利用HTTP指令直接获取WEB服务器内容
2007-12-10 15:41
183 查看
技术背景
随着Web技术越来越广泛的应用到我们的生活，Web应用的架构的设计者和开发者不得不面对这么一个问题，那就是Web不断增长的访问量和负载，随之提升性能的相关技术应运而生，如DNS轮询、负载均衡、Cache技术等等。如果有兴趣，大家不妨对大型网站进行一下抓包，可以发现很多网站都采用了squid反向代理，通过Squid的Cache提供高速Web响应。
Cache机制不仅给服务器处理带来了很大程度的性能提升，一定程度上，也大大提升了Web服务提供商应对Get Flood的能力。
用户对网站的访问，大多被分布的Cache服务器分担了，由于Cache服务器的数量以及Cache的良好处理吞吐性能，即便发生了Get Flood等攻击，此种机制也可以很好的自身消化掉攻击负载，并且即便单一Cache主机瘫痪也不会对整体Web服务造成影响。
我们可以假设这样一种形势，如果攻击者可以穿过Cache，直接将负载压力传达到后台提供HTTP服务的服务器，将这台机器攻击瘫痪，那么前台的服务器也将因为Cache无法得到更新而服务受到影响，达到拒绝服务的效果。
那么是否有方法可以达到上述效果呢？答案是肯定的，那就是通过HTTP指令来达到此种攻击。
HTTP协议（v1.1和v1.0）都提供了Cache处理字段，其中字段Cache-Control（v1.0中为Pragma），当这个字段的值为no-cache时，大多数cache软件将不对请求作出响应，而直接将请求传递到后台服务器，利用这个指令的机制，我们就可以实现我们所要达到的攻击效果。
随着Web技术越来越广泛的应用到我们的生活，Web应用的架构的设计者和开发者不得不面对这么一个问题，那就是Web不断增长的访问量和负载，随之提升性能的相关技术应运而生，如DNS轮询、负载均衡、Cache技术等等。如果有兴趣，大家不妨对大型网站进行一下抓包，可以发现很多网站都采用了squid反向代理，通过Squid的Cache提供高速Web响应。
Cache机制不仅给服务器处理带来了很大程度的性能提升，一定程度上，也大大提升了Web服务提供商应对Get Flood的能力。
用户对网站的访问，大多被分布的Cache服务器分担了，由于Cache服务器的数量以及Cache的良好处理吞吐性能，即便发生了Get Flood等攻击，此种机制也可以很好的自身消化掉攻击负载，并且即便单一Cache主机瘫痪也不会对整体Web服务造成影响。
我们可以假设这样一种形势，如果攻击者可以穿过Cache，直接将负载压力传达到后台提供HTTP服务的服务器，将这台机器攻击瘫痪，那么前台的服务器也将因为Cache无法得到更新而服务受到影响，达到拒绝服务的效果。
那么是否有方法可以达到上述效果呢？答案是肯定的，那就是通过HTTP指令来达到此种攻击。
HTTP协议（v1.1和v1.0）都提供了Cache处理字段，其中字段Cache-Control（v1.0中为Pragma），当这个字段的值为no-cache时，大多数cache软件将不对请求作出响应，而直接将请求传递到后台服务器，利用这个指令的机制，我们就可以实现我们所要达到的攻击效果。
内容来自用户分享和网络整理，不保证内容的准确性，如有侵权内容，可联系管理员处理 
相关文章推荐
- 利用HttpWebRequest获取网页内容，由于Gzip压缩导致乱码的情况
- iis7 发布mvc3 遇到的HTTP错误 403.14-Forbidden Web 服务器被配置为不列出此目录的内容
- Java基础：利用HttpClient获取网页内容
- iis7 发布mvc3 遇到的HTTP错误 403.14-Forbidden Web 服务器被配置为不列出此目录的内容
- HttpWebRequest自动登录网站并获取网站内容（不包含验证码的网站）
- 高性能Web服务器Nginx的配置与部署研究（9）核心模块之HTTP模块基本常用指令
- asp.net 利用HttpWebRequest自动获取网页编码并获取网页源代码
- HTTP错误404.13 - Not Found 请求筛选模块被配置为拒绝超过请求内容长度的请求，原因是Web服务器上的请求筛选被配置为拒绝该请求，因为内容长度超过配置的值（IIS 7 默认文件上传大
- HttpWebRequest自动登录网站-获取网站内容
- C#利用HttpClient获取微信Web扫描登录二维码
- C#获取网页内容 (WebClient、WebBrowser和HttpWebRequest/HttpWebResponse)
- 解决【HTTP 错误 403.14 - Forbidden Web 服务器被配置为不列出此目录的内容】
- HttpWebRequest自动登录网站并获取网站内容（不包含验证码的网站）
- 利用ServerSocket获取浏览器http协议内容
- iis7 发布mvc3 遇到的HTTP错误 403.14-Forbidden Web 服务器被配置为不列出此目录的内容及Login on failed for "IIS APPPOOL\ASP.NET v4.0"问题
- win2008 mvc4.0 项目发布错误(HTTP 错误 403.14 - Forbidden Web 服务器被配置为不列出此目录的内容。)解决方案：
- 利用httpWebrequest 向服务器发送请求,并返回结果.
- iis7 发布mvc 遇到的HTTP错误 403.14-Forbidden Web 服务器被配置为不列出此目录的内容
- js_html_input中autocomplete="off"在chrom中失效的解决办法 使用JS模拟锚点跳转 js如何获取url参数 C#模拟httpwebrequest请求_向服务器模拟cookie发送 实习期学到的技术（一） LinqPad的变量比较功能 ASP.NET EF 使用LinqPad 快速学习Linq
- .net mvc HTTP 错误 403.14 - Forbidden Web 服务器被配置为不列出此目录的内容