【51CTO.com獨家翻譯】國外安全人員昨天發布了一個很有意思的HTTP Dos攻擊工具。這個工具能夠通過耗盡服務器的可用連接，對Apache（以及其它一些服務器，見下文）進行拒絕服務攻擊(Denial of Service attack)。雖然現在已經有很多其它的Dos工具，但這個工具比較特殊，因為它會向服務器發送不完整的HTTP請求報文，讓HTTP連接一直處于開放狀態。

在這種情況下，服務器只有打開連接并等待完整的報文送達。但結果是，客戶端（也就是這個Dos工具）根本不會把完整的報文信息發送過去，反而會繼續發送一些惡意構造的報文行(bogus header line)，使得這個連接不能被關閉。

最開始發送的那部分HTTP請求是完全合法的：

GET / HTTP/1.1\r\n

Host: host\r\n

User-Agent: Mozilla/4.0 (compatible; MSIE 7.0; Windows NT 5.1; Trident/4.0; 

.NET CLR 1.1.4322; .NET CLR 2.0.503l3; .NET CLR 3.0.4506.2152; 

.NET CLR 3.5.30729; MSOffice 12)\r\n

Content-Length: 42\r\n 

在發送完這部分信息之后，客戶端將停等待一段時間。注意，作為一個合法的報文段，它還缺少一個回車換行來作為結束符?，F在這個工具所發送的偽造的報文行是：  

X-a: b\r\n 

顯然，這一行報文沒有任何意義，服務器會忽略它并繼續等待。當然，如果你想創建一個入侵檢測系統（IDS）簽名的話，你也可以自己設置這一行的內容。

發布該工具的那個網站說，這個工具對Apache 1.x 和 Apache 2.x 版本以及Squid都有效。 而且，考慮到這個工具根本不需要發送大量數據包就可以耗盡服務器的連接數，導致一個帶寬很小的用戶都可能對一臺高速服務器發起攻擊，這個工具的潛在威脅真是不容小視。所幸的是微軟IIS6.0 和 IIS7.0的用戶暫時還不受影響。

目前，我還不知道在Apache的配置有沒有可以防止它攻擊的設置選項，增加MaxClients這一項的值只會增加攻擊的難度，但無法杜絕服務器被攻擊。不過我們的一位名叫Tomasz Miklas的讀者表示，他能通過在Apache服務器前增加一個反向代理解決這個問題。

我們會密切關注這一點，還會在今后繼續發布相關的信息。我們很期待其它Web服務器以及負載均衡器（load balancers）將如何抵御這種攻擊。

【51CTO.COM 獨家翻譯，轉載請注明出處及作者！】