forum.opennet.ru

"Легко эксплуатируемая DoS-уязвимость в HTTP-сервере Apache"

Форум Разговоры, обсуждение новостей
Версия для распечатки	Пред. тема \| След. тема

Исходное сообщение

[ Отслеживать ]

Присылайте удачные настройки в раздел примеров файлов конфигурации на WIKI.opennet.ru.

. "Легко эксплуатируемая DoS-уязвимость в HTTP-сервере Apache"	+1 +/–
Сообщение от Аноним (-), 25-Авг-11, 15:43
> это скорее фича, чем баг. А это зависит от того за кого вы болеете - за администратора или за атакующего :). Если второе - да, конечно, это фича позволяющая легко уронить неугодный вам сайт :)))
Ответить \| Правка \| Наверх \| Cообщить модератору

Оглавление

Легко эксплуатируемая DoS-уязвимость в HTTP-сервере Apache, opennews, 24-Авг-11, 22:03 [смотреть все]

Какая прелесть 3, Аноним, 24-Авг-11, 22:03 (1)
У меня на apache-1 3 42 говорит Host does not seem vulnerable , Сергей, 24-Авг-11, 22:15 (2) //
- Да, твой апач безусловно важен, но тут по близости ещё пара десятков миллионов а, Mikk, 24-Авг-11, 22:28 (3)
- Этот особо-раритетный апач и так легко DoSится запуском ab2 siege http_load зажа, Аноним, 25-Авг-11, 14:23 (61) //
  - косясь на 1 3 за nginx Кто ж вам даст-то 200 коннекшенов прямо к бэкенду , Michael Shigorin, 29-Авг-11, 10:15 (116) //
    - Во-во, костыль подставили - и вроде уже и не инвалид Вы б еще кеш на нжинксе, Аноним, 05-Сен-11, 17:03 (121)
      - Это смотря какой и что за ним дальше болтается думаю, у меня апач -- не самое, Michael Shigorin, 05-Сен-11, 18:47 (122)
        
        Тем не менее, любителей уронить вывешенный напрямую апач в интернете навалом , Аноним, 23-Сен-11, 19:38 (124)
nginx наше фсио, Аноним, 24-Авг-11, 22:32 (4) //
- Nginx не поможет, если он в роли фронтенда Проткстировал на куче своих хостов -, ALHSLeo, 24-Авг-11, 22:40 (5) //
  - Да уж, тут должен доктор помогать А чем он плох как бэкэнд с fastcgi например , Аноним, 25-Авг-11, 04:01 (37) //
    - Высокая производительность nginx даром не даётся из-за особенностей его архитек, Andrew Kolchoogin, 25-Авг-11, 13:14 (58)
      - На самом деле, эмулировать htaccess в nginx достаточно легко Как правило спец, uldus, 25-Авг-11, 14:24 (62)
        
        Вот это костыли так костыли у меня 5млн дирректорий, где могут работать ht, Аноним, 25-Авг-11, 15:00 (64)
        
        Если у вас 5 млн директорий, то хостинг крупный и от ещё одной машинки от вас н, brzm, 25-Авг-11, 17:31 (74)
        
        Да нет, такое можно наблюдать даже у одного достаточно крупного сайта, на одной , Аноним, 25-Авг-11, 20:20 (81)
        
        Действительно, на htaccess много лишнего IO делается Поэтому маздай , Аноним, 26-Авг-11, 19:47 (104)
        
        Костыли - это в Apache, который на каждый запрос проверяет наличие htaccess во , uldus, 25-Авг-11, 19:37 (77)
        
        Апач позволяет выбрать то, что нужно вам, а не пользоваться тем, что есть и не и, Аноним, 25-Авг-11, 20:16 (80)
        
        А вы адресок апача то своего опубликуйте, чтобы окружаюшие могли посмотреть и ОЦ, Аноним, 26-Авг-11, 18:56 (98)
        
        Вот это я понимаю, костыли так костыли При том что 5 млн дир и так не подарок, , Аноним, 26-Авг-11, 19:08 (102)
      - Куда и дорога, пожалуй Довольно дурное изобретение человечества А эти обществе, Аноним, 25-Авг-11, 14:30 (63)
        
        Шаред хостинг серьезные конторы Где подвох , klalafuda, 25-Авг-11, 20:16 (79)
        
        В идиотах-менеджерах, вероятно , Аноним, 26-Авг-11, 18:59 (99)
- Кстати да, если статику отдаёт nginx или другой сервер, то получится эксплуатиро, TiGR, 24-Авг-11, 22:46 (6) //
  - Получится, у меня таким образом и построено - нгинкс фронтенд статика, за ним ап, ALHSLeo, 24-Авг-11, 22:48 (7) //
    - а зачем апачи отдают сжатую динамику жмите в nginx , zm_michael, 24-Авг-11, 23:08 (10)
      - Не всегда получается отдавать обрабатывать через нгинкс, некоторая часть хосто, ALHSLeo, 24-Авг-11, 23:18 (12)
        
        Тем хуже для вас Капитан , Аноним, 26-Авг-11, 19:48 (105)
Кто-нибудь знает, почему так , umbr, 24-Авг-11, 23:05 (9) //
- header which requests as manydifferent bytes as possible from a file served by h, Аноним, 24-Авг-11, 23:11 (11) //
  - Т е проблема решается последовательной а не параллельной, как сейчас обработк, umbr, 24-Авг-11, 23:27 (13) //
    - Апачевцы решили эту проблему блестяще - ограничили количество чанков десятью , Аноним, 25-Авг-11, 00:14 (15)
      - Главное 8212 завалить, а там запинаем с , umbr, 25-Авг-11, 00:26 (16)
- Это было понятно еще когда они только начали делать бэкэнды с форками на каждого, Аноним, 25-Авг-11, 03:21 (26)
У меня Apache 2 2 17 с Линусовским ядром 3 0 3, ubuntu 11 04 сработало bash -, Евгений, 25-Авг-11, 03:57 (34) //
- У меня Apache 2 2 3 c Линуксовым ядром 2 6 18, centos, нет даже лимитс root 801, Аноним, 25-Авг-11, 10:16 (45) //
  - потому что ulimit , Аноним, 25-Авг-11, 17:31 (73)
Интересно, когда появится апдейт в репах centos , Аноним, 25-Авг-11, 07:47 (41)
протестировал у себя на серверахвезде выдалоHost does not seem vulnerable может , HappyAlex, 25-Авг-11, 08:40 (42) //
- Partial не выдают в заголовках См эксплойт внутри, stimpack, 25-Авг-11, 11:06 (50)
- When using a third party attack tool to verify vulnerability - know that most of, Аноним, 25-Авг-11, 11:21 (51)
По-моему, DDoS Апача через исчерпание им всей памяти особой подготовки и специал, Bocha, 25-Авг-11, 11:04 (47) //
- А это зависит от того за кого вы болеете - за администратора или за атакующего , Аноним, 25-Авг-11, 15:43 (68)
ограничить лимиты юзера под которым работает апач , Ващенаглухо, 25-Авг-11, 11:05 (48)
в эксплойте ошибка на 74й строке if ARGV 1 надо if ARGV 0 а еще пр, stimpack, 25-Авг-11, 11:05 (49) //
- Да там даже шебанга нет, и так все понятно , Аноним, 25-Авг-11, 13:51 (60)
попробуйте на статике использоватьcurl -I -H Range bytes 0-1,0-2 -s mysite co, Аноним, 25-Авг-11, 11:46 (52)
Кто-нибудь воспроизвел Я пытался и на статике и на динамике и на голом апаче и н, Аноним, 25-Авг-11, 12:09 (53) //
- vrt kz - пример , stimpack, 25-Авг-11, 12:16 (54) //
  - Его похоже положили серьезно Как вообще должен сервак отвечать должен ли зад, Аноним, 25-Авг-11, 12:26 (55) //
    - думаю, так быстро-быстро-быстро, опа, память кончилась , stimpack, 25-Авг-11, 12:46 (56)
    - У сервера заканчивается свободная память, потом и своп, а потом возможны вариант, Аноним, 25-Авг-11, 16:00 (69)
      - Во сколько потоков не запускаю - не вижу этого, хоть убейте , Аноним, 25-Авг-11, 17:14 (72)
Там ошибка не только в 74 строке, тут скрипт справленhttp paste org ru v4he2b, Аноним, 25-Авг-11, 12:52 (57)
если у кого остался апач версии 1 3, то пробелы нужно прописывать вот так Rewrit, igorya, 25-Авг-11, 13:21 (59)
Для nginx-фронтенда можно сделать так В глобальную секцию http или server пишем, sergey, 25-Авг-11, 16:04 (70)
Печально даже www apache org реагирует на эту атаку , CrOrc, 25-Авг-11, 18:08 (75) //
- That s what should be called EPIC fail , Аноним, 26-Авг-11, 19:03 (100)
Скрипт не дает выбрать конкретный урл на файл Кто в теме подскажите , Аноним, 25-Авг-11, 18:24 (76) //
- чего , Аноним, 25-Авг-11, 20:09 (78)
Выше изложенные варианты через mod_rewrite убоги Вот вариант блокирующие более 4, DiXaS, 26-Авг-11, 00:57 (83) //
- Чем второй вариант не угодил , Аноним, 26-Авг-11, 03:04 (84) //
  - Тем что укажи пробел, или убери символ и все - защита не работает , DiXaS, 26-Авг-11, 11:50 (87) //
    - Второй из представленных в новости вариантов защищает от таких ситуаций не хуже , Аноним, 26-Авг-11, 13:59 (91)
      - Вчера по нехватки времени вставлял шаблоны региксов и уже не помню какой и где ч, DiXaS, 26-Авг-11, 15:56 (97)
Вот что-то нахерачил на баше seq 2 100 124 xargs -I _ sh -c echo -n , _, Анон, 26-Авг-11, 08:30 (85)
usr bin perl use IO Socket use Parallel ForkManager sub usage print Apach, kulibin, 26-Авг-11, 11:06 (86)
Серьёзно Повезло, что нигде у себя в конторе не нашёл сервера, где эта атака ср, Xaionaro, 26-Авг-11, 13:28 (89) //
- Учтя что оно работает даже на сайте опача здесь что-то не так Может быть, , Аноним, 26-Авг-11, 19:05 (101) //
  - Нет, у нас почти везде есть какой-то front-end, слишком большие нагрузки , Xaionaro, 27-Авг-11, 19:13 (111)
Врут Не вижу никаких проблем с apache 1 3 x vs apache2 с выключенным gzip Тести, fossil, 26-Авг-11, 14:13 (92) //
- Да, я у себя тоже нашёл сервак с apache 1 3 41 из портов FreeBSD , проверил, не, Xaionaro, 26-Авг-11, 14:20 (93) //
  - Вероятно плохо проверял, надо на статике проверять 2 2 16 из репозитория Debian, fossil, 26-Авг-11, 14:26 (95) //
    - Ну, мне лень разбираться почему не сработало Но насколько я помню, там gzip в a, Xaionaro, 26-Авг-11, 14:42 (96)
      - И на этом основании делаются выводы о том что атака не работает Весьма блондини, Аноним, 26-Авг-11, 19:10 (103)
        
        Я ж сказал, т е да, эксперимент некорректен, извиняюсь Притом даже пояснил ч, Xaionaro, 26-Авг-11, 20:58 (106)
        
        Давай, делись адресочком своих серверов, а мы уже как нить да и посмотрим , Вася Пупкин, 27-Авг-11, 03:34 (107)
        
        Да я бы с радостью Но у меня выработана некоторая корпоративная этика И если, Xaionaro, 27-Авг-11, 15:51 (108)
        
        Если Ваша защита базируется на незнании версий ПО заинтересованной стороной, то , Вася Пупкин, 27-Авг-11, 18:42 (109)
        
        Я что-то не понял, я разве сказал, что защита на этом базируется Это одна из ме, Xaionaro, 27-Авг-11, 19:13 (110)
        Если Вы делаете такие выводы, то грош цена как раз им Ой, вот только не надо про, Michael Shigorin, 29-Авг-11, 10:31 (118)
        
        У этого наивного чукотского юноши адресок с серверами кажется прямо в профайле у, Аноним, 28-Авг-11, 17:14 (114)
        
        Я ещё раз повторяю предыдущие такое же замечание было удалено модераторами Я , Xaionaro, 28-Авг-11, 21:51 (115)
- У меня такое ощущение уже несколько лет, что какие-то к колхозники из числа б, Michael Shigorin, 29-Авг-11, 10:29 (117) //
  - 100 У меня до сих пор почти везде 1 3 x Но, к сожалению, закапывают они довол, fossil, 29-Авг-11, 12:03 (120)
У меня такая проблема При использовании SetEnvIf для Apache 2 0 и 2 2 выдает he, Аноним, 29-Авг-11, 11:53 (119) //
- заменить на RequestHeader set Range badrange env bad-range, a, 06-Сен-11, 17:18 (123)

Форумы | Темы | Пред. тема | След. тема

Партнёры:

Хостинг:

Закладки на сайте
Проследить за страницей

Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру