欢迎您加入圈圈网址: 提交网站流程 -> 注册会员 -> 提交网站 -> 等待审核...
数据统计:168个主题分类,9210个优秀站点,22个站点正在排队审核,93篇站长资讯
网站快速审核仅需20元/站,付款后请联系: 点击这里给我发消息
当前位置:圈圈网址 » 站长资讯 » 站长资讯 » 软文广告 » 文章详细 订阅RssFeed

教你利用Google爬虫DDoS任意网站

来源:网络 浏览:1011次 时间:2015-06-30

提醒:以下内容仅供安全测试及教学参考,禁止任何非法用途


Google的FeedFetcher爬虫会将spreadsheet的=image(“link”)中的任意链接缓存。


例如:


如果我们将=image(“http://upload.chinaz.com/2015/0630/1435626856276.jpg”)输入到任意一个Google spreadsheet中,Google就会“派出”FeedFetcher爬虫去抓取这个图片并保存到缓存中以将其显示出来。


但是,我们可以为文件名附加上随机参数,使FeedFetcher多次抓取同一文件。也就是说,如果一个网站有一个10MB的文件,要是将以下列表输入到Google spreadsheet中,那么Google的爬虫就会抓取该文件1000次。


=image("http://targetname/file.pdf?r=0")=image("http://targetname/file.pdf?r=1")=image("http://targetname/file.pdf?r=2")=image("http://targetname/file.pdf?r=3")...=image("http://targetname/file.pdf?r=1000")
附加上随机参数后,每个链接都被看作是不同的链接,因此Google爬虫会去抓取多次,使网站产生大量出站流量。所以任何人只需使用浏览器并打开一些标签,就可以向web服务器发动巨大流量HTTP GET洪水攻击。


但是这种攻击使攻击者根本不需要有多大的带宽,只需要将“图像”地址输入进spreadsheet,Google就会从服务器上抓取这个10MB的数据,但是因为地址指向一个PDF文件(非图像文件),攻击者从Google得到的反馈为N/A。很明显这种类型的流量可以被放大多倍,引起的后果很可能是灾难性的。


只需要使用一台笔记本,打开几个web标签页,仅仅拷贝一些指向10MB文件的链接,Google去抓取同一文件的流量就超过了700Mbps。而这种600-700Mbps的抓取流量大概只持续了30-45分钟,我就把服务器关闭了。如果没算错的话,45分钟内大概走了240GB的流量。

我和我的小伙伴被这么高的出站流量惊呆了。如果文件再大一点的话,我想其出站流量可以轻易达到Gpbs级,而且进站流量也能达到50-100Mbps。可以想象如果多个攻击者同时用这种方法攻击某个网站的话,流量能有多少了。同时由于Google用会多个IP地址进行抓取,所以也很难阻止这种类型的GET洪水攻击,而且很容易将攻击持续数个小时,因为这种攻击实在是太容易实施了。


发现这个bug后,我开始搜索由其产生的真实案例,还真发现了两例:




第一起攻击案例解释了博主如何不小心攻击了自己,结果收到了巨款流量账单。另一篇文章《利用Spreadsheet作为DDoS武器》描述了另一个类似攻击,但指出攻击者必须先抓取整个网站并用多个帐户将链接保存在spreadsheet中。


不过奇怪的是没有人尝试用附加随机请求变量的方法。尽管只是目标网站的同一个文件,但通过这种添加随机请求变量的方法是可以对同一文件请求成千上万次的,后果还是挺吓人的,而且实施过程很容易,任何人只需要动动手指头拷贝一些链接就可以做到。 


我昨天将这个bug提交给了Google,今天得到了他们的反馈,表示这不属于安全漏洞,认为这是一个暴力拒绝服务攻击,不在bug奖金范围中。


也许他们事前就知道这个问题,并且认为这不是bug?


不过即使拿不到奖金,我仍希望他们会修复这个问题,由于实施门槛低,任何人都可以利用Google爬虫发动这种攻击。有一种简单的修复方法,就是Google只抓取没有请求参数的链接。希望Google早日修复这个bug,使站长免受其带来的威胁。

本文章“圈圈网址目录http://www.ooooweb.com/”编辑收录

转载请注明-原文链接:教你利用Google爬虫DDoS任意网站

推荐站点

  • 37游社37游社

    37游社(37ys.com)是一个聚手机游戏,网络游戏,手机应用下载于一体的综合游戏门户站,全年365天保持不间断更新,您可以在这里获得全面的游戏资讯,完善的游戏攻略,人气游戏下载站以及游戏测试账号等,是游戏玩家首选综合游戏资讯门户网站。

    www.37ys.com
  • 八九小游戏八九小游戏

    89小游戏是专业的手机游戏和应用软件下载网站,不仅保证高速稳定下载,而且每天更新海量精品游戏资讯、攻略秘籍等,为用户带来最好的体验,下载手机游戏就上八九小游戏。

    www.89xyx.com
  • 51游戏号51游戏号

    专业的游戏服务平台,平台拥有上号核查、找回包赔、官方回收 三大保障服务,专注于游戏服务数年,只为让游戏交易安全省心,使您售前安心,售后无忧

    www.51youxihao.com
  • 游资网游资网

    面向游戏从业者的游戏开发资讯,建立之初就吸引了大批优秀的制作人及开发团队。经过多年的摸索与发展,不懈坚持旨在为游戏制作人提供游戏研发类的程序技术、策划设计、艺术设计、原创设计等资讯内容。

    www.gameres.com
  • 8799小游戏8799小游戏

    8799小游戏汇聚保卫萝卜,超级玛丽等多种好玩的在线和单机小游戏.在线可玩,有单人和多人的,无需下载,是绿色优质的小游戏中心.无论你喜欢哪些有趣好玩的小游戏,在8799小游戏大全里都能找到哦!

    www.8799.com
  • 289手游网289手游网

    289手机游戏网提供最新的,好玩的苹果手机游戏下载,安卓手游戏下载,是目前国内最专业,最全面的手机单机和网游为一体的综合性下载网站,最经典的游戏全在289手游网是免费下载体验。

    www.289.com
<--! -->
Processed in 0.063004 second(s), 21 Queries, Gzip Enabled