apache默认combined日志无法识别slowloris攻击，必须启用%t（处理秒数）和%d字段的自定义格式，筛查同一ip短时内大量%t>10秒、请求头极简（如仅“get / http/1.1”）的记录，并结合mod_status中r状态连接异常堆积来确认。
Apache默认日志（如combined格式）无法直接识别Slowloris攻击，因为它不记录连接耗时、请求状态或头部接收过程。必须配合自定义日志格式、实时连接监控和超时调优，才能准确发现并阻断这类低速、高连接数的攻击。
关键日志字段必须启用：%T 和 %D
Slowloris的核心特征是“请求处理时间异常长但响应码看似正常”，而默认access.log里没有这个时间维度。必须在httpd.conf中定义新日志格式：
LogFormat "%h %l %u %t \"%r\" %>s %b \"%{Referer}i\" \"%{User-Agent}i\" %T %D" slowloris
其中：
%T 表示请求总处理秒数（整数），
%D 是微秒级精确值。
攻击者常使%T ≥ 10秒，甚至达几十秒，而真实用户极少超过3秒。
启用后，还需在VirtualHost或主配置中指定：
CustomLog /var/log/apache2/access.log slowloris
用原生命令快速筛查可疑IP
不要依赖复杂平台——先用Linux命令验证是否存在异常模式：
Apache Superset 是一个广泛采用的开源 BI 平台，用于 SQL 探索、图表构建和仪表板交付。当代理需要查询仓库数据、组装仪表板或使用成熟的分析界面解释指标而不是临时笔记本代码时，此技能非常有用。
- 筛选所有%T > 5秒的请求，提取IP并统计频次：
awk '$12 > 5 {print $1}' /var/log/apache2/access.log | sort | uniq -c | sort -nr | head -20
（注意：$12需根据你日志字段顺序调整，可用head -1 access.log确认%T所在列） - 重点看是否出现单IP在1分钟内触发≥50条%T > 10秒的记录
- 同步检查这些请求的"%r"字段：是否极简，例如仅"GET / HTTP/1.1"，缺少Host、Accept、User-Agent等标准头
- 若日志中User-Agent为空、为python-requests/2.*或高度雷同，且Referer全为空，风险极高
结合mod_status实时验证连接状态
日志是“事后回放”，mod_status才是“实时CT扫描”。Slowloris连接几乎全部卡在以下状态：
- R (Reading Request Headers)：最典型，说明只发了部分HTTP头，服务器还在等\r\n\r\n
- W (Sending Reply)：有时是误导，实际可能刚进入响应阶段就被卡住
启用前提：
ExtendedStatus On（在httpd.conf中开启）
然后访问http://localhost/server-status?auto，或用curl：
curl "http://localhost/server-status?auto" | grep '^R\|^W' | wc -l
若返回值远超MaxRequestWorkers设定值（如设为150却看到200+个R状态），基本可确认正在被Slowloris消耗连接资源。
防御不是只看日志，而是配置闭环
识别只是第一步，必须通过配置让异常连接“活不过几秒”：
- 启用mod_reqtimeout模块，替代老旧的Timeout指令：
RequestReadTimeout header=10-30,minrate=500
RequestReadTimeout body=10,minrate=500 - 关闭公网入口的KeepAlive：
KeepAlive Off（尤其登录页、API网关） - 若必须开启KeepAlive，将KeepAliveTimeout压到2–5秒，并限制MaxKeepAliveRequests为20–50
- 搭配mod_evasive自动封禁高频IP，或用limit_conn做基础限流
改完配置后务必重启服务：systemctl restart apache2，再用curl模拟慢速头验证是否在10秒内断连。
