Re: [apache-rus] header dos attack

["Khimenko Victor" <khim@sch57.msk.ru>]

In <35D135F7.EA88E8D@novsu.ac.ru> Vlad Gerasimov (vlad@info.novsu.ac.ru) wrote:


VG> Khimenko Victor wrote:

>> AT> Неприятно, но не более того. Опять-таки, распухший процесс должен получить
>> AT> по рогам за нехватку памяти и все опять станет хорошо.
>> Ну можно попробовать на apache.lexa.ru запустить и посмотреть -- что будет :-)
>> Пока он по рогам получит весь комп успеет на уши встать. Так как там не только
>> по памяти, но и по времени O(n^2). Я могу кинуть выдержку из перебранки
>> Apache-Team по этому поводу...

VG> Зависит не от Apache а от самой операционки - у каждой свой алгоритмповедения в
VG> данной ситуации.
В какой ситуации ? Apache сам себе режиссер -- он же не malloc'ом память
распределяет :-))

VG> Так что подвесить (затормозить и т.д.) в принципе можно находясь
VG> в локале.
Чего ? Закачивание 200K (определенных 200K, конечно -- see exploit :-)) вызывает
раздутие процесса до 100Mb за 10-20мин чистого процессорного времени (на обычном
сервере -- Pentium200 или PentiumII-200)... А закачать 200K (даже через модем) --
это где-то минута...

VG> А сломать можно только если есть telnet account.
Сломать через DoS-attack вообще можно что-нибудь только если операционка через
одно места писана (NT, к примеру :-). Эта DoS-attack -- не исключение. А вот
парализовать работу web-сервера можно запросто...

VG> Впрочем если есть аккоунт то сломать можно все ;-)
Тоже зависит от операционки, но да, конечно -- для локальных пользователей
exploit'ов много больше существует :-))

VG> А от внешних WWW-узеров вреда не будет, DOSу и особо им не поломаешь.
Сервер можно парализовать. Легко. И записей в log'ах не будет -- как верно
заметил Alex система срубит в конце концов сильно разросшийся процесс до того,
как он получит шанс что-нибудь записать в log... Но не более -- через
полчаса-час после окончания DoS-атаки сервер вернется к функционированию в
прежнем режиме...

VG> хотя FreeBSD на DOSA например реагирует весьма своеобразно.
Гы. Как ?

VG> просьба не паниковать (если бы все было так плохо - все были бы сломаны давно :-)
Это DoS-attack! Она может привести только к тому, что сервер будет недоступен
некоторое время... Это НЕ security hole ... Конечно если сервер криво настроен,
то он и упасть от этого может, но для этого он должен буть уж очень криво
настроен...

P.S. А по меркам secutiry NT это вообще нормальное явление -- там подобных
вещей дофига и больше и никто по этому поводу не чешется :-)) Почему-то от
/.-эффекта обычно только NT-сервера дохнут... К вопросу о DoS (без attack :-)