问题标签 [denial-of-service]

让我们以 Jabber 为例：如果我设置自己的 jabber 服务器，并通过发送具有不同发件人地址的消息，让它淹没另一个服务器上的 jabber 用户，如果有的话，通常如何保护该用户？如果客户端通常在 RAM 中保存每个对话至少几条消息（据我所知，每个客户端都会这样做），那么 RAM 不会很快溢出吗？

在 Security+ 一书中，有人告诉过 DoS 攻击可能无法检测到，并且攻击者可以使用无效的 IP 地址。
IP 地址无效是什么意思？是僵尸IP吗？我们该如何面对呢？

Django 中检测和防止 DoS 攻击的最佳实践是什么……是否有任何现成的应用程序或中间件可以防止网站访问和扫描机器人？

我们正在开发托管在 Windows Azure 中的 Web 服务。我们预计在某些时候坏人会尝试对它进行 DDOS。我用谷歌搜索并没有找到任何关于 Windows Azure 是否具有一些针对拒绝服务攻击的功能的新的和明确的（这个相当模糊）。

我们需要采取什么特殊措施吗？Windows Azure 提供什么来防止拒绝服务攻击？

我正在考虑将 OpenID 作为我的 PHP 应用程序的登录方法，但有一件事情阻止我继续：如何保护 OpenID 使用者免受滥用？

使用消费者作为代理滥用 OpenID 的示例

滥用包括用请求淹没其他服务器、使用我的应用程序作为代理、将大量下载作为 URL 传递或通过执行大量请求而不必要地减慢服务器速度。

我想我应该对请求实施速率限制，但我应该怎么做呢？可能的攻击者可以使用其他代理或 TOR 绕过 IP 检查。限制允许的提供者会违反 OpenID 的原则吗？

我不希望我的用户是邪恶的，但我想知道在添加另一个可能的攻击媒介之前我需要考虑哪些事情。

如果有关系，我将使用lightopenid作为 PHP 应用程序的后端。

我已经创建了一个 WCF REST 搜索服务，现在想知道如何实施拒绝服务防御来限制请求的数量。

我有以下网络方法（ASP.NET，c# 4.0）：

我想知道如何防止 XML DoS 攻击（十亿笑声、外部实体等），因为 XmlDocument 被接受为参数？我在哪里以及如何禁止 DTD 处理？在 web 方法的主体中显然为时已晚。

谢谢！

顺便 说一下，这里解决方法的要点是重用所有现有的 HashMap（如 ConcurrentHashMap 等），而不是完全重新发明轮子。使用随机散列函数的语言（如 Perl）可以防止这种攻击。

鉴于最近和毁灭性的 DDoS 在几个 hashmap 实现中使用已知缺陷（已知会影响 Java 网络服务器，但也影响 PHP 和其他），Apache Tomcat 刚刚推出了一个补丁形式的“修复”，允许将POST 请求中允许的最大参数数量上限（将您的 Tomcat 修补到 6.0.35+ 或 7.0.23+ 顺便说一句）。

(D)DoS 显然基本上使用了这样一个事实，即可以制作字符串，以便它们在散列时确实会发生冲突，并且许多网络服务器“愚蠢地”将键/值参数放入（损坏的）散列图中。

我想知道是否可以在 HashMap{String,String} 周围编写一个装饰器，以便为每个添加的字符串添加一个随机（从被攻击的角度来看是随机的）值添加到字符串中，如下所示：

这将是crunch(...)的一种实现（这只是一个示例，重点是：攻击者不知道实现）：

如果对于任何 String s crunch(s)返回一个攻击者无法猜到的可重现的 String，那么 DDoS 攻击就被有效地阻止了，对吧？

那行得通吗？

据 Slashdot 报道，微软今天发布了 ASP.NET 更新以修复哈希冲突攻击。（在链接的 Technet 页面上列为“哈希表中的冲突可能导致 DoS 漏洞 - CVE-2011-3414”。）

问题在于 POST 数据被转换为使用已知散列算法的散列表。如果攻击者通过制作包含大量冲突的请求来使用它，他很容易导致拒绝服务。

有谁知道这个更新究竟是如何解决这个问题的？

到目前为止，你们中的许多人一定听说过HashDoS。发现这一点的研究人员在他们的视频中声称 Hastable 的最坏情况复杂度是O(n^2). 怎么会这样？