欢迎您加入789分类目录! (我要快速审核) (我要上推荐位
当前位置:789分类目录 » 站长资讯 » 站长运营 » 文章详细 订阅RssFeed

教你利用Google爬虫DDoS任意网站

来源:网络 浏览:234次 时间:2015-06-30

提醒:以下内容仅供安全测试及教学参考,禁止任何非法用途


Google的FeedFetcher爬虫会将spreadsheet的=image(“link”)中的任意链接缓存。


例如:


如果我们将=image(“http://upload.chinaz.com/2015/0630/1435626856276.jpg”)输入到任意一个Google spreadsheet中,Google就会“派出”FeedFetcher爬虫去抓取这个图片并保存到缓存中以将其显示出来。


但是,我们可以为文件名附加上随机参数,使FeedFetcher多次抓取同一文件。也就是说,如果一个网站有一个10MB的文件,要是将以下列表输入到Google spreadsheet中,那么Google的爬虫就会抓取该文件1000次。


=image("http://targetname/file.pdf?r=0")=image("http://targetname/file.pdf?r=1")=image("http://targetname/file.pdf?r=2")=image("http://targetname/file.pdf?r=3")...=image("http://targetname/file.pdf?r=1000")
附加上随机参数后,每个链接都被看作是不同的链接,因此Google爬虫会去抓取多次,使网站产生大量出站流量。所以任何人只需使用浏览器并打开一些标签,就可以向web服务器发动巨大流量HTTP GET洪水攻击。


但是这种攻击使攻击者根本不需要有多大的带宽,只需要将“图像”地址输入进spreadsheet,Google就会从服务器上抓取这个10MB的数据,但是因为地址指向一个PDF文件(非图像文件),攻击者从Google得到的反馈为N/A。很明显这种类型的流量可以被放大多倍,引起的后果很可能是灾难性的。


只需要使用一台笔记本,打开几个web标签页,仅仅拷贝一些指向10MB文件的链接,Google去抓取同一文件的流量就超过了700Mbps。而这种600-700Mbps的抓取流量大概只持续了30-45分钟,我就把服务器关闭了。如果没算错的话,45分钟内大概走了240GB的流量。

我和我的小伙伴被这么高的出站流量惊呆了。如果文件再大一点的话,我想其出站流量可以轻易达到Gpbs级,而且进站流量也能达到50-100Mbps。可以想象如果多个攻击者同时用这种方法攻击某个网站的话,流量能有多少了。同时由于Google用会多个IP地址进行抓取,所以也很难阻止这种类型的GET洪水攻击,而且很容易将攻击持续数个小时,因为这种攻击实在是太容易实施了。


发现这个bug后,我开始搜索由其产生的真实案例,还真发现了两例:




第一起攻击案例解释了博主如何不小心攻击了自己,结果收到了巨款流量账单。另一篇文章《利用Spreadsheet作为DDoS武器》描述了另一个类似攻击,但指出攻击者必须先抓取整个网站并用多个帐户将链接保存在spreadsheet中。


不过奇怪的是没有人尝试用附加随机请求变量的方法。尽管只是目标网站的同一个文件,但通过这种添加随机请求变量的方法是可以对同一文件请求成千上万次的,后果还是挺吓人的,而且实施过程很容易,任何人只需要动动手指头拷贝一些链接就可以做到。 


我昨天将这个bug提交给了Google,今天得到了他们的反馈,表示这不属于安全漏洞,认为这是一个暴力拒绝服务攻击,不在bug奖金范围中。


也许他们事前就知道这个问题,并且认为这不是bug?


不过即使拿不到奖金,我仍希望他们会修复这个问题,由于实施门槛低,任何人都可以利用Google爬虫发动这种攻击。有一种简单的修复方法,就是Google只抓取没有请求参数的链接。希望Google早日修复这个bug,使站长免受其带来的威胁。

转载请注明-原文链接:教你利用Google爬虫DDoS任意网站

推荐站点

  • 五洲会海购五洲会海购

    五洲会,官方认证,正品保证,进口商品海外购物商城。轻松购遍海外进口母婴,进口保健,进口美妆等,100%原装进口,海外直采,保税发货,国内售后,网购海外商品有保障。海淘购物首选,五洲会

    www.wzhouhui.com
  • 药方大全网药方大全网

    本站为您搜集整理了大量的验方偏方秘方古方等中药方(中药方剂)八万多个。你是你自己的中医,我是你的中药方!中医中药秘方网,偏方大全愿为您的健康保驾护航。

    www.zhongyf.com
  • 窝读谷中文网窝读谷中文网

    窝读谷中文网是质量最好的中文小说网站,提供奇幻玄幻,武侠仙侠,历史军事,游戏竞技,都市青春言情,科幻灵异悬疑等中文免费小说全文阅读与小说txt下载。

    www.wodugu.com
  • 西瓜电影西瓜电影

    一一影视网(www.yjytv.com)第一时间为你提供西瓜影音2015最新电影大全,最新好看的2015好看的电影电视剧排行榜西瓜影音电影免费在线观看,更新最快的西瓜影音电影电视剧网站!

    www.yjytv.com
  • 宋小宝小品搞笑大全宋小宝小品搞笑大全

    我爱小宋网(www.5ixiaosong.com)为广大热爱宋小宝的网友提供最新热门的宋小宝小品全集,小品搞笑大全宋小宝,宋小宝综艺节目等宋小宝小品搞笑大全视频在线观看,另外还提供2015宋小宝最新小品MP3下载。

    www.5ixiaosong.com
  • MCM中国官网MCM中国官网

    广州白云世界皮具贸易中心mcm高仿,专业一比一,原版mcm包包,高仿mcm背包,MCM官网,mcm韩国官网,街拍mcm双肩包,鹿晗同款mcm双肩包,鹿晗mcm双肩包,高仿mcm包包,mcm包包! zjgzrh (15:13:53):

    www.10086mcm.com