Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Атака Continuation flood, приводящая к проблемам на серверах, использующих HTTP/2.0, opennews (??), 04-Апр-24, (0) [смотреть все] Скрыто модератором, Аноним (1), 14:19 , 04-Апр-24, (1) // Скрыто модератором, Аноним (4), 14:30 , 04-Апр-24, (4) +7 // Скрыто модератором, Аноним (-), 14:40 , 04-Апр-24, (5) // Скрыто модератором, пох. (?), 14:52 , 04-Апр-24, (7) +3 Красиво же, ну , Аноним (2), 14:25 , 04-Апр-24, (2) +9 // Вектор атаки прост как топор Сейчас в сервисах ограничения на входные данные не, Аноним (49), 02:21 , 05-Апр-24, (49) +1 Как и в прошлый раз, пользователи HAProxy могут не подрываться У них код свой, , Аноним (3), 14:30 , 04-Апр-24, (3) +3 // У HAProxy своих CVE хватает Все равно соглашусь - штука классная , Аноним (8), 14:54 , 04-Апр-24, (8) +3 // Не хватает Я бы сказал 8212 их там дефицит , Аноним (3), 14:58 , 04-Апр-24, (9) // Не накаркай, Аноним (8), 20:40 , 04-Апр-24, (34) +1 На нжинкс тоже походу не сработало Эти думают бошкой сколько ресурсов на запрос, Аноним (-), 23:11 , 04-Апр-24, (40) +4 Ух Страшна Жаль что Go затронут, но хорошо что с Java всё хорошо , Golangdev (?), 14:51 , 04-Апр-24, (6) // Го уже зафисиксили в, go1 22 2, OpenEcho (?), 18:55 , 04-Апр-24, (29) Атака Continuation flood, приводящая к проблемам на серверах..., javaboy (?), 20:51 , 04-Апр-24, (35) +1 - в списке не подверженных как и подверженных атаке серверов не заметно Tomcat, Хейтер (?), 11:47 , 05-Апр-24, (64) // сами себе противоречитесовет - проверяйте сообщение, прежде чем его отправитьа с, Golangdev (?), 12:48 , 05-Апр-24, (67) // - способны написать в чём Лично я противоречий в своем посте не вижу, но если ч, Хейтер (?), 14:55 , 05-Апр-24, (72) до сих пор не понимаю, зачем что-то, кроме http1 1вместо чтоб выпилить гигабайты, 12yoexpert (ok), 15:04 , 04-Апр-24, (10) // Лучше перфокарт голубями ничего не придумали, http для смузихлебов , Аноним (11), 15:24 , 04-Апр-24, (11) +1 // Не стоит недооценивать бандвиз голубя груженого microSD картами современная в, Аноним (-), 23:12 , 04-Апр-24, (41) +2 Просто забыли последнюю фразу скопипастить Все бегом на HTTP 3 , Аноним (16), 15:49 , 04-Апр-24, (16) +2 // А у него фрейминг внезапно почти такой же - и то что там на точно такую же грабл, Аноним (-), 23:14 , 04-Апр-24, (42) Тоже так подумал изначально и даже не пытался на своём локалхосте раскомментиро, Anonymous_x (?), 17:58 , 04-Апр-24, (27) Что характерно, дыры найдены исключительно в крякозябра-языках C, PHP, JS В че, Аноним (19), 15:59 , 04-Апр-24, (19) –4 // Ты пишешь это на ОС написаной на человеческом языке, а сообщение в Интренет отпр, Аноним (1), 16:03 , 04-Апр-24, (22) –1 // Наверное, из будущего У них там ядро Linux переписано на Rust , Аноним (25), 17:04 , 04-Апр-24, (25) +1 я скорее думаю, что про руби все забыли и там просто никто не искал , анонка (?), 17:04 , 04-Апр-24, (24) +7 На Brainf ck-e тоже не найдено не одной уязвимости Думаете дело в читаемости ко, Аноним (26), 17:18 , 04-Апр-24, (26) Ага Потому что там HTTP 2 нет https github com puma puma issues 454Ни один но, Аноним (3), 18:49 , 04-Апр-24, (28) +2 Haproxy, nginx - C, но в списке их нет , Ivan_83 (ok), 19:50 , 04-Апр-24, (32) –1 // тут список естьhttps kb cert org vuls id 421644HTTP 2 attacks involving CONTIN, Sw00p aka Jerom (?), 21:37 , 04-Апр-24, (36) Пусть лучше покажет парсер HTTP 2 на рубях, который вообще кому-то и зачем-то бу, Аноним (-), 23:19 , 04-Апр-24, (45) // На скрипоте пишут в основном в качестве PoC и для случаев когда проще написать, Ivan_83 (ok), 01:22 , 05-Апр-24, (47) Но посмотреть как бы он на деле спправился с этой задачей - вместе с фреймингом , Аноним (-), 02:42 , 05-Апр-24, (50) Лично я не вижу смысла в HTTP 2 вообще, а реализовывать его на высокуровневых яз, Ivan_83 (ok), 03:15 , 05-Апр-24, (51) Параллельные потоки, меньше RTT ненужных, нет Head Of Line Blocking Поэтому вы , Аноним (-), 05:46 , 05-Апр-24, (54) User Experience этот твой, никого не интересует , scriptkiddis (?), 07:44 , 05-Апр-24, (58) Угу, пока не начинается отток юзерей и не возникает вопрос ребром а из чего мы , Аноним (-), 09:16 , 05-Апр-24, (61) RTT вещь фундаментальная и зависит от скорости света в конкретных средах време, Ivan_83 (ok), 12:13 , 05-Апр-24, (65) Зато протокол может поубавить их число и влияние на перфоманс Это жрет больше си, Аноним (68), 13:06 , 05-Апр-24, (68) +1 Вы отстали, там уже всё лишнее давно срезали Жрёт больше, работает лучше У вас п, Ivan_83 (ok), 13:38 , 05-Апр-24, (70) По моему отстал не я H2 технически более совершенная штука Поэтому верхушка top, Аноним (-), 09:03 , 06-Апр-24, (77) Это ничего не значит Миллионы мух не могут ошибатся Где UX и где задержка в 5 мс, Ivan_83 (ok), 21:53 , 06-Апр-24, (79) Вас в гугле забанили что ли https github com igrigorik http-2, Аноним (74), 19:34 , 05-Апр-24, (74) Дело не в языке, а в реализациях протокола , Минона (ok), 22:37 , 04-Апр-24, (38)   // Дело не в языке, а в спецификации протокола, при реализациях которой приходится , голос из леса (?), 23:10 , 04-Апр-24, (39) +2   // Извини, весь common sense в спецификации не вколотишь А сколько ты там ресурсов, Аноним (-), 23:22 , 04-Апр-24, (46)   А много на ruby реализаций HTTP 2 с разбором фреймов его потока то Или там перф, Аноним (-), 23:18 , 04-Апр-24, (44) // По крайней мере одна реализация существует Но вообще-то это типичная задача для, Аноним (74), 19:43 , 05-Апр-24, (75) На рубях написан хттп сервер Сколько там запросов в секунду 5-10 , Аноним (78), 13:56 , 06-Апр-24, (78) атаку пишет проффесионал Искать надо оттуда , Аноним (23), 16:54 , 04-Апр-24, (23) Дайте эксплойт, Аноним (30), 19:24 , 04-Апр-24, (30) Это какой-то позор , Аноним (31), 19:25 , 04-Апр-24, (31) +1 Вангую фиксинг дропом поддержки http 2 , Аноним (33), 20:00 , 04-Апр-24, (33) +1 // В пользу HTTP 3 - который суть то же самое, но поверх UDP , Аноним (-), 01:23 , 05-Апр-24, (48) // HTTP 3 даже не поддерживает HTTP Вот умора Только шифрование HTTPS под сертифи, Аноним (57), 07:40 , 05-Апр-24, (57) NIST awards 3 6 million to address the cybersecurity workforce gapThe grants of, Аноним (52), 04:49 , 05-Апр-24, (52) +1 // Сидеть на гугле будут все Хотя казалось бы - чего так сложно то разработать сво, Аноним (52), 04:58 , 05-Апр-24, (53) // Капитализм При коммунистах такого не было , Аноним (55), 07:05 , 05-Апр-24, (55) // Логично Нет интернета - нет вулнов в его протоколах При коммунистах - в СССР г, Аноним (-), 07:31 , 05-Апр-24, (56) А зачем им арпанет, американская военная сеть Были свои процессоры, компьютеры,, Аноним (55), 08:02 , 05-Апр-24, (59) Пруфы будут При СССР вполне себе продавался модем Менатеп sic , 2400, Манчес, 1 (??), 09:13 , 05-Апр-24, (60) +1 Насколько я помню подключать модемы как впрочем и аоны было запрещено правилами , Аноним (68), 10:35 , 05-Апр-24, (63) При совке АОН только появился, как фича для самих телефонистов Бывало возьмёшь т, Ivan_83 (ok), 12:27 , 05-Апр-24, (66) +2 Он вообще вроде как фича СОРМ изначально задуман был Но фичу прочухали и стали , Аноним (68), 13:22 , 05-Апр-24, (69) +1 Он был задуман для биллинга выхода на автоматический межгород 8 на координат, Имя (?), 22:32 , 05-Апр-24, (76) Помню как в 2000-е телефонисты в СМИ возмущались тому что проклятые dial-up-ы де, Kuromi (ok), 13:49 , 05-Апр-24, (71) Ыыы какая прелесть , YetAnotherOnanym (ok), 09:29 , 05-Апр-24, (62) 2,3,6,10,19,23,30,31,33,52,62

Сообщения

[Сортировка по времени | RSS]

	38. "Атака Continuation flood, приводящая к проблемам на серверах..."	+/–
	Сообщение от Минона (ok), 04-Апр-24, 22:37
	Дело не в языке, а в реализациях протокола.
	Ответить | Правка | К родителю #19 | Наверх | Cообщить модератору

	39. "Атака Continuation flood, приводящая к проблемам на серверах..."	+2 +/–
	Сообщение от голос из леса (?), 04-Апр-24, 23:10
	>> Дело не в языке, а в реализациях протокола. Дело не в языке, а в спецификации протокола, при реализациях которой приходится делать не описанные в протоколе ограничения.
	Ответить | Правка | Наверх | Cообщить модератору

	46. "Атака Continuation flood, приводящая к проблемам на серверах..."	+/–
	Сообщение от Аноним (-), 04-Апр-24, 23:22
	> Дело не в языке, а в спецификации протокола, при реализациях которой > приходится делать не описанные в протоколе ограничения. Извини, весь common sense в спецификации не вколотишь. А сколько ты там ресурсов в сервер вбухать готов - кто ж знает? Вдруг у тебя там петабайт оперативы? Тогда атакующий трафик заманается наливать и это вообще не атака.
	Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема