• Уменьшение отступа

    Обратная связь

    (info@ru-sfera.pw)

Крутая досерка, для ознакомления


Антоха

Уважаемый пользователь
Форумчанин
Регистрация
26.12.2012
Сообщения
2 780
Репутация
4 652
Google Docs "уложит" любой сайт

Неизвестный автор «Блога программиста» описал способ создания DDoS-атаки без навыков программирования с применением только электронных таблиц Google Docs. По его словам, Google пока не планирует ликвидировать этот «баг».
Автор сайта «Блог программиста» (A Programmer's Blog), скрывающийся под ником chr13, описал способ организации DDoS-атаки на произвольный сайт с помощью штатной функциональности редактора электронных таблиц сервиса Google Docs.
Интересно, что это описание - первая и к нынешнему моменту единственная запись в его блоге.
Как сообщает автор блога, для организации DDoS-атак можно применять функцию =image("link"), которая добавляет в редактируемую ячейку таблицы изображение или файл по ссылке. Интересное свойство этой функции состоит в том, что для ее обработки Google использует свой краулер FeedFetcher, с чьей помощью изображение скачивается из источника и кэшируется для отображения в соответствующих ячейках таблиц.
Однако, если в создаваемой таблице применить эту функцию многократно, добавляя к URL каждый раз случайный параметр, то краулер будет всякий раз заново обращаться к источнику и по отдельности скачивать изображение для каждой из измененных ссылок. Таким образом, множественными запросами из электронной таблицы будет создаваться нагрузка на целевой сайт, и непродуктивно расходоваться трафик жертвы. Chr13 классифицирует этот способ атаки как HTTP GET FLOOD.
Автор блога описывает ситуацию, когда в запросе таблицы указан адрес не изображения, а, например, большого PDF-файла. В этом случае сайт-жертва будет отдавать весь запрошенный трафик, но, поскольку вставить PDF-файл в ячейку таблицы нельзя, в нее будет возвращаться сообщение об ошибке. Таким образом, атакующему компьютеру не требуется ни широкий канал, ни высокая производительность.
Как сообщает автор, при использовании одного ноутбука с несколькими открытыми вкладками браузера, копируя и вставляя списки ссылок на файлы размером 10 МБ, краулер Google обеспечивал скачивание файла со скоростью более 700 Мбит/c, и, за 30-45 минут заставил целевой сервер израсходовать примерно 240 ГБ трафика: «Могу себе представить, что произойдет, если этот метод применят несколько атакующих», - пишет он.
Удивительно, что никто не попробовал добавлять к таким запросам случайные параметры, говорит chr13: даже если на сайте есть лишь один файл, с помощью добавления случайных параметров к нему можно сделать тысячи запросов.
Автор блога пишет, что накануне (9 марта 2014 г.) он написал письмо с описанием бага в Google, и успел получить ответ поисковика о том, что найденная особенность работы электронных таблиц Google не является уязвимостью, а потому не премируется по программе Bug Bounty. Chr13 надеется, что в Google решат проблему, однако, вечером 11 марта способ описанный им способ атаки обращения к сайтам из таблиц Google успешно воспроизводился.
 
M

Maxim Next

Гость
Google Docs "уложит" любой сайт

Неизвестный автор «Блога программиста» описал способ создания DDoS-атаки без навыков программирования с применением только электронных таблиц Google Docs. По его словам, Google пока не планирует ликвидировать этот «баг».
Автор сайта «Блог программиста» (A Programmer's Blog), скрывающийся под ником chr13, описал способ организации DDoS-атаки на произвольный сайт с помощью штатной функциональности редактора электронных таблиц сервиса Google Docs.
Интересно, что это описание - первая и к нынешнему моменту единственная запись в его блоге.
Как сообщает автор блога, для организации DDoS-атак можно применять функцию =image("link"), которая добавляет в редактируемую ячейку таблицы изображение или файл по ссылке. Интересное свойство этой функции состоит в том, что для ее обработки Google использует свой краулер FeedFetcher, с чьей помощью изображение скачивается из источника и кэшируется для отображения в соответствующих ячейках таблиц.
Однако, если в создаваемой таблице применить эту функцию многократно, добавляя к URL каждый раз случайный параметр, то краулер будет всякий раз заново обращаться к источнику и по отдельности скачивать изображение для каждой из измененных ссылок. Таким образом, множественными запросами из электронной таблицы будет создаваться нагрузка на целевой сайт, и непродуктивно расходоваться трафик жертвы. Chr13 классифицирует этот способ атаки как HTTP GET FLOOD.
Автор блога описывает ситуацию, когда в запросе таблицы указан адрес не изображения, а, например, большого PDF-файла. В этом случае сайт-жертва будет отдавать весь запрошенный трафик, но, поскольку вставить PDF-файл в ячейку таблицы нельзя, в нее будет возвращаться сообщение об ошибке. Таким образом, атакующему компьютеру не требуется ни широкий канал, ни высокая производительность.
Как сообщает автор, при использовании одного ноутбука с несколькими открытыми вкладками браузера, копируя и вставляя списки ссылок на файлы размером 10 МБ, краулер Google обеспечивал скачивание файла со скоростью более 700 Мбит/c, и, за 30-45 минут заставил целевой сервер израсходовать примерно 240 ГБ трафика: «Могу себе представить, что произойдет, если этот метод применят несколько атакующих», - пишет он.
Удивительно, что никто не попробовал добавлять к таким запросам случайные параметры, говорит chr13: даже если на сайте есть лишь один файл, с помощью добавления случайных параметров к нему можно сделать тысячи запросов.
Автор блога пишет, что накануне (9 марта 2014 г.) он написал письмо с описанием бага в Google, и успел получить ответ поисковика о том, что найденная особенность работы электронных таблиц Google не является уязвимостью, а потому не премируется по программе Bug Bounty. Chr13 надеется, что в Google решат проблему, однако, вечером 11 марта способ описанный им способ атаки обращения к сайтам из таблиц Google успешно воспроизводился.

АХАХАХААХА
Уже давно использую.
Для эффективности использую сразу 10-20 вкладок!!
Создаю 100 строк с кодом, которые качают файл ~1мб.
100*1*10=1 Гб трафика за несколько минут!
ddos.png
 
M

Maxim Next

Гость
АХАХАХААХА
Уже давно использую.
Для эффективности использую сразу 10-20 вкладок!!
Создаю 100 строк с кодом, которые качают файл ~1мб.
100*1*10=1 Гб трафика за несколько минут!Посмотреть вложение 34148

Если эта запись наберет 20 10 лайков, расскажу как пользоваться.
 

X-Shar

:)
Администрация
Регистрация
03.06.2012
Сообщения
6 068
Репутация
8 176

X-Shar

:)
Администрация
Регистрация
03.06.2012
Сообщения
6 068
Репутация
8 176
Если у кого руки чешутся, вот одна из лучших прог для этого дела Unknown DoSer release:
Когда нужны дудосеры их никогда нет...NO-no!!!

Сделал стресс-тест этой прогой из пяти компов и при постоянном ддосе появилась ошибка 500...

В общем прога не такая и плохая, если нет лимитов на коннекты, другое дело когда их сделать эти лимиты, то могут пострадать пользователи !Не въехал!!!Не въехал!!!Не въехал!!!
 
Верх Низ