Slowloris 攻击是一种拒绝服务 (DoS) 攻击，它通过保持大量连接打开并向服务器发送不完整的 HTTP 请求，阻止服务器关闭连接来攻击 Web 服务器。这会导致服务器在等待剩余的请求数据（这些数据永远不会到达）时耗尽资源。Slowloris 攻击对 Apache 等使用基于线程的架构处理传入请求的 Web 服务器尤其有效。
Slowloris 的工作原理
Slowloris 攻击利用的是 Web 服务器处理传入 HTTP 请求的方式。当客户端（例如 Web 浏览器）向服务器发出请求时，它会发送完整的 HTTP 请求并期待响应。然而，在 Slowloris 攻击中，攻击者会发送部分 HTTP 请求，并通过非常缓慢地发送标头来保持连接打开。其工作原理如下：
发送部分 HTTP 请求：攻击者将 HTTP 请求的开头（例如 GET 方法）与标头一起发送。该请求并未完成，服务器仍在等待其他数据。
保持连接打开：为了维持连接，攻击者会定期发送更多较小的、不完整的 HTTP 请求部分，从而阻止服务器关闭连接。
耗尽服务器资源：服务器在等待请求剩余部分完成时，会保持连接打开。如果攻击者发送了足够多的未完成请求，服务器将耗尽其可用的线程或进程，导致其速度变慢或停止响应合法用户。
Slowloris 攻击的主要优势在于，它能够以最小的流量和相对较低的资源消耗造成严重的服务中断。了解并缓解 Slowloris 攻击的优势包括：
高效的资源消耗：与产生大量流量的传统 DDoS 攻击不同，Slowloris 攻击可以用很少的数据压垮服务器，使其更难以检测和缓解。
简单且隐蔽：Slowloris 执行起来相对简单，只需一台机器即可完成。它也很隐蔽，不会产生大量流量，因此很难与合法流量区分开来。
针对特定 Web 服务器：该攻击针对特定类型的 Web 服务器（例如 Apache）最为有效。如果企业使用此类服务器配置，了解 Slowloris 漏洞有助于实施主动防护。
尽管 Slowloris 攻击十分有效，但防御该攻击仍面临一些挑战和注意事项：
检测难度：由于 Slowloris 不会产生异常高的流量，因此很难将其与合法流量区分开来。管理员可能直到服务器开始出现故障时才会注意到攻击。
对服务器性能的影响：即使少量攻击者也可能导致服务器速度显著下降或拒绝服务。使用基于线程模型的 Web 服务器（例如 Apache）尤其容易受到攻击，因为攻击者会在不发送实际数据的情况下消耗服务器资源。
在现代系统上效果有限：许多现代服务器都实施了防御措施，以降低 Slowloris 攻击的有效性。服务器可能会限制连接保持打开状态的时间，或者在检测到可疑行为时自动关闭连接。
为了防范 Slowloris 攻击，可以实施以下几种策略：
配置超时和连接限制：在服务器上设置适当的超时和连接限制有助于降低攻击成功的可能性。例如，可以将服务器配置为在一段时间后关闭空闲连接。
使用反向代理：在 Web 服务器前端部署反向代理服务器（例如 Nginx 或 HAProxy）有助于检测和阻止 Slowloris 攻击。这些代理可以处理传入请求并将合法流量转发到 Web 服务器，同时过滤掉不完整或可疑的请求。
3.速率限制：可以配置速率限制来限制来自单个 IP 地址的传入连接数，从而有助于减少恶意行为者可以建立的慢速连接数。
入侵检测系统 (IDS)：IDS 可以检测网络流量中的异常模式，例如不完整的 HTTP 请求或重复的连接尝试，并在服务器不堪重负之前发出警报。
Web 应用防火墙 (WAF)：WAF 可以帮助过滤和阻止看似来自 Slowloris 攻击的流量。例如，可以配置 WAF 丢弃缺少正确报头或不完整的连接。
使用非线程服务器：考虑使用事件驱动或非线程 Web 服务器（例如 Nginx、LiteSpeed），这些服务器不依赖于每个请求的单独线程。这些服务器能够更高效地处理大量连接，因此更能抵御 Slowloris 攻击。
虽然 Slowloris 攻击不如其他 DDoS 方法常见，但它仍然是攻击者针对 Web 服务器配置中特定漏洞的有效工具。通过了解攻击的工作原理并实施适当的缓解措施，组织可以确保其系统能够抵御此类服务中断。