ПРОЕКТЫ 


  АРХИВ 


Apache-Talk @lexa.ru 

Inet-Admins @info.east.ru 

Filmscanners @halftone.co.uk 

Security-alerts @yandex-team.ru 

nginx-ru @sysoev.ru 


  СТАТЬИ 


  ПЕРСОНАЛЬНОЕ 


  ПРОГРАММЫ 



ПИШИТЕ
ПИСЬМА












     АРХИВ :: nginx-ru
Nginx-ru mailing list archive (nginx-ru@sysoev.ru)

[Date Prev][Date Next][Thread Prev][Thread Next][Date Index][Thread Index]

Re: Re[2]: Дотюнился... Стр анности в iostat



ок

On 05.12.2008, at 15:26, Maxim Dounin wrote:

Hello!

On Thu, Dec 04, 2008 at 08:09:06PM +0300, Alexey V. Karagodov wrote:

если очень надо, то попробую создать описанную мною выше ситуацию не
навредим при этом запущенным коммерческим проектам ...

Не то чтобы я горел желанием глубоко погружаться в эту проблему -
тем более что accept-фильтры я не использую.

Так что специально ничего делать наверное не надо, но если вдруг
кто-нибудь случайно наступит - было бы неплохо собрать более
подробную информацию (хотя бы netstat -Lan, vmstat -z, ps -alx,
fstat, sockstat).
сделаю перечисленное при случае ...

Maxim Dounin


On 04.12.2008, at 19:35, Maxim Dounin wrote:

Hello!

On Thu, Dec 04, 2008 at 05:58:34PM +0300, Alexey V. Karagodov wrote:

7.0 RELEASE (i386)
7.1 PRERELEASE (i386)
на amd64 не проверял, сырцы не смотрел
было "очень больно", по-этому просто выключил эту "фишку"

На 7.0 RELEASE i386 всё вроде нормально, по крайней мере на
синтетических тестах переполнение inqlen отрабатывает как должно
(закрывает старые соединения).

Видимо там какой-то нехороший race где-то, надо подробно
разбираться.

Maxim Dounin


On 04.12.2008, at 17:37, Maxim Dounin wrote:

Hello!

On Wed, Dec 03, 2008 at 11:36:47PM +0300, Alexey V. Karagodov wrote:

угу, "тестировали"
в один прекрасный момент, сайт ложится
на 80-м порту никто ничего не принимает
netstat -Lan
tcp4  xxx/4096/4096       *.80
хоть дата, хоть хттп, дело даже не доходит до разбирательств, что
это
просто висит tcp соединение и ждёт time-out (о чём писалось ранее) это можно устроить просто коннектом к 80-му порту, даже передавать
ничего не надо
а сервер будет ждать данных

А на какой версии фри это наблюдалось?  Если до 6.1/5.5 - то это
скорее всего проблема которая уже поправлена (sys/kern/
uipc_socket2.c,
rev. 1.151) - там был совсем смешной баг.  В такой ситуации должны
удаляться наиболее старые соединения.

Maxim Dounin


On 03.12.2008, at 22:20, Михаил Монашёв wrote:

Здравствуйте, MZ.

Хотелось  бы  понять,  атаку  на  http  accept  filter
тестировали на
практике  или  только  код  смотрели?  И  что именно валится при
такой
атаке? Помогает ли смена http accept filter на data accept filter?

Интересуюсь ясное дело для защиты, а не для нападения.

Криво написан, задосить легко. Тссс!
пока нашёл только http://www.lexa.ru/apache-talk/msg06733.html
Может поделитесь Вашим опытом в этом направлении?

M> Планируете кого-то задосить ?
M> Прошу прощения, но выкладывать в публичный доступ подобную
информацию
M> считаю неэтичным.
M> Проблемы там есть, достаточно серьезные чтобы их нельзя было
M> сравнительно легко исправить. Просто человек который его писал
видимо
M> не задумывался над проблемой устойчивости к dos-атакам.

M> Модуль делает свою работу по минимизации оверхеда на context-
switch
для
M> обычных http-запросов, но чтобы быть dos-устойчивым его надо
M> переписывать практически с нуля.

M> PS. Все вышесказанное мною есть сугубо личное мнение, не
обязательно
M> отражающее действительную реальность.





--

С уважением,
Михаил Монашёв, SoftSearch.ru
mailto:postmaster@xxxxxxxxxxxxx
ICQ# 166233339
http://michael.mindmix.ru/
Без бэкапа по жизни.













 




Copyright © Lexa Software, 1996-2009.