慢速攻击的特征
慢速攻击（以 Slowloris 一类为代表）不靠流量大小取胜：攻击者建立大量连接，再用极慢的速度发送请求头或请求体，让服务端连接池被长期占用，正常用户拿不到连接。它的特征是连接数高、单连接流速极低、请求迟迟不结束，因此防护重点是缩短接收超时、限制单来源并发连接数，并持续监控连接数曲线。
基本信息
| 攻击特征 | 并发连接数升高、请求头或请求体极慢地发送 |
|---|---|
| 缓解手段 | 缩短头部与请求体接收超时、限制单 IP 并发连接数 |
| 监控指标 | 并发连接数、超时中断计数、单来源连接数排名 |
| 配合 | 前置代理与 WAF 联动配置，单点设置容易被绕过 |
典型使用场景
- 公网 Web 站点：作为基础防护项默认开启
- 大文件上传场景：与正常慢速传输区分通道，避免误伤
- 攻击期间应急：先限制单 IP 并发连接数快速降低压力
- 容量评估：结合连接数上限判断是否需要扩容或加前置防护
- 事件复盘：用超时中断计数与连接曲线确认攻击是否已停止
nginx 参考配置
nginx 参考配置
# 请求头接收超时：慢速发头会在此被中断
client_header_timeout 10s;
# 请求体接收超时，限制慢速传体
client_body_timeout 20s;
# 单 IP 并发连接限制
limit_conn_zone $binary_remote_addr zone=addr:10m;
limit_conn addr 50;
# 正常大文件上传单独放行到指定 location，避免被误限防护项与效果
| 措施 | 主要作用 | 注意 |
|---|---|---|
| 缩短头部超时 | 中断慢速发头连接 | 过低会误伤网络质量差的用户 |
| 缩短请求体超时 | 限制慢速传体占用 | 大文件上传需单独放宽 |
| 限制单 IP 并发 | 压制单来源连接数 | NAT 出口场景要评估共享 IP 影响 |
| 连接数监控 | 发现并验证攻击 | 需要基线数据才能判断异常 |
慢速攻击常来自大量被控节点，单纯封 IP 效果有限；缩短超时与限制并发是更稳定的第一层缓解手段。