周四Tomcat邮件列表（ “[SECURITY] CVE-2014-0050 Apache Commons FileUpload和Apache Tomcat DoS” ）宣布Tomcat的DoS问题。 当我上传文件时（如果在Web应用程序中使用Servlet 3.0+上传function），攻击者似乎能够通过发送超长的content-type标头来导致无限循环，就我所了解的信息而言乍一看。 如果有人在Apache httpd服务器（使用AJP和mod_jk）后面运行他们的Tomcat服务器，那么可以采取什么措施来实现build议“将Content-Type头限制为小于4091字节” ？ 当然，只要修补程序版本可用（通过下载页面或Linux发行版特定软件包存储库），就应该更新。 没有问题。 但目前可用的Tomcat 7.0.50版本似乎仍然受到影响。 但是，在固定版本发布之前，作为一种快速防御措施，可以做些什么呢？ （不必… 卸载当前的Tomcat软件包（从软件包仓库安装）， 从源代码（SVN）手动构build版本， 手动部署（不带apt-get或aptitude ）， 稍后再次卸载所有手动构build的东西，以便从软件包存储库中获得舒适的可更新版本） 有没有类似于这个主题的临时解决方法： http : //wiki.apache.org/httpd/CVE-2011-3192 ？ 那么，可以使用mod_headers ， mod_setenvif或mod_rewrite来处理这个问题。 是否有类似的Apache httpd技巧来保持畸形的分段上传请求远离下游Tomcat服务器？
我最近看到某些行业（包括我所在的行业）比其他行业更有可能成为DDoS攻击的目标。 你能给我一些关于如何防止DDoS攻击的提示吗？
CloudFlare最近得到了很多新闻，作为保护企业免受DDOS攻击。 但是从看他们的twitter feed，看起来他们每天都是针对他们的客户的大部分受到影响。 我的问题是：如果我要与他们签约，以保护我的网站免受特别是在我的网站的大规模DDOS攻击的可能性，我现在是否使我的网站依赖于DDOS攻击的高调目标？ 而我在互联网上是一个相对低调的目标。
我试图通过使用这个命令来防止黑客攻击 iptables -A INPUT -p tcp –dport 80 -m hashlimit –hashlimit-upto 50/min \ –hashlimit-burst 500 –hashlimit-mode srcip –hashlimit-name http -j ACCEPT iptables -A INPUT -p tcp –dport 80 -j DROP 参考： 如何防止LOIC（DDOS）攻击？ 我总是得到这个错误信息： iptables v1.3.5: Unknown arg `–hashlimit-upto' 是什么原因造成的，我该如何解决？
在Heroku上有一个应用程序，并在DNSimple中注册域名。 DNSimple正在经历DDoS几个小时。 （与用户共享裸herokuurl几乎是可行的，但不是一个选项，因为OAuthcallback到专有域名，而不是myapp.herokuapp.com） 是否有可能在过渡期间与其他提供商build立新的DNS条目而无需访问DNSimple来编辑logging？
我有一个站点在aws平台上的VPC内的四台服务器上运行。 我的问题是，如果我在同一个VPC上的四台新服务器上托pipe另一个网站，他们会对网站产生什么影响，因为他们之间没有关系？ 会不会有DDOS / DOS攻击的任何网站会降低其他的性能？
我有Web应用程序（NodeJS），我打算将其部署到AWS。 为了最小化成本，它将在单个EC2实例上运行。 我担心，如果有人决定保佑我DDOS攻击，会有什么事情发生，因此几乎没有问题。 现在，我做了一些相关的研究，但是由于我的理解显然很缺乏，所以如果有些问题很愚蠢，我很抱歉： 我想避免人们用第4层攻击淹没我的网站。 把我的安全组设置为只接受stream量（除了SSH端口22以外）是否足够： inputHTTP 协议TCP 端口范围80 以上将停止UDP洪水和其他人击中我的EC2实例？ 通过安全组，我只允许SSH连接到端口22从我的静态IP地址。 这会让攻击者远离攻击端口22吗？ 我的EC2实例将运行Ubuntu。 我希望避免应用层攻击（第7层），并计划直接从我的应用程序中执行此操作，以便以某种方式检测某个IP是否淹没特定的URL，并在必要时阻止它们。 然而，这似乎有点晚了，因为stream量已经到达了我的Web服务器，我的服务器无论如何都要做这个工作。 所以，不是直接从我的应用程序这样做，我想如果有可能使用IP表来阻止任何stream氓交通之前，我的networking服务器。 是否有一些能够识别stream氓行为和阻止犯罪者的常见设置？ 我正计划研究fail2ban ，希望能够简化这个过程。 现在，我明白，如果它达到这么远，它会打我的EC2实例，但我想保护我的应用程序也从例如暴力攻击。 AWS CloudFront会处理大多数DDOS第4层攻击吗？ 如果没有，那么使用免费的CloudFlare会有什么不同？ 说有人淹没我的网站，这导致更多的stream量，然后我预料。 有什么办法可以停止收费吗？ 有计费警报，但我看不到任何方式来设置AWS的硬限制，并说如果带宽超过实例脱机。 我也意识到，现在有办法完全防止DDOS攻击，但是我至less要防止基本的尝试。 预先感谢您的任何帮助。
假设我们需要在DOS / DDOS攻击情况下testingHTTPS网站的漏洞/响应。 在其他工具中，我们可以使用GoldenEye来达到这个目的。 我们可以改变工人和代理人的数量，从而改变攻击的规模。 你如何build议我们测量不同程度的攻击现场反应？ 一种方法可能是在浏览器中打开该站点，并在重新加载时观察站点响应。 然而，这不是很令人满意，因为这将仅仅基于用户感知。 有什么办法可以量化网站的响应吗？ 有问题的网站位于远程位置，无法访问。
我在DDoS下。 我能做什么？ 已经解决了这种“规范问题”，但是我想我正在问一个可区别的变体，如下所述。 但请告知这个post是否不合适。 我得到的攻击来自各种不断变化的IP， 在最后几分钟内从66.135.63.82。 所有攻击都是针对我在我的网站上使用的cgi（我自己写的），但是除了我之外，其他任何人都不感兴趣（显然，黑客））。 攻击运行我的CGI与看起来愚蠢的？query_string，我添加了一个似乎是可靠地识别它们的qvalidate（）函数，到目前为止。 而对于无效查询，我现在睡觉（15），然后发送一个〜25MB的页面给攻击者（只是为了表明我也可以烦人:)。 而且他们似乎在等待 – 而不是每秒多次的攻击，现在它们大约以15秒为间隔分布。 但是从长远来看，这个半定论看起来很愚蠢，最终也是无效的。 而且我每天都要花费很多时间检查一些东西，偶尔也会调整程序。 所以我问的是 – 什么我可以编码到我的cgi更好地处理这些攻击发生？ 我手中的攻击，可以这么说，实时发生。 我有一个getenv（“REMOTE_ADDR”）的ip。 所以在这一点上，我可以做任何我想做的事情（除了发出他的声音，这是我真正想做的，但不知道如何编码:)。 什么是最好的事情？ 谢谢。 编辑 – 感谢回复，伙计们。 我应该提到我的网站是在共享主机dreamhost.com，所以一些build议是无法给我的。 我正在等待来自isp的回复。 但是因为这是我自己的cgi目标，我希望这给了我一个机会做一些不可能的事情。 编辑 – @HBruijn为什么偏题？ 在这个post的最顶端，我也给这个网站的“规范问题”链接也是这个话题。 然后我继续解释为什么我认为我在问这个（显然是在话题上）问题的“可区分的变体”。 此外，我最初发布了https://softwareengineering.stackexchange.com/questions/316052/how-to-best-deal-with-ddos-attack-against-your-my-site ，他们告诉我在这里发布。 去搞清楚：）
我读过的关于减轻DDOS的大部分参考文献涉及到边缘路由器。 但是，有什么可以减轻你的局域网客户端无意识地参与DDOS的吗？ 像阻止广播包？ 假定您没有客户端应用程序合法使用广播数据包。 或者使用可以使用公共阻止列表阻止外出stream量的主机parsing的DNS服务器？