security - Apache mod_reqtimeout 不会丢弃长请求

Question

为了保护我们自己免受 slowloris 类型的攻击，我们在 Apache 2.2.17 安装(在 Solaris 上运行，MPM 编译)上配置了 mod_reqtimeout 模块。 mod_reqtimeout 配置如下:

RequestReadTimeout header=10-20,MinRate=500 body=10-20,MinRate=500

我们正在使用 OWASP http_dos_cli 工具进行测试，并且仍然能够在几秒钟内使站点无法访问。在日志中，我们看到请求在 20 秒后被截断，然后被处理。由于 URL 引用的是实际资源，因此返回 200 状态代码。这可以防止我们的 mod_security 规则集检测 408 状态代码、收集基于 IP 的统计信息并阻止来自该 IP 的进一步请求。

知道为什么 mod_reqtimeout 截断请求而不是丢弃请求并返回 408 吗？

非常感谢!

Answer 1

我已打开错误报告并收到确认 HTTPD 核心中的问题导致以下问题:

• 当检测到请求超时时，Apache 并不总是返回 408(各种情况)
• 当 URL 对应于 RedirectMatch 指令时，Apache 无法正确处理请求超时

此处有更多详细信息:https://issues.apache.org/bugzilla/show_bug.cgi?id=51103

希望最终能对某人有所帮助。