如何通过 Apache 防御基于时间差的攻击-Apache-PHP中文网

apache不直接防御时间差攻击，但可通过禁用危险方法、关闭server签名、限制请求头/体大小、启用mod_reqtimeout分阶段限速（如header=20-40,minrate=500）、禁用etag与keepalive等措施切断探测路径、收敛响应特征，配合后端恒定时间比较才能根本防护。

如何通过 apache 防御基于时间差的攻击

Apache 本身不直接防御“基于时间差的攻击”（Timing-based Attacks），这类攻击通常指利用服务响应时间差异推断敏感信息的侧信道攻击，比如：

密码比较时长差异（如 == 字符串比较未恒定时间，导致爆破）
数据库查询响应延迟（如盲注中用 IF(SLEEP(5),1,0) 判定条件）
缓存命中/未命中时间差（如 BREACH、CacheBleed 类攻击）

但注意：这些不是 Apache 的协议层漏洞，而是后端应用（PHP/Python/Node）或数据库逻辑缺陷引发的。Apache 作为 Web 服务器，能做的不是“消除时间差”，而是切断攻击路径、限制探测能力、降低信息泄露面。

一、封堵常见时间差攻击的入口点

很多时间差攻击依赖 HTTP 层可操控的行为，Apache 可主动限制：

禁用危险 HTTP 方法（防止 TRACE、OPTIONS 泛滥用于探测）
```
<limitexcept get post head>
    Require all denied
</limitexcept>
```
关闭 Server 签名与错误详情（避免暴露版本、模块、路径等辅助信息）
```
ServerTokens Prod
ServerSignature Off
```
限制请求体大小和字段数量（防慢速体 + 大量头字段触发后端异常处理）
```
LimitRequestBody 1048576
LimitRequestFields 50
LimitRequestFieldSize 8190
```

二、阻断基于请求节奏的时间探测行为

攻击者常靠“发一个字符→等响应→再发”来测量延迟。Apache 可通过 mod_reqtimeout 打断这种节奏：

强制头部接收必须在窗口内完成且达最低速率
```
RequestReadTimeout header=20-40,minrate=500
RequestReadTimeout body=10,minrate=500
```
- 若攻击者每 3 秒只发一个字母（远低于 500 B/s），连接会在几秒内被断开，并记入 error_log
- HTTPS 站点建议用 header=25-45,minrate=500，避免 TLS 握手延迟误杀

✅ 这不防“后端业务逻辑的时间差”，但能有效阻止攻击者建立稳定、可控的探测连接。

Apache Superset Dashboard and SQL Exploration Skill
Apache Superset 是一个广泛采用的开源 BI 平台，用于 SQL 探索、图表构建和仪表板交付。当代理需要查询仓库数据、组装仪表板或使用成熟的分析界面解释指标而不是临时笔记本代码时，此技能非常有用。

下载

三、削弱缓存与响应时间特征泄漏

某些时间差攻击依赖响应头、压缩、重定向等引入的微小延迟差异。Apache 可做以下收敛：

统一禁用 ETag（减少资源指纹）
```
Header unset ETag
FileETag None
```
关闭内容压缩对特定路径（如登录/API）（防 BREACH）
```
<location>
    SetEnv no-gzip 1
</location>
```
对敏感接口禁用 KeepAlive（避免复用连接放大时序分析）
```
<location>
    KeepAlive Off
</location>
```