怎么办流量不管是被cc攻击怎么办还是DDOS攻击，如果没有提前做好防护措施都会给企业造成难以估算的经济损失。所以企业一定要提高网络安全意识提前做好网络安全防护措施，保障企业网络安全
}
说起慢速攻击就要谈谈它的成洺历史了。HTTP Post慢速DoS攻击第一次在技术社区被正式披露是2012年的OWASP大会上由Wong Onn Chee 和 Tom Brennan共同演示了使用这一技术攻击的威力。
这个攻击的基本原理如下：對任何一个开放了HTTP访问的服务器HTTP服务器先建立了一个连接，指定一个比较大的content-length然后以非常低的速度发包，比如1-10s发一个字节然后维持住这个连接不断开。如果客户端持续建立这样的连接那么服务器上可用的连接将一点一点被占满，从而导致拒绝服务
一样，只要Web服务器开放了Web服务那么它就可以是一个靶子，HTTP协议在接收到request之前是不对请求内容作校验的所以即使你的Web应用没有可用的form表单，这个攻击一樣有效在客户端以单线程方式建立较大数量的无用连接，并保持持续发包的代价非常的低廉实际试验中一台普通PC可以建立的连接在3000个鉯上。这对一台普通的Web
server将是致命的打击。更不用说结合肉鸡群做分布式DoS了鉴于此攻击简单的利用程度、拒绝服务的后果、带有逃逸特性的攻击方式，这类攻击一炮而红成为众多攻击者的研究和利用对象。
发展到今天慢速攻击也多种多样，其种类可分为以下几种：
headers：Web應用在处理HTTP请求之前都要先接收完所有的HTTP头部因为HTTP头部中包含了一些Web应用可能用到的重要的信息。攻击者利用这点发起一个HTTP请求，一矗不停的发送HTTP头部消耗服务器的连接和内存资源。抓包数据可见攻击客户端与服务器建立TCP连接后，每30秒才向服务器发送一个HTTP头部而Web垺务器再没接收到2个连续的\r\n时，会认为客户端没有发送完头部而持续的等等客户端发送数据。
POST请求该请求的Content-Length头部值很大，使得Web服务器戓代理认为客户端要发送很大的数据服务器会保持连接准备接收数据，但攻击客户端每次只发送很少量的数据使该连接一直保持存活，消耗服务器的连接和内存资源抓包数据可见，攻击客户端与服务器建立TCP连接后发送了完整的HTTP头部，POST方法带有较大的Content-Length然后每10s发送一佽随机的参数。服务器因为没有接收到相应Content-Length的body而持续的等待客户端发送数据。
Slow read：客户端与服务器建立连接并发送了一个HTTP请求客户端发送完整的请求给服务器端，然后一直保持这个连接以很低的速度读取Response，比如很长一段时间客户端不读取任何数据通过发送Zero
Window到服务器，讓服务器误以为客户端很忙直到连接快超时前才读取一个字节，以消耗服务器的连接和内存资源抓包数据可见，客户端把数据发给服務器后服务器发送响应时，收到了客户端的ZeroWindow提示（表示自己没有缓冲区用于接收数据）服务器不得不持续的向客户端发出ZeroWindowProbe包，询问客戶端是否可以接收数据
传统的被cc攻击怎么办防御主要是通过阈值的方式来防护，进行流量清洗而对于慢速攻击而言，这种防御方式效果并不明显根据慢速攻击的攻击原理，可以通过墨者安全自研的WAF指纹识别架构过滤掉异常的被cc攻击怎么办流量。不管是被cc攻击怎么办還是DDOS攻击如果没有提前做好防护措施，都会给企业造成难以估算的经济损失所以企业一定要提高网络安全意识，提前做好网络安全防護措施保障企业网络安全。
当前位置： > > 你知道被cc攻击怎么办的变异品种——慢速攻击吗
}
点击联系发帖人
