Was ist ein R.U.D.Y.-Angriff
„R U Dead Yet?“ oder R.U.D.Y. ist ein Denial-of-Service-Angriffstool, das zum Ziel hat, einen Webserver durch Senden von Formulardaten bei unsinnig niedriger Geschwindigkeit zu blockieren. Ein R.U.D.Y.-Exploit wird als Low-and-Slow-Angriff kategorisiert, weil er darauf abzielt, einige wenige langwierige Anfragen zu erzeugen, anstatt einen Server mit einem hohen Volumen schneller Anfragen zu überfluten. Ein erfolgreicher R.U.D.Y.-Angriff bewirkt, dass der Ursprungsserver des Opfers für legitimen Datenverkehr unzugänglich wird.
Da die R.U.D.Y.-Software eine benutzerfreundliche Point-and-Click-Oberfläche umfasst, muss ein Angreifer das Tool lediglich auf ein anfälliges Ziel richten. Jeder Webdienst, der eingehende Formulare annimmt, ist anfällig für einen R.U.D.Y.-Angriff, weil das Tool Formularfelder ermittelt und den Formulareinreichungsvorgang missbraucht.
Wie läuft ein R.U.D.Y.-Angriff ab?
Ein R.U.D.Y.-Angriff kann in die folgenden Schritte unterteilt werden:
- Das R.U.D.Y.-Tool durchforstet die Anwendung des Opfers und sucht nach einem Formularfeld.
- Sobald ein Formular gefunden wird, erstellt das Tool eine HTTP-POST-Anfrage, um eine legitime Formulareinreichung zu simulieren. Diese POST-Anfrage enthält eine Kopfzeile*, die den Server informiert, dass die Übermittlung eines sehr langwierigen Inhalts bevorsteht.
- Das Tool zieht dann die Übermittlung der Formulardaten hinaus, indem sie in kleine Pakete von jeweils nur 1 Byte aufgeteilt und in willkürlichen Intervallen von ca. jeweils 10 Sekunden an den Server gesendet werden.
- Das Tool setzt die Übermittlung von Daten für einen unbegrenzten Zeitraum fort. Der Webserver hält die Verbindung offen, um die Pakete anzunehmen, weil das Verhalten des Angriffs dem eines Benutzers mit einer niedrigen Verbindungsgeschwindigkeit für die Übermittlung von Formulardaten gleicht. Unterdessen wird die Fähigkeit des Webservers zur Handhabung legitimen Datenverkehrs gestört.
Das R.U.D.Y.-Tool kann gleichzeitig mehrere dieser langsamen Anfragen erstellen, die alle auf denselben Webserver abzielen. Da Webserver nur eine bestimmte Anzahl an Verbindungen auf einmal handhaben können, kann der R.U.D.Y.-Angriff alle verfügbaren Verbindungen blockieren, was bedeutet, dass legitimen Benutzern, die versuchen, auf den Webserver zuzugreifen, der Dienst verweigert wird. Sogar ein robuster Webserver mit einer großen Anzahl verfügbarer Verbindungen kann von R.U.D.Y. mit einem Netzwerk von Computern außer Gefecht gesetzt werden, die gleichzeitig Angriffe ausführen. Dieses Phänomen ist als verteilter Denial-of-Service-(DDoS)-Angriff bekannt.
*HTTP-Kopfzeilen sind Schlüssel-Wert-Paare, die mit jeder HTTP-Anfrage oder -Antwort mitgesendet werden, und die wichtige Informationen wie die verwendete HTTP-Version, die für den Inhalt verwendete Sprache, den Umfang des Inhalts usw. enthalten.
Wie lassen sich R.U.D.Y.-Angriffe stoppen?
Da Slow-and-Low-Angriffe viel subtiler ausgeführt werden als herkömmliche Denial-of-Service-Angriffe, können sie schwer zu erkennen sein. Trotzdem ist es möglich, Schutzmaßnahmen einzurichten, um sie zu verhindern. Eine Präventionsmaßnahme besteht darin, an einem Webserver strengere Timeout-Intervalle für Verbindungen einzustellen, was bedeutet, das die langsamsten Verbindungen abgebrochen werden. Diese Lösung hat jedoch einen Nebeneffekt: Legitimen Benutzern mit langsamen Internetverbindungen könnte der Dienst vom Server verweigert werden. Alternativ kann eine Reverseproxy-Lösung wie Cloudflares DDoS-Schutz Low-and-Slow-Angriffs-Traffic wie R.U.D.Y.-Angriffe herausfiltern, ohne die Verbindung legitimer Benutzer zu trennen.