Small HTTP服务器上的安全漏洞(DoS)

/ns/ld/win/data/20010108024116.htm

发布日期：2000-11-15

摘要
Small HTTP服务器是一种很小的程序(少于30kb)，将你的计算机变为一个开放安全服务的Web-server.
这个程序遭遇几个远程服务拒绝安全漏洞的问题.


细节
1) 非现存目录资源损耗:
默认状态下，如果用户发送请求没有指定一个文件名(http://www.example.com/subdirectory/),
HTTP服务器将在那个目录中寻找index.html文件,如果该文件不存在，它将以68K填满内存.
目录不需要存在, 任何人可以写一个小程序发送大量请求来耗尽服务器内存(5000个请求将填满300Mb内存).

2) SSI DoS:
Small HTTP服务器支持ServerSidesIncludes. 当服务器发现一个类似< !--#tag_name= <*EMPTY> -->的SSI标签时，
它将崩溃. #tag_name可以是任何支持的标示符(#fsize, #include, #printenv...).
为了执行SSI标签，文件必须以*.shtm或*.shtml为扩展名.

3) 过早关闭:
如果攻击者发送少数GETGET, HEAD或POST请求并在服务器响应前关闭连接，HTTP服务器将崩溃.