DOS-атака через PNG-бомбу в браузере

http://fjfalcon.com/spark.png просто не открывается....

У кого работает? У меня firefox, eom, ImageMagic выдают ошибку, DOS не выходит.

чтобы сработало, нужно указать этот файл в качестве favicon

Ондроедохром, не открылась.

И да, при чем тут DOS? Твой браузер - сервис, обслуживающий сторонних клиентов? Тогда сочувствую.

из-за особенностей сжатия PNG-формата можно создать многогигапиксельную фотографию в 6Мб файла,

также можно создать зажать терабайт нулей в zip архив

Твой браузер - сервис, обслуживающий сторонних клиентов? Тогда сочувствую.

Чтобы не обслуживал использую adblock.

Тогда при чем тут дос?

Ну отказ в обслуживании локальной машины, когда всё в своп польётся.

Обычно дос понимают не настолько буквально, отказ машины клиента - это проблемы клиента и его слабого железа.

Прямо слоган веб-дизайнеров.

Аналогия: пришел ты к бабе, у тебя не встал, и ты называешь это отказом от обслуживания. Но это не так. Бабы (все доступные тебе серваки) готовы тебя обслужить, но ты сам неспособен, ибо пару недель (секунд) назад подхватил какую-то дрянь.

Бабушкин strikes back (комментарий) ;)

также можно создать зажать терабайт нулей в zip архив

Можно и не в zip. Просто страница на терабайт, которая отдаётся по HTTP с компрессией. Всяко браузер захочет её распаковать перед парсингом.

Лол, а есть реализация?

Можно версию на 20Gb, а лучше побольше?

Нет, мне не надо. Но ничего сложного в этом нет.

«Недостаточно памяти для хранения изображения размером 225000 на 225000; попробуйте закрыть некоторые приложения, чтобы уменьшить количество используемой памяти»

Где скачать пример?!

На новость зайди, там ссылка на архив с файлом.

Повесить браузер можно кучей способов. Есть, например, известный всем imgh.us/999.svg

Feh просто открывает пустое изображение с клеточками и всё. Ничего вообще не происходит.

Лови, не жалко: http://ftp.dim13.org/pub/misc/bzip2bomb/ ;)

Ок, а как заставить браузер это жрать? Через nginx bzipped cache?

Это уж сам разбирайся.

браузеру проще скормить страничку с title размером в десяток мегабайт, я относительнонеадвно в ирке бота так развлекал, заодно заметил что браузеры печалятся

Не открывается :((

Лол, дай скрипт.

мдя

Что не так? Или у тебя бинарником реализованно?

Не открывается :((

У меня wget-ом качается, далее можно браузером открыть. Браузером проверять сейчас не хочу, ну его.

Я ондроедохромом пробовал.

Safari открыл и не подавился

Аналогично.

Не открывается.

http://sakurity.com/deflatebomb

Шикарно. Только надо в 100 раз больше: у меня на i7 за три минуты открылось в лисе. И сожрало 1Гб памяти. Можно код увидеть?

Нате ещё http://m8y.org/tmp/zipbomb/foo.html

А код? Или вариант в архиве.

Ну и классика https://bugzilla.kernel.org/attachment.cgi?id=118351

netcat записал
http://rghost.ru/7YJndnC9p

чтобы сработало, нужно указать этот файл в качестве favicon

Как там в криокамере? Это совсем другое

Ого, прикольно, не дождался перехода в консоль, сделал reset

По ссылке-то пройди, да почитай про способы употребления данной картинки.

В качестве примеров атак отмечается подстановка данной картинки на сайт в качестве изображения favicon.ico, открываемого браузером по умолчанию, или загрузка в online-сервисы в качестве аватара для инициирования сбоев скриптов обработки изображений