Представлен эксплойт, способный блокировать работу любого SSL-сервера

Очень сильно сомневаюсь, что эта хрень так просто уложит nginx. Думаю нужно пускать SSL трафик через nginx и не парится.

Не верно.

Если nginx является просто прокси - не получите никакой разницы.

Если nginx будет устанавливать SSL соединение - получите накладные расходы, мало отичающиеся от апачевских.

Очень зря привыкли что nginx это лекарство от всех болезней.

Галактика вне опасности.

Вообще эта штука намного серьезнее чем может показаться на первый взгляд, но относится в первую очередь она не к хостерам, а к сервису клиент-банк.

Я вот решил протестировать у себя на мощностях и увы не достиг результата :(

С одной стороны это как бы хорошо :D, но с другой стороны я не понимаю тогда, THC вроде же не дебилы :D о чем они пишут?

Изучил я значится сей линк: http://www.thc.org/thc-ssl-dos/

попробовал вот так из баша:

thc-ssl-dosit() { while :; do (while :; do echo R; done) | openssl s_client -connect 127.0.0.1:443 2>/dev/null; done }

for x in `seq 1 100`; do thc-ssl-dosit & done

Ессесно 127.0.0.1 поменял на внешний ИП подопытного сервера, на котором установлено:

Скажу честно, хуже стало той тачке с которой я это запустил :D Она погрязла в openssl процессах , LA стал около 60-80 ..... в общем еле вывел её из ступора :D Эффекта на подопытный сервер это не произвело. (сперва меня конечно побанил собственный файрвол, но потом я проковырял в нем специально дырку с атакующего IP) - результата нет, подопытный сервер как работал так и работает, апач как отвечал так и отвечает....

Дальше я полез собирать бинарик о котором идет речь все в той же ссылке, скомпилилось на ура, запускаю:

через несколько секунд получаю вот что:

Кто-то прояснить может? Я что-то не верно прочел, не верно понял? или каким-то чудо образом моя система не уязвима по этому вопросу?

Romka_Kharkov добавил 27.10.2011 в 03:23

На опеннете без пруфа правда пишут что патч о котором вы говорите якобы решает проблему, но где вылезут баги в связи с этим - не понятно.

Во-первых, это какой-то сюрр

В 15 раз больше ресурсов? На каком-нибудь битриксе сайт в 150 раз больше ресурсов будет тратить, чем бот на посылку запроса. А достаточность 20 ноутбуков для валения большой фермы в таком случае просто напросто означает, что 300 ноутбуков достаточно что бы завалить ту же ферму простым http. И в результате получается какой-то бред.

Во-вторых,

Через 15 секунд? После вывода 15 точек?:)

Перевод: жду пока школоло взовьется от ярости, сила с теми, кто читает исходники. Посмотрите 228-241 строку сишного файла, там кусок бесполезного кода где как раз эти строки выводятся и 15 секундная задержка стоит.

Что касается того, почему у Вас не сработал скрипт, так вроде причина написана "ERROR: Target has disabled renegotiations.", и в Вашей же цитате из статьи есть объяснение причины: "опубликована урезанная версия, которая не будет работать в отношении серверов с отключенным SSL-Renegotiation". При чем на сайте указано направление, как модифицировать исходник, что бы она и там работала. Достаточно распространённая практика не выкладывать полностью боеспособное оружие для скрипткиддисов.

не подскажем, не наша область... в мануале сказано "The tool can be modified to work without SSL-RENEGOTIATION by just establishing a new TCP connection for every", однако... а почему бы Вам не включить ssl-renegotiation на сервере? Раз уж урезанный эксплоит работает только в плане серверов с включенным?

А полная есть? Мне как бы проверить, понять....

У меня была биржа с ssl авторизацикй и 8k ssl одновременно - nginx нагрузку не давал

Вероятно они нашли дыру в реализации OpenSSL библиотеки, сам сервер нагрузку не создает

Andreyka, ты как обычно взрываешь моск, только в этот раз по доброму, ты окончательно меня запутал. :)

Еще раз: То что я описал выше в мирных целях выложено в "не полной версии", можно ли качнуть где-то "полную" (ту которая покажет результат наглядно так сказать)? Или мне надо renegotiation включить в апаче что бы получить эффект?

Описанные методики на сайте который я цитировал вообще никакого видимого эффекта не произвели, ну или я не заметил, все параметры "обычно мониторящиеся" в рамках нормы....

Как написал edogs, описанный сплойт - сюрреализм. У нормального админа он не заработает впринципе.