未分類
5 9 月 2020

如何让 Web 服务器少消化一些垃圾数据？

如何让 Web 服务器少消化一些垃圾数据？

資深大佬 : Wizards 2

用 netcat 执行了如下一行命令：向某个弹幕网站的服务器端口写空字符。

dd if=/dev/zero bs=10MB count=1 | nc -n -N 120.92.174.135 80

大厂服务器可能是速战速决，直接返回了 EOF，没有标准 HTTP 响应。

对于我自己的服务器，执行相同的指令。Nginx 傻傻地接受了 10MB 的数据，然后返回了 HTTP/1.1 400 Bad Request 。

请问如何让服务器变聪明？

大佬有話說 (11)

  • 資深大佬 : singerll

    waf

  • 主 資深大佬 : Wizards

    @singerll 个人闹着玩用商业 WAF 还是奢侈了一点。

    刚刚改试了 tengine，就比 nginx 机智那么一点，好奇 nginx 能不能通过打开某个开关实现防御

  • 資深大佬 : opengps

    个人的话，有点为难，毕竟在企业应用领域，高防 ip，waf，甚至某些 cdn 都具备这种清洗能力

  • 資深大佬 : chendy

    设置 client_max_body_size ？

  • 資深大佬 : opengps

    @chendy 不合适的，有些网页的回传数据就几个 M，设置成 10M 有可能阻挡了正常业务

  • 資深大佬 : saytesnake

    @Wizards 一的意思应该是 ModSecurity 、Naxsi 或者自己戳 Lua 。

  • 資深大佬 : kangsheng9527

    感谢主给了大家一个新的攻击思路。。。代表所有攻击手给主一个赞！

  • 資深大佬 : PolarBears

    如果有意想要占服务端下行流量直接可以构造正常的请求,这个问题好像不做特别处理也没什么问题吧?

  • 資深大佬 : learningman

    我试了一下你的命令，直接返回了 414 啊，，，

  • 資深大佬 : zjsxwc

    没有吧，

    我看到 nginx 返回的 400html 文本里面是
    `Content-Length: 166`
    166 个字符而已，并没有 10M 。

    http 协议里面客户端请求也是有格式要求的，不符合要求的会被 nginx 直接关掉网络连接。

  • 資深大佬 : monter

    这个是个有趣的问题，你需要的是 ngx_http_core_module 中的 lingering_close off;
    nginx 配置繁杂，非专业人士难以捉摸