DOS 攻击“slow post”：如何在 IIS 中防止

Question

我有一个面向公众的 IIS 7.5 Web 服务器，它运行一个 ASP.NET 网站，它刚刚通过“慢发布”漏洞使我们的安全扫描之一失败。

已尝试减少站点 web.config 中的 httpruntime executiontimeout 值，但该站点仍无法通过安全扫描。

任何人都对 IIS 设置/配置有任何建议，以防止缓慢的 post dos 攻击？

编辑： 我认为可能防止这种情况的唯一方法是在应用程序中执行此操作，查看 global.asx 中 beginrequest 子项中的标头，并根据内容类型，结束/关闭响应...

该工具建议使用以下方法测试漏洞：https : //www.owasp.org/index.php/OWASP_HTTP_Post_Tool但我真的只是想确定是否有任何 iis 配置可以修复它。

慢帖：“ HTTP POST DDOS 攻击的工作原理（HTTP/1.0）（续）

1. 例如，Content-Length = 1000 (bytes) HTTP 消息体是正确的 URL 编码，但是 ..
2. ..... 再次发送，例如每 110 秒 1 个字节。
3. 将此类连接乘以 20,000，您的 IIS Web 服务器将成为 DDOS。
4. 大多数 Web 服务器可以在单个 HTTP POST 请求中接受最多 2GB 的内容。

参考：https : //media.blackhat.com/bh-dc-11/Brennan/BlackHat_DC_2011_Brennan_Denial_Service-Slides.pdf

Answer 1

IIS 本身没有任何速率限制（或者我猜在这种情况下是负速率限制）。您可以查看动态 IP 限制模块 ( http://www.iis.net/download/DynamicIPRestrictions )。我不相信它会专门检查这一点，但值得一看。

检查这一点可能会更有利于您的防火墙 IDS 过滤。那里可能支持检查这种类型的攻击。