Apache HTTP Server 1.x 與 2.x 版允許遠端攻擊者透過部分 HTTP 要求，造成拒絕服務 (程序中斷)，Slowloris 即為一例，這是因為 2.2.15 之前的版本沒有 mod_reqtimeout 模組所致。(CVE-2007-6750) 影響：Slowloris 攻擊是針對執行緒網頁伺服器發動的一種拒絕服務 (DoS) 攻擊。它會嘗試傳送無法完成的 HTTP 要求，藉此佔用網頁伺服器上所有可用的要求處理執行緒。由於每個要求都會耗用一個執行緒，因此 Slowloris 最終會耗盡網頁伺服器的所有連線容量，有效地拒絕合法使用者進行存取。「網際網路工程任務推動小組」(RFC 2616) 這種 HTTP 通訊協定規格指出必須使用空白行來表示要求標頭的結尾與裝載的開頭 (如果有的話)。接收整個要求之後，網頁伺服器就會回應。注意：空白行的建立方式是傳送連續的兩行新行：<CR><LF><CR><LF> Slowloris 的攻擊方式是建立多個與網頁伺服器連接的連線。它會利用每個連線傳送不完整的要求，這些要求中不含結尾的換行序列。攻擊者會定期傳送其他標頭行以使連線持續作用，但絕不傳送結尾的換行序列。網頁伺服器會使連線保持開啟，預期接收更多的資訊以完成要求。若攻擊持續下去，長期的 Slowloris 連線就會不斷增加，最終耗盡所有可用的網頁伺服器連線，使網頁伺服器無法回應其他合法的要求。

偵測

F5 網路 BIG-IP：Slowloris 拒絕服務攻擊弱點 (K12636)

medium Nessus Plugin ID 97419

找不到變更記錄