ReSQL.ru
     
powered by simpleCommunicator - 2.0.61     © 2026 Programmizd 02
Мобильная версия    Контакт    Правила    FAQ    Помощь
Целевая тема:
Создать новую тему:
Автор:
Закрыть
Цитировать
Доб. в избранное | Игнор. тему | Прикреп. тему | Пометить прочит. / непрочит. | Фильтр
Форумы / Java [игнор отключен] [закрыт для гостей] / Resin и DOS атаки
21 сообщений из 21, страница 1 из 1
Resin и DOS атаки
    #33714764
unicornmirage
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
unicornmirage
Участник
Привет всем.
тут возник вопрос - с сессиями.. проводил небольшой эксперимент - создавал сервлет в котором в методе service создавал сессию:
HttpSession session = request.getSession();

так вот если на стороне клиента отключить поддержку Cookies то при каждом запросе пользователя с данного хоста будет создаваться объект HttpSession - не является ли это потенциальной возможностью перегрузить сервер Resin экземплярами сессий? Ну и что что время сессии можно установить - даже если поставить минимальное значение жизни - 1 минуту - то в течении 1 минуты можно в цикле наплодить столько сессий - что никакой памяти не хватит. Это разумеется лишь предположение - и я, как новичок, буду продолжать исследовать эту область - тем не менее задаю вопрос гуру.
...
Рейтинг: 0 / 0
07.05.2006, 22:09
| Ответить | Цитировать | Написать  
Resin и DOS атаки
    #33716046
Фотография andrushok
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
andrushok
Участник
А воще можно и количество сессий тоже ограничить. Ну а если так серьезно с security - то можно так:

Поставить связку Apache - Resin (Resinовские порты закрыть, оставить только 80, 443 и 22 к примеру)
Apache собрать c modsecurity (см www.modsecurity.org). Ну а сей модуль можно настроить на отражение разнообразных атак.
...
Рейтинг: 0 / 0
09.05.2006, 16:56
| Ответить | Цитировать | Написать  
Resin и DOS атаки
    #33716342
М.Голованов
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
М.Голованов
Участник
andrushokПоставить связку Apache - Resin

Только так и надо. Servlet container НЕ ПРЕДНАЗНАЧЕН для использования в качестве Веб-сервера.
...
Рейтинг: 0 / 0
09.05.2006, 21:35
| Ответить | Цитировать | Написать  
Resin и DOS атаки
    #33716343
М.Голованов
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
М.Голованов
Участник
Кстати, можно поставить и связку IIS-Resin.
...
Рейтинг: 0 / 0
09.05.2006, 21:35
| Ответить | Цитировать | Написать  
Resin и DOS атаки
    #33716370
unicornmirage
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
unicornmirage
Участник
А с Resin никто не работал более тесно чем это написано в спецификации? :)
мне кажется что и средствами этого прекрасного сервера можно настроить какнибудь это? например через библиотеку com.caucho...
Я конечно сейчас в ней копаюсь - многое очень не понятно.. тем не менее там есть классы, экцемпляры которых можно получить чрез JNDI, например, я декомпилировал как то класс и столкнулся с фрагментом кода, который показывает количество открытых потоков с клиентом (я понял что вроде это как сессии)...

Код: plaintext
1.
2.
3.
4.
5.
6.
7.
8.
ObjectName pattern =  new  ObjectName(( new  CharBuffer()).append("resin:*").append(context).toString());

javax.management.MBeanServer _mbeanServer = com.caucho.jmx.Jmx.getGlobalMBeanServer();
Set poolNames = _mbeanServer.queryNames(pattern,  null );

// далее мы можем извлечь из этого множества следующее
com.caucho.server.webapp.mbean.WebAppMBean app;
app.getActiveSessionCount(); // возвращает количество активных сессий

в Resin наверняка есть механизмы управления сессиями.
...
Рейтинг: 0 / 0
09.05.2006, 22:12
| Ответить | Цитировать | Написать  
Resin и DOS атаки
    #33716374
unicornmirage
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
unicornmirage
Участник
забыл указать имя класса в котором я ковырялся -
resin-3.0.17\lib\resin.jar\com\caucho\servlets\ResinStatusServlet.class
...
Рейтинг: 0 / 0
09.05.2006, 22:18
| Ответить | Цитировать | Написать  
Resin и DOS атаки
    #33716554
коты
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
коты
Участник
М.Голованов andrushokПоставить связку Apache - Resin

Только так и надо. Servlet container НЕ ПРЕДНАЗНАЧЕН для использования в качестве Веб-сервера.

это так, но дело не в том, что он сервлет контейнер, просто явский веб-сервер жрет на обслуживание запроса _существенно_ больше ресурсов, чем апач. поэтому дос реальнее намного. по хорошему, отдачу статики тоже можно спокойно возложить на апач ну и тп
...
Рейтинг: 0 / 0
10.05.2006, 01:30
| Ответить | Цитировать | Написать  
Resin и DOS атаки
    #33716555
коты
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
коты
Участник
М.ГоловановКстати, можно поставить и связку IIS-Resin.

вот уж не надо, IIS это сам по себе дыра в безопасности еще какая
...
Рейтинг: 0 / 0
10.05.2006, 01:37
| Ответить | Цитировать | Написать  
Resin и DOS атаки
    #33716637
М.Голованов
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
М.Голованов
Участник
котывот уж не надо, IIS это сам по себе дыра в безопасности еще какая

"Техника в руках дикаря - кусок металла"
...
Рейтинг: 0 / 0
10.05.2006, 07:34
| Ответить | Цитировать | Написать  
Resin и DOS атаки
    #33716811
unicornmirage
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
unicornmirage
Участник
котыпо хорошему, отдачу статики тоже можно спокойно возложить на апач ну и тп

что вы имеете ввиду под "отдачей статики"?
...
Рейтинг: 0 / 0
10.05.2006, 09:51
| Ответить | Цитировать | Написать  
Resin и DOS атаки
    #33719177
коты
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
коты
Участник
unicornmirage котыпо хорошему, отдачу статики тоже можно спокойно возложить на апач ну и тп

что вы имеете ввиду под "отдачей статики"?

изображения, файлы на скачку и тп логично отдавать минуя сервлетную машину
...
Рейтинг: 0 / 0
11.05.2006, 04:26
| Ответить | Цитировать | Написать  
Resin и DOS атаки
    #33719178
коты
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
коты
Участник
М.Голованов котывот уж не надо, IIS это сам по себе дыра в безопасности еще какая

"Техника в руках дикаря - кусок металла"

сервер на майкрософте - кусок металла (довольно скоро)
...
Рейтинг: 0 / 0
11.05.2006, 04:27
| Ответить | Цитировать | Написать  
Resin и DOS атаки
    #33719214
Фотография andrushok
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
andrushok
Участник
Ну зарылись, однако
Уважающий себя жабер и мысли не допустит пользовать IIS, однако. А шо касаемо сей проблемы (в самом первом посте) есть ище одна мысля. Если видишь, что сессии прут, так им и invalidate мога сделать, убить тоесть. Невелика задачка...
...
Рейтинг: 0 / 0
11.05.2006, 06:44
| Ответить | Цитировать | Написать  
Resin и DOS атаки
    #33719235
Фотография А.Грасоff™
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
А.Грасоff™
Участник
andrushokУважающий себя жабер и мысли не допустит пользовать IIS, однако.бредъ.
...
Рейтинг: 0 / 0
11.05.2006, 07:12
| Ответить | Цитировать | Написать  
Resin и DOS атаки
    #33719236
Фотография А.Грасоff™
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
А.Грасоff™
Участник
коты М.Голованов котывот уж не надо, IIS это сам по себе дыра в безопасности еще какая

"Техника в руках дикаря - кусок металла"

сервер на майкрософте - кусок металла (довольно скоро)
sql.ru работает на ms-продуктах. rsdn.ru работает на ms-продуктах.
...
Рейтинг: 0 / 0
11.05.2006, 07:13
| Ответить | Цитировать | Написать  
Resin и DOS атаки
    #33719591
unicornmirage
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
unicornmirage
Участник
коты unicornmirage котыпо хорошему, отдачу статики тоже можно спокойно возложить на апач ну и тп

что вы имеете ввиду под "отдачей статики"?

изображения, файлы на скачку и тп логично отдавать минуя сервлетную машину

хм... а если в сервлетной машине (позволю воспользоваться вашим термином:) ) - у меня реализован весь механизм аутентификации пользователя и проверка прав, предоставления полномочий, то как защитить тогда статику? я ,так понимаю, к статическим ресурсам постоянная ссылка. Надо защитить доступ к ней. И хотелось бы иметь единый механизм защиты.. (ps: ну это уже не в тему, сорри)

что касается основного вопроса - прихожу к мнению о котором здесь говорили - проблема ДОС-атак - это проблема файрволла а не веб-контейнера..

ну в таком случае еще вопрос - а как получить список активных сессий (экземпляров HttpSession) не используюя самописный листенер на базе HttpSessionListener?
...
Рейтинг: 0 / 0
11.05.2006, 10:23
| Ответить | Цитировать | Написать  
Resin и DOS атаки
    #33721803
Фотография andrushok
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
andrushok
Участник
Уважаемому Граскову: я не понял, однако, Вы жабер (уважающий себя) али нет? Я также согласен, что что-то там на IIS работет, даже. Более того, даже сам что-то такое ваял, было дело (деньгу платили, однако). Но как уважающий себя жабер никогда IISом не пользовалси в своих корыстных целях и другим не советовал. IMHO, однако.

А с сессиями усе просто, благо не студенческие. Может кто-то и чо более умное предложеть, а у меня така мысля.

На кажную сессию жаба создаеть Thread, однако. А как она его распознаеть? Усе прото, Ватсон, как унитаз. Есть такой зверь JSESSIONID. Скорее всего он в Cookie сидить, хотя могет и по другому передоваться. Его можно напрямую выдрать (не помню точно, но типа у сессии id попросить), а можно и через теже Cookie, если включены. Ну так заведи некий bean в application scope и считай сии сессии. Дело плевое.
...
Рейтинг: 0 / 0
12.05.2006, 06:42
| Ответить | Цитировать | Написать  
Resin и DOS атаки
    #33722347
коты
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
коты
Участник
А.Грасоff™ коты М.Голованов котывот уж не надо, IIS это сам по себе дыра в безопасности еще какая

"Техника в руках дикаря - кусок металла"

сервер на майкрософте - кусок металла (довольно скоро)
sql.ru работает на ms-продуктах. rsdn.ru работает на ms-продуктах.

да хоть на sambar'е - если есть человек, который регулярно производит профилактику, ставит патчи и тп. поставить же "под ключ" решение в контору, которое придется раз в полгода перегружать - на практике не получается
...
Рейтинг: 0 / 0
12.05.2006, 11:13
| Ответить | Цитировать | Написать  
Resin и DOS атаки
    #33722566
wessen
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
wessen
Участник
автор
так вот если на стороне клиента отключить поддержку Cookies то при каждом запросе пользователя с данного хоста будет создаваться объект HttpSession


Для таких случаев есть специальный метод HttpServletResponse #encodeURL(java.lang.String url). Советую внимательно почитать, что этот метод делает. Нужно каждую ссылку прогонять через него, иначе у пользователей с отключенными кукисами действительно будет каждый раз создаваться сессия и следовательно ваше приложение у них будет неправильно работать.

А на счет дос атак, так это не ваша забота. Пускай админ думает.
...
Рейтинг: 0 / 0
12.05.2006, 12:10
| Ответить | Цитировать | Написать  
Resin и DOS атаки
    #33724918
М.Голованов
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
М.Голованов
Участник
andrushokНа кажную сессию жаба создаеть Thread, однако.

Это что за "жаба" такая, что на каждую сессию создает Thread?... с этого места поподробнее, пожалуйста. Можно в Вашем стиле... забавно.
...
Рейтинг: 0 / 0
13.05.2006, 22:43
| Ответить | Цитировать | Написать  
Resin и DOS атаки
    #33724929
М.Голованов
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
М.Голованов
Участник
коты unicornmirage котыпо хорошему, отдачу статики тоже можно спокойно возложить на апач ну и тп

что вы имеете ввиду под "отдачей статики"?

изображения, файлы на скачку и тп логично отдавать минуя сервлетную машину

Не то что логично, а должно быть просто в порядке вещей. Если написать JSP с десятком картинок и заставить контейнер рендерить картинки, он вынужден будет выполнить 11 запросов вместо одного. Под каждый запрос будет искаться свободный процессор или создаваться новый, будет выполняться обработка запроса сорокаэтажной иерархией классов... и все для того, чтобы в браузер переправить картинку. В то время как HTTP сервер делает это просто и непринужденно.

В норме запрос должен переправляться на сервлет тогда и только тогда, когда результат выполнения запроса определяется его параметрами.
...
Рейтинг: 0 / 0
13.05.2006, 22:58
| Ответить | Цитировать | Написать  
21 сообщений из 21, страница 1 из 1
Форумы / Java [игнор отключен] [закрыт для гостей] / Resin и DOS атаки
Найденые пользователи ...
Разблокировать пользователей ...
Читали тему (0):
Читали форум (0):
Пользователи онлайн (0):
Польз. соглашение   Полит. конфиден.  
NoSQL.ru       Кролег: Проекты, Новости, Чат       РЕД ФОРУМ       Фотоальбом: Участники, Встречи
Закрыть
start [/forum/topic.php?fid=59&msg=33719178&tid=2149285]:
 0ms
get settings:
 9ms
get forum list:
 20ms
check forum access:
 4ms
check topic access:
 4ms
track hit:
 39ms
get topic data:
 11ms
get forum data:
 2ms
get page messages:
 59ms
get tp. blocked users:
 1ms
others: 211ms
total:  360ms
созд. / загр.: 360ms
x
x
Закрыть


Просмотр
0 / 0
Close
Debug Console [Select Text]