php - 如何在我自己的本地 PHP 服务器上造成拒绝服务？

Question

前言:我是一名即将毕业的计算机科学本科生，但我在 Web 开发方面几乎没有经验，尤其是 PHP。抱歉不熟悉。

背景:我希望在我自己的本地 PHP 服务器上创建一个简单的 DoS 漏洞，该服务器在 Linux (18.04) 64 位虚拟机器上运行 XAMPP。为了确保我不只是通过本地事件提高虚拟机上的 CPU 使用率，我正在运行另一个虚拟机，我在其中使用 Python 脚本和“请求”库在一个循环中请求易受攻击的页面 10,000 次。截至目前，易受攻击的页面 (dos.php) 运行一个循环，将一个随机数附加到一个列表，然后回显一个通用文本行的散列值，这除了据称是 CPU 密集型之外完全不相关。

问题:我了解到我可以将内存和 CPU 使用率输出到浏览器(通过 https://devdojo.com/tutorials/how-to-get-memory-and-cpu-usage-in-php)。问题是我无法让服务器上的 CPU 使用率超过 4%...内存大约为 30%。但是，我知道我做的一些小部分是正确的，因为我看到从 0-1% 增加到 4% 的数字，但除此之外什么也没有。

最终目标是展示一个概念验证，我在其中展示了如果指向 PHP 文档，模糊器 (SlowFuzz) 可以找到此漏洞。一旦我有一个 DoS 漏洞，我计划编写一个非常简单且有意破坏的函数。类似于用户定义上限的循环。

这是 PHP 在 dos.php 上的图片: PHP Code

预先感谢您的帮助!希望这不是一个太愚蠢的问题。

Answer 1

Apache 可以很容易地通过用慢读客户端填充它的请求队列来进行 DoS。
Apache 配置了同时连接的客户端的最大数量，并且默认情况下不会对客户端强制执行最低读取速度，因此以 1 字节/秒的速度读取响应将使连接保持打开状态很长时间，并减少 DoS 工具所需的重新连接次数同时也减少了普通客户通过的机会。

现代 Apache 设置将丢弃读取速度太慢或拒绝来自同一地址的过多连接的客户端，以防止此类攻击。我不确定默认的 XAMPP 安装是否包括这个。