背景
系统漏扫“检测到目标主机可能存在缓慢的HTTP拒绝服务攻击”
解决
针对不同的Server其对慢速http拒绝服务攻击防范方法也不同，建议使用以下措施防范慢速http拒绝服务攻击：
WebSphere
1、限制 HTTP 数据的大小
在WebSphere Application Server 中进行如下设置：
任何单个 HTTP 头的默认最大大小为 32768 字节。可以将它设置为不同的值。
HTTP 头的默认最大数量为 50。可以将它设置为不同的限制值。
另一种常见的 DOS 攻击是发送一个请求，这个请求会导致一个长期运行的 GET 请求。WebSphere Application Server Plug-in 中的 ServerIOTimeoutRetry 属性可限制任何请求的重试数量。这可以降低这种长期运行的请求的影响。
设置限制任何请求正文的最大大小。
2、设置keepalive参数
打开ibm http server安装目录，打开文件夹conf，打开文件httpd.conf,查找KeepAlive值，改ON为OFF,其默认为ON。
这个值说明是否保持客户与HTTP SERVER的连接，如果设置为ON，则请求数到达MaxKeepAliveRequests设定值时请求将排队，导致响应变慢。
详见参考链接：
http://www.ibm.com/developerworks/cn/websphere/techjournal/1210_lansche/1210_lansche.html#new-step32
Weblogic
1、在配置管理界面中的协议->一般信息下设置 完成消息超时时间小于200
2、在配置管理界面中的协议->HTTP下设置 POST 超时、持续时间、最大 POST 大小为安全值范围。
http://docs.oracle.com/cd/E12890_01/ales/docs32/integrateappenviron/configWLS.html#wp1101063
Nginx
1、通过调整$request_method，配置服务器接受http包的操作限制；
2、在保证业务不受影响的前提下，调整client_max_body_size, client_body_buffer_size, client_header_buffer_size,large_client_header_buffersclient_body_timeout, client_header_timeout的值，必要时可以适当的增加；
3、对于会话或者相同的ip地址，可以使用HttpLimitReqModule and HttpLimitZoneModule参数去限制请求量或者并发连接数；
4、根据CPU和负载的大小，来配置worker_processes 和 worker_connections的值，公式是：max_clients = worker_processes * worker_connections。
Apache
建议使用mod_reqtimeout和mod_qos两个模块相互配合来防护。
1、mod_reqtimeout用于控制每个连接上请求发送的速率。配置例如：
#请求头部分，设置超时时间初始为10秒，并在收到客户端发送的数据后，每接收到500字节数据就将超时时间延长1秒，但最长不超过40秒。可以防护slowloris型的慢速攻击。
RequestReadTimeout header=10-40,minrate=500
#请求正文部分，设置超时时间初始为10秒，并在收到客户端发送的数据后，每接收到500字节数据就将超时时间延长1秒，但最长不超过40秒。可以防护slow message body型的慢速攻击。
RequestReadTimeout body=10-40,minrate=500
需注意，对于HTTPS站点，需要把初始超时时间上调，比如调整到20秒。
示例：
LoadModule reqtimeout_module modules/mod_reqtimeout.so
<IfModule reqtimeout_module>
RequestReadTimeout header=10-40,minrate=500 body=10-40,minrate=500
</IfModule>
2、mod_qos用于控制并发连接数。配置例如：
# 当服务器并发连接数超过600时，关闭keepalive
QS_SrvMaxConnClose 600
# 限制每个源IP最大并发连接数为50
QS_SrvMaxConnP
结果
漏扫软件给出的处理方案很简单，根据自己的服务器进行配置就可以了。
但这台服务器漏扫又出现这个问题，找资料，nginx有搞到了个新的配置：
通常修复方法，是升级nginx\tomcat 到高版本，
1、在Nginx配置文件的http标签中增加以下参数
http{
...
#指定每一个 TCP 链接最多能够保持多长时间
keepalive_timeout 60;
#为请求头分配一个缓冲区
client_header_buffer_size 1m;
#此指令规定了用于读取大型客户端请求头的缓冲区的最大数量和大小
large_client_header_buffers 4 8k;
#此指令禁用NGINX缓冲区并将请求体存储在临时文件中
client_body_in_file_only clean;
limit_conn_zone $binary_remote_addr zone=addr:10m;
limit_req_zone $binary_remote_addr zone=one:10m rate=200r/s;
参考： 服务器存在缓慢的HTTP拒绝服务攻击
使用了最后两句
limit_conn_zone $binary_remote_addr zone=addr:10m;
limit_req_zone $binary_remote_addr zone=one:10m rate=200r/s;但外网测试还是出现了漏洞。配合网管内外网测试了下，内网没有此漏洞，外网依旧存在。判断应该是处理了
测试工具
工具 slowhttptest
slowhttptest -c 400 -H -i 10 -r 200 -t GET -u 目标url -x 24 -p 3 -l 200
常用参数：
-c 400: 总连接数
-H: slowloris 模式，表示test type为Slow headers
-B: 表示Slow body
-X: 表示Slow read
-i 10: 发送数据间的间隔10s
-r 200: 200个连接每秒
-t GET: 使用GET请求方式
-u url: 目标url格式为具体的接口url
-x 24: 发送的最大数据成都24
-p 3: 等待3秒来确定Dos攻击是否成功
-l 200: 测试持续时间
测试结果为“Exit status： Hit testtime limit"，代表存在漏洞。
测试结果为“Exit status： No open connections left"，代表无此漏洞。