スローロリス（サイバー攻撃）

スローロリス
	コマンドプロンプトで実行されているSlowloris
初回リリース	2009年6月17日
安定版リリース	0.7
書かれた	パール
プラットフォーム	クロスプラットフォーム
サイズ	36 KB
タイプ	ハッキングツール
Webサイト	ha.ckers.org/slowloris/

Slowlorisは、最小限の帯域幅と無関係なサービスやポートへの副作用で、単一のマシンが別のマシンの Web サーバーを停止できるようにするサービス拒否攻撃ツールの一種です。

Slowloris は、ターゲット Web サーバーへの接続を多数開いたままにして、できるだけ長く開いたままにしようとします。これは、ターゲット Web サーバーへの接続を開き、部分的なリクエストを送信することで実現します。定期的に、後続のHTTPヘッダーを送信して、リクエストに追加しますが、完了することはありません。影響を受けるサーバーはこれらの接続を開いたままにして、最大同時接続プールをいっぱいにし、最終的にクライアントからの追加の接続試行を拒否します。^[1]

このプログラムは、ゆっくりとした動きで知られる霊長類のグループであるスローロリスにちなんで名付けられました。

影響を受けるウェブサーバー

攻撃者によると、これには以下のものが含まれますが、必ずしもこれらに限定されるわけではありません。^[1]

Apache 1.x および 2.x
dhttpd
Websense の「ブロックページ」（未確認）
Trapeze ワイヤレス Web ポータル (未確認)
Verizon のMI424-WR FIOS ケーブルモデム (未確認)
Verizon のMotorolaセットトップボックス (ポート 8082、認証が必要 - 未確認)
BeeWare WAF (未確認)
すべてのWAFを拒否（パッチ適用済み）^[2]
Flask (開発サーバー)
インターネットインフォメーションサービス (IIS) 6.0 以前^[3]
Nginx 1.5.9以前^[4]

TLS ハンドシェイクプロセスに対する Slowloris 攻撃に対して脆弱:

Apache HTTP Server 2.2.15以前^[5]
インターネットインフォメーションサービス (IIS) 7.0 以前^[6]

Slowlorisは数千の接続を処理する問題を悪用するため、大量の接続を適切に処理できるサーバーでは攻撃の影響は小さくなります。この種の攻撃を軽減するために、 Varnish、nginx、Squidなどのプロキシサーバーやキャッシュアクセラレータの使用が推奨されています^{[7] 。さらに、Hiawatha、}^[8] IIS、lighttpd、Cherokee、Cisco CSSなど、設計上、攻撃に対する耐性が強いサーバーもあります^[要出典]。

スローロリス攻撃の緩和

影響を受ける Web サーバーで Slowloris 攻撃を阻止できる確実な構成はありませんが、このような攻撃の影響を軽減または軽減する方法はあります。一般的には、サーバーが許可するクライアントの最大数を増やす、1 つのIP アドレスで許可される接続の数を制限する、接続で許可される最小転送速度を制限する、クライアントが接続を維持できる時間を制限するなどの方法があります。

Apache Webサーバーでは、Slowloris攻撃による被害を制限するためにいくつかのモジュールを使用できます。Apacheモジュールmod_limitipconn、mod_qos、mod_evasive、mod security、mod_noloris、mod_antilorisはすべて、Slowloris攻撃が成功する可能性を減らす手段として提案されています。^[1]^[9] Apache 2.2.15以降、Apacheは開発者がサポートする公式ソリューションとしてモジュールmod_reqtimeoutを出荷しています。^[10]

その他の緩和技術としては、リバースプロキシ、ファイアウォール、ロードバランサー、コンテンツスイッチの設定があります。^[11]管理者は、影響を受けるWebサーバーを、この形式の攻撃の影響を受けないソフトウェアに変更することもできます。たとえば、lighttpdとnginxは、この特定の攻撃には屈しません。^[1]

注目すべき使用法

2009年のイラン大統領選挙をきっかけに勃発した抗議活動の間、スローロリスはイラン政府が運営するサイトに対するDoS攻撃に利用される主要なツールとして登場した。 ^{[12]フラッディング}DDoS攻撃は、消費する帯域幅が大きいため、政府と抗議者のインターネットアクセスに等しく影響を与えると考えられていた。代わりにスローロリス攻撃が選ばれたのは、その影響が大きく、帯域幅が比較的低かったためである。^[13]これらの攻撃では、gerdab.ir、leader.ir、president.irなど、いくつかの政府運営サイトが標的となった。^[14]

この攻撃の変種は、スパムネットワークのRiver City Mediaによって使用され、メッセージ送信リクエストでGmail APIへの何千もの接続を開き、それらをすべて一度に完了させることで、 Gmailサーバーに何千ものメッセージを一括送信させました。^[15]

類似ソフトウェア

リリース以来、Slowlorisの機能を模倣しながら追加機能を提供したり、異なる環境で実行したりするプログラムが数多く登場している。^[16]

PyLoris – TorおよびSOCKSプロキシをサポートするプロトコルに依存しないPython実装。^[17]
Slowloris – SOCKSプロキシをサポートするSlowlorisのPython 3実装。^[18]
Goloris – Goで書かれたnginx用のSlowloris。^[19]
slowloris - 分散Golang実装^[20]
QSlowloris – Windows上で動作するように設計されたSlowlorisの実行形式。Qtフロントエンドを搭載。^[21]
HTTPサーバーから実行できる名前のないPHPバージョン。^[22]
SlowHTTPTest – C++で書かれた、高度に設定可能なスローアタックシミュレーター。^[23]^[24]
SlowlorisChecker – SlowlorisとSlowのPOST POC（概念実証）。Rubyで書かれています。^[25]
Cyphon - Objective-Cで書かれたMac OS X用のSlowloris。^[26]
sloww - Node.jsで書かれたSlowlorisの実装。^[27]
dotloris - .NET Coreで書かれたSlowloris ^[28]
SlowDroid - Javaで書かれたSlowlorisの強化版で、攻撃帯域幅を最小限に抑えます^[29]

参照

参考文献

^ abcd 「Slowloris HTTP DoS」。2015年4月26日時点のオリジナルよりアーカイブ。2009年6月26日閲覧。{{cite web}}: CS1 maint: bot: original URL status unknown (link)
^ 「アーカイブコピー」（PDF）。 2014年2月1日時点のオリジナル（PDF）からアーカイブ。 2013年5月15日閲覧。{{cite web}}: CS1 maint: archived copy as title (link)
^ “Slowloris”. www.powerwaf.com . 2023年7月17日時点のオリジナルよりアーカイブ。2023年7月17日閲覧。
^ “Slowloris”. www.powerwaf.com . 2023年7月17日時点のオリジナルよりアーカイブ。2023年7月17日閲覧。
^ “Slowloris”. www.powerwaf.com . 2023年7月17日時点のオリジナルよりアーカイブ。2023年7月17日閲覧。
^ “Slowloris”. www.powerwaf.com . 2023年7月17日時点のオリジナルよりアーカイブ。2023年7月17日閲覧。
^ 「Apache Web サーバーに対する「slowloris」DOS 攻撃を最も効果的に防御する方法は?」。serverfault.com。2016年12 月 28 日閲覧。
^ 「攻撃を受けているときのパフォーマンステスト」 hiawatha-webserver.org. 2014年2月28日。2014年3月15日時点のオリジナルよりアーカイブ。2014年3月15日閲覧。
^ "mod_noloris: DoS からの防御". niqのソープボックス。 2009 年 7 月。2011 年 10 月 8 日のオリジナルからアーカイブ。2012 年1 月 7 日に取得。
^ 「mod_reqtimeout - Apache HTTP Server」。Httpd.apache.org。2013年7月3日時点のオリジナルよりアーカイブ。2013年7月3日閲覧。
^ Breedijk, Frank (2009 年 6 月 22 日). 「Slowloris と Nkiller2 対 Cisco CSS ロードバランサー」. Cupfighter.net. 2012 年 2 月 15 日時点のオリジナルよりアーカイブ。2012 年1 月 7 日閲覧。
^ Zdrnja, Bojan (2009年6月23日). 「ISC Diary | SlowlorisとイランのDDoS攻撃」Isc.sans.org。2021年11月12日時点のオリジナルよりアーカイブ。 2012年1月7日閲覧。
^ [1] 2009年6月29日アーカイブ、Wayback Machineより
^ [2] 2009年8月11日アーカイブ、Wayback Machine
^ Vickery, Chris (2017年3月6日). 「Spammergate: The Fall of an Empire」. MacKeeper Security Watch . 2017年3月6日時点のオリジナルよりアーカイブ。
^ Robert "RSnake" Hansen. 「Slowloris」(PDF) . SecTheory. 2012年1月19日時点のオリジナルよりアーカイブ(PDF) . 2012年1月7日閲覧。
^ “PyLoris”. MotomaSTYLE. 2009年6月19日. 2009年7月15日時点のオリジナルよりアーカイブ。 2012年1月7日閲覧。
^ 「Slowloris を Python で書き換える」。GitHub。2019年 7 月 16 日時点のオリジナルよりアーカイブ。2017 年5月10 日閲覧。
^ valyala. 「Slowloris for nginx DoS」。GitHub。2016年1月28日時点のオリジナルよりアーカイブ。2014年2月4日閲覧。
^ Tsankov, Ivaylo (2022年4月22日)、slowloris - Golang 分散型 Slowloris 攻撃、2022年4月24日時点のオリジナルよりアーカイブ、2022年4月24日閲覧。
^ 「5つの簡単なステップでgerdab.irを倒す方法」 cyberwar4iran. 2009年6月28日。2011年7月8日時点のオリジナルよりアーカイブ。2012年1月7日閲覧。
^ 「Full Disclosure: apache and squid dos」Seclists.org、2009年6月19日。2009年6月27日時点のオリジナルよりアーカイブ。2012年1月7日閲覧。
^ 「低速 HTTP 攻撃に対する Web サーバーのテスト」。qualys.com。2011 年 9 月 19 日。2014 年 1 月 2 日時点のオリジナルよりアーカイブ。2012 年1 月 13 日閲覧。
^ 「shekyan/slowhttptest: アプリケーション層 DoS 攻撃シミュレーター」。GitHub。2016 年 7 月 19 日時点のオリジナルよりアーカイブ。2017 年4 月 19 日閲覧。
^ 「Slowloris 攻撃の影響を受ける可能性があるサーバーがあるかどうかを確認するための簡単なスクリプト」。github.com/felmoltor。2012 年 12 月 31 日。2016 年 1 月 28 日時点のオリジナルよりアーカイブ。2012年12 月 31 日閲覧。
^ abilash. 「Slowloris for OSX」. GitHub . 2020年8月17日時点のオリジナルよりアーカイブ。2017年4月8日閲覧。
^ Davis, Ethan (2018年2月17日)、sloww: Nodeでの軽量Slowloris攻撃CLI、2020年11月9日時点のオリジナルよりアーカイブ、 2018年2月18日閲覧。
^ Bassel Shmali (2021年11月28日). 「.Net coreで書かれたSlowloris」. GitHub . 2018年6月17日時点のオリジナルよりアーカイブ。 2018年3月31日閲覧。
^ Cambiaso, Enrico; Papaleo, Gianluca; Aiello, Maurizio (2014). 「SlowDroid: スマートフォンをモバイル攻撃ベクトルに変える」2014 国際未来のモノのインターネットとクラウド会議pp. 405–410. doi :10.1109/FiCloud.2014.72. ISBN 978-1-4799-4357-9. S2CID 14792419. 2022年3月2日時点のオリジナルよりアーカイブ。2022年3月2日閲覧。

外部リンク

スローロリス HTTP DoS
Slowloris の hackaday
LWN.netの「スローロリス」記事により Apache が攻撃を受ける
Slowloris – 短いビデオ（デモを含む）
SlowHTTPTest のホームページ
LOIC 上で SlowLoris をシミュレートする試み
Slowloris の内部の仕組みを説明するブログ投稿

[ha.ckers.org-1] 「Slowloris HTTP DoS」。2015年4月26日時点のオリジナルよりアーカイブ。2009年6月26日閲覧。{{cite web}}: CS1 maint: bot: original URL status unknown (link)

[2] 「アーカイブコピー」（PDF）。 2014年2月1日時点のオリジナル（PDF）からアーカイブ。 2013年5月15日閲覧。{{cite web}}: CS1 maint: archived copy as title (link)

[3] “Slowloris”. www.powerwaf.com . 2023年7月17日時点のオリジナルよりアーカイブ。2023年7月17日閲覧。

[4] “Slowloris”. www.powerwaf.com . 2023年7月17日時点のオリジナルよりアーカイブ。2023年7月17日閲覧。

[5] “Slowloris”. www.powerwaf.com . 2023年7月17日時点のオリジナルよりアーカイブ。2023年7月17日閲覧。

[6] “Slowloris”. www.powerwaf.com . 2023年7月17日時点のオリジナルよりアーカイブ。2023年7月17日閲覧。

[7] 「Apache Web サーバーに対する「slowloris」DOS 攻撃を最も効果的に防御する方法は?」。serverfault.com。2016年12 月 28 日閲覧。

[8] 「攻撃を受けているときのパフォーマンステスト」 hiawatha-webserver.org. 2014年2月28日。2014年3月15日時点のオリジナルよりアーカイブ。2014年3月15日閲覧。

[9] "mod_noloris: DoS からの防御". niqのソープボックス。 2009 年 7 月。2011 年 10 月 8 日のオリジナルからアーカイブ。2012 年1 月 7 日に取得。

[10] 「mod_reqtimeout - Apache HTTP Server」。Httpd.apache.org。2013年7月3日時点のオリジナルよりアーカイブ。2013年7月3日閲覧。

[11] Breedijk, Frank (2009 年 6 月 22 日). 「Slowloris と Nkiller2 対 Cisco CSS ロードバランサー」. Cupfighter.net. 2012 年 2 月 15 日時点のオリジナルよりアーカイブ。2012 年1 月 7 日閲覧。

[12] Zdrnja, Bojan (2009年6月23日). 「ISC Diary | SlowlorisとイランのDDoS攻撃」Isc.sans.org。2021年11月12日時点のオリジナルよりアーカイブ。 2012年1月7日閲覧。

[13] [1] 2009年6月29日アーカイブ、Wayback Machineより

[14] [2] 2009年8月11日アーカイブ、Wayback Machine

[15] Vickery, Chris (2017年3月6日). 「Spammergate: The Fall of an Empire」. MacKeeper Security Watch . 2017年3月6日時点のオリジナルよりアーカイブ。

[16] Robert "RSnake" Hansen. 「Slowloris」(PDF) . SecTheory. 2012年1月19日時点のオリジナルよりアーカイブ(PDF) . 2012年1月7日閲覧。

[17] “PyLoris”. MotomaSTYLE. 2009年6月19日. 2009年7月15日時点のオリジナルよりアーカイブ。 2012年1月7日閲覧。

[18] 「Slowloris を Python で書き換える」。GitHub。2019年 7 月 16 日時点のオリジナルよりアーカイブ。2017 年5月10 日閲覧。

[19] valyala. 「Slowloris for nginx DoS」。GitHub。2016年1月28日時点のオリジナルよりアーカイブ。2014年2月4日閲覧。

[20] Tsankov, Ivaylo (2022年4月22日)、slowloris - Golang 分散型 Slowloris 攻撃、2022年4月24日時点のオリジナルよりアーカイブ、2022年4月24日閲覧。

[21] 「5つの簡単なステップでgerdab.irを倒す方法」 cyberwar4iran. 2009年6月28日。2011年7月8日時点のオリジナルよりアーカイブ。2012年1月7日閲覧。

[22] 「Full Disclosure: apache and squid dos」Seclists.org、2009年6月19日。2009年6月27日時点のオリジナルよりアーカイブ。2012年1月7日閲覧。

[23] 「低速 HTTP 攻撃に対する Web サーバーのテスト」。qualys.com。2011 年 9 月 19 日。2014 年 1 月 2 日時点のオリジナルよりアーカイブ。2012 年1 月 13 日閲覧。

[24] 「shekyan/slowhttptest: アプリケーション層 DoS 攻撃シミュレーター」。GitHub。2016 年 7 月 19 日時点のオリジナルよりアーカイブ。2017 年4 月 19 日閲覧。

[25] 「Slowloris 攻撃の影響を受ける可能性があるサーバーがあるかどうかを確認するための簡単なスクリプト」。github.com/felmoltor。2012 年 12 月 31 日。2016 年 1 月 28 日時点のオリジナルよりアーカイブ。2012年12 月 31 日閲覧。

[26] sh. 「Slowloris for OSX」. GitHub . 2020年8月17日時点のオリジナルよりアーカイブ。2017年4月8日閲覧。

[27] Davis, Ethan (2018年2月17日)、sloww: Nodeでの軽量Slowloris攻撃CLI、2020年11月9日時点のオリジナルよりアーカイブ、 2018年2月18日閲覧。

[28] Bassel Shmali (2021年11月28日). 「.Net coreで書かれたSlowloris」. GitHub . 2018年6月17日時点のオリジナルよりアーカイブ。 2018年3月31日閲覧。

[turningpaper-29] Cambiaso, Enrico; Papaleo, Gianluca; Aiello, Maurizio (2014). 「SlowDroid: スマートフォンをモバイル攻撃ベクトルに変える」2014 国際未来のモノのインターネットとクラウド会議pp. 405–410. doi :10.1109/FiCloud.2014.72. ISBN 978-1-4799-4357-9. S2CID 14792419. 2022年3月2日時点のオリジナルよりアーカイブ。2022年3月2日閲覧。