я вижу тут много народу пробовали запустить. пойду посмотреть на сколько расширилась моя бот-сеть. о, +1200 зараженных компьютеров. В следующий раз я выложу суперинтересную мегаигрульку размером 500 килобайт. Качайте и запускайте сразу.
И первым почтовым спамерам, которые присылали спам в виде картинок, я в ответку отправлял монохромный битмэп 30000х30000 точек (это максимум для фотошопа 5.0 того времени), где писал нехорошие слова относительно их спама. Как показывали эксперименты, практически все вьюверы того времени висли с диким свопом.
Так что все давно придумано :)
Шанс того что ваши письма читали спамеры очень близки к нулю:) но за идею жму руку:)
Этот графический файл поставит на колени сайт написанный каким нибудь школоло. Есть же элементарные проверки на ширину-высоту изображения, размер хотя бы. Ширина-высота вообще проверяется без открытия файла, все это в заголовке хранится.
А причем тут вообще сервер? Информация отображается у конечного пользователя. Я, хоть и с образованием, но что-то не могу понять принцип такой атаки. Сервер пересылает данные пользователю и уже система пользователя их интерпретирует и воспроизводит.
Это разновидность архивной бомбы и атаки типа "отказ в обслуживании" (DoS).
Такой же результат будет, если заархивировать огромный файл, состоящий из одного и того же повторяющегося символа. Ещё видел вариант с кучей подобных файлов внутри вложенных друг в друга директорий глубиной 65535, которые также запакованы архиватором. Так можно некоторые антивирусы на почтовых серверах с ума свести.
Этот графический файл поставит на колени сайт написанный каким нибудь школоло. Есть же элементарные проверки на ширину-высоту изображения, размер хотя бы. Ширина-высота вообще проверяется без открытия файла, все это в заголовке хранится.
А причем тут вообще сервер? Информация отображается у конечного пользователя. Я, хоть и с образованием, но что-то не могу понять принцип такой атаки. Сервер пересылает данные пользователю и уже система пользователя их интерпретирует и воспроизводит.
Многие сайты делают превьюхи для заливаемых картинок автоматически при помощи ImageMagic или GD.
Вот тут-то серваку башню и сорвёт.
Это сообщение отредактировал urbain - 4 сен. 2015 г. в 01:05
Какой самый большой размер изображения формата PNG в наименьшем количестве байт? Программист Дэвид Фифилд с сайта bamsoftware.com заинтересовался данным вопросом и пришел к удвительным выводам. Он создал картинку, размеры которой не умещаются в оперативной памяти, вызывая зависание системы.
Запакованный bzip2-файл spark.png.bz2 имеет размер всего 420 байт. В нем лежит сжатый PNG-файл. При распаковке картинка занимает 6132534 байт или 5,8 мегабайт и имеет разрешение 225000 на 225000 пикселей (50,625 гигапикселей). Для просомтра такого изображения требуется около 141 гигабайта оперативной памяти. На незащищенных от подобной «бомбы» фото-хостингов, форумов и прочих сайтов, где можно загрузить и посмотреть картинку, таким образом можно запросто положить сервера.
Этот графический файл поставит на колени сайт написанный каким нибудь школоло. Есть же элементарные проверки на ширину-высоту изображения, размер хотя бы. Ширина-высота вообще проверяется без открытия файла, все это в заголовке хранится.
А причем тут вообще сервер? Информация отображается у конечного пользователя. Я, хоть и с образованием, но что-то не могу понять принцип такой атаки. Сервер пересылает данные пользователю и уже система пользователя их интерпретирует и воспроизводит.
Многие сайты делают превьюхи для заливаемых картинок автоматически при помощи ImageMagic или GD.
Вот тут-то серваку башню и сорвёт.
Так как я понял, нужно заливать архивом. Архивы многие сайты тоже распаковывают?
Добавлено в 01:11 И да, у ImageMagic тоже вроде как стоят ограничения на размер.
Добавлено в 01:13 Вот я ща на ЯП попробую загрузить бзипный пнг
Этот графический файл поставит на колени сайт написанный каким нибудь школоло. Есть же элементарные проверки на ширину-высоту изображения, размер хотя бы. Ширина-высота вообще проверяется без открытия файла, все это в заголовке хранится.
А причем тут вообще сервер? Информация отображается у конечного пользователя. Я, хоть и с образованием, но что-то не могу понять принцип такой атаки. Сервер пересылает данные пользователю и уже система пользователя их интерпретирует и воспроизводит.
Многие сайты делают превьюхи для заливаемых картинок автоматически при помощи ImageMagic или GD.
Вот тут-то серваку башню и сорвёт.
Так как я понял, нужно заливать архивом. Архивы многие сайты тоже распаковывают?
Очевидно, заливать архивом не нужно.
Архивом нужно заливать классическую архивную бомбу, а если хочешь её же подкинуть конечному юзеру, минуя всякие автопроверки, надо архивировать с паролем.
Просто в статье автор это понапутал в одну солянку, я не удивлён.
Этот графический файл поставит на колени сайт написанный каким нибудь школоло. Есть же элементарные проверки на ширину-высоту изображения, размер хотя бы. Ширина-высота вообще проверяется без открытия файла, все это в заголовке хранится.
А причем тут вообще сервер? Информация отображается у конечного пользователя. Я, хоть и с образованием, но что-то не могу понять принцип такой атаки. Сервер пересылает данные пользователю и уже система пользователя их интерпретирует и воспроизводит.
Многие сайты делают превьюхи для заливаемых картинок автоматически при помощи ImageMagic или GD.
Вот тут-то серваку башню и сорвёт.
Так как я понял, нужно заливать архивом. Архивы многие сайты тоже распаковывают?
Очевидно, заливать архивом не нужно.
Архивом нужно заливать классическую архивную бомбу, а если хочешь её же подкинуть конечному юзеру, минуя всякие автопроверки, надо архивировать с паролем.
Просто в статье автор это понапутал в одну солянку, я не удивлён.
Мда, афтар много чего напутал. Хотя там написано, что все это действительно для незащищенных серверов, которые обрабатывают графику. Короче хрень. Ежу понятно, что любой сервис можно положить переизбытком запросов, если нет механизмов эти запросы классифицировать и лимитировать. Для картинок - это размер.
помню работал гордым менеджером по продаже ПК в 2005 году и нам принесли игрушку. занимала чтото около 450 Кб. переписали и запустили на стенде. в общем на то время athlon x2 1Gb был весьма дорогой машиной, но он прогнулся полностью. распаковка игрушки занимала пару минут и в итоге оказывался на тот момент, весьма с хорошей графикой 3д шутер, длинной в целый уровень!
В глазки долбимся? Ссыль на нее уже три раза здесь опубликовали. З.Ы. to all: И хорош со шрифтами играться. МЕХАНИЗМа позову
Добавлено в 02:14 Фотожоп открывал пять минут. Ничего не виснет. Памяти всего два гига. Ни один вьевер и ни один браузер открывать не стал. Все обругали меня.
Давно известная тема "архивной бомбы". Пробовал с текстом. Берется документ, состоящий из повторений одно символа, чем больше - тем лучше. Сжимается архиватором, размер архива получается минимальным, будет содержать информацию о коде символа, количестве повторений его в тексте, ну и формат файла. Можно несколько [тысяч] одинаковых файлов упаковать, размер архива мало изменится.
именно для таких случаев на серваках ограничение ставят на выделяемые ресурсы + за время обработки по таймауту операцию сбросит. Будет наверное трудно найти такой уязвимый сервер)
Добавлено в 07:21
Цитата (Demonnn @ 4.09.2015 - 06:42)
Вообще никаких проблем не вижу. Нет перегрузки CPU/GPU. ОЗУ и видеопамять тоже в порядке.
Проблема не в том, чтобы открыть файл. А в том, чтобы обработать это изображение.
Только зарегистрированные и авторизованные пользователи могут оставлять комментарии. Авторизуйтесь, пожалуйста, или зарегистрируйтесь, если не зарегистрированы.
1 Пользователей читают эту тему (1 Гостей и 0 Скрытых Пользователей)
Файл подкачки не вырос.
yaplakal.com