Zip-бомба
Zip-бомба это архивный файл, который по своей природе обладает разрушающим действием. При распаковке может вызвать крах системы. Современные антивирусы вполне распознают подобные файлы и предупреждают пользователя о разрушающем действии.
Принцип работы.
Внешне подобный файл выглядит как маленький архив. При распаковке распаковывается тот же самый архив. Данный файл может предоставлять опасность для антивирусов: в попытке распаковать все архивы антивирус может забить всю память и ничего не найти.
Применение.
В некоторых случаях таким способом можно устроить DoS-атаку на систему, обрабатывающую архивы без участия человека.
Как создать Zip-бомбу самому?
- Открываем блокнот.
- Пишем достаточное кол-во нулей.
- Увеличиваем их кол-во путем нажатия комбинаций Ctrl+A, Ctrl+C, Ctrl+V.
- Повторяем третий пункт, пока вы не заметите, что размер ну очень вырос, а наш ПК сам от большого количества нулей начинает глючить.
- А теперь сжимаем этот файл в rar / zip.
В итоге наш архив весит максимум 1мб. Как все это получилось? Все это тоже просто: архиваторы используют специальные алгоритмы сжатия; например, у нас было «0000000», а архиватор сжал все это дело вот так: «70».
Далее создайте несколько копий архива (штук так десять) и всех их сожмите в один. Отправьте получившийся архив нашей жертве и ждите открытия, или сами распакуйте архив на его ПК, если есть возможность.
Если лень делать самому, то вот вам самая знаменитая бомба: 42.zip Её распакованный вес: 4,5 петабайт(4.503.599.626.321.920 гигабайт). Этот архив можно найти на просторах интернета.
PNG Zip-бомба.
Программист и хакер Дэвид Фифилд (David Fifield) задумался, где ещё можно применить «архивные бомбы». Сразу на ум приходит графический формат PNG, в котором используется алгоритм сжатияDEFLATE в библиотеке zlib.
Каков будет максимальный размер картинки с минимальным размером файла? Идея в том, чтобы файл можно было быстро скачать из интернета, но при этом он не поместился в оперативную память на персональном компьютере.
Сначала алгоритм DEFLATE заменяет повторяющиеся строки указателями (LZ77), при этом каждая пара бит кодирует 258 одинаковых байтов с нулями. Степень компрессии составляет 1032 к 1.
Затем за дело берётся bzip2, который сжимает длинный набор одинаковых значений в максимально компактный вид.
В архиве на 420 байт — файл PNG размером 6 132 534 байт (5,8 МБ) и изображением 225 000 х 225 000 пикселей (50,625 гигапикселей). В пиксельном буфере с тремя байтами на пиксель картинка займёт примерно 141,4 ГБ.
Картинка почти полностью состоит из нулей, с секретным сообщением в центре. Для лучшего сжатия используется однобитное цветовое пространство, хотя большинство программ для рендеринга графики всё равно резервируют по три бита на пиксель и разворачивают картинку в 141,4 гигабайта.
Защита сайта Zip-бомбой.
Раньше ZIP-бомбы использовались для самых разных целей, от обыкновенного троллинга, до умышленного вывода из строя антивирусов. И хотя современные защитные решения давно научились распознавать такие файлы и даже предупреждают пользователя об опасности, тем же не могут похвастаться браузеры и сканеры уязвимостей, такие как Nikto, SQLMap и так далее.
Учитывая эту особенность, австрийский ИБ-специалист Кристиан Хашек (Christian Haschek) предложил использовать ZIP-бомбы во благо, обращая их против злоумышленников. Для этого исследователь написал два небольших PHP-скрипта, которые определяют подозрительные user-agent. Так, если злоумышленники пытаются использовать сканер уязвимостей, или через браузер запрашивают доступ к защищенным или приватным страницам (бэкэнду, панели администрирования, страницам, содержащим формы регистрации и входа), скрипты подменяют обычное содержимое страницы ZIP-бомбой. Как только клиент атакующего получит такой архив, злоумышленника ждет неизбежный аварийный отказ.
Хашек успешно протестировал свою методику на бразуерах IE11, Chrome, Edge, Safari и Chrome для Android, а также сканерах SQLmap и Nikto. Во всех случаях получение ZIP-бомб приводило к краху и многочисленным ошибкам. Лишь Nikto, казалось бы, продолжил работать, но выяснилось, что никакого результата такое сканирование не приносит.
Как сделать бомбу (сравнение xz и 7zip) : Linux
В общем, многие, наверное, знают, что с древних времен существует разновидность гадостей, именуемая файл-бомбой. Изготовляется очень просто, равно как и ловится уже давным давно по степени сжатия большинством вменяемого софта. Принцип действия бомбы простой. Пишу уже вечером в пятницу, поэтому сбивчиво. Итак, однородные массы данных очень хорошо жмутся архиваторами. Берем гигантский файлик из одних ноликов, называем файл .exe и жмем его в архив. Антивирус, например, постарается распаковать этот файлик и, если он совсем древний и глупый, то скорее всего завалит машину владельца. Аналогичным образом можно подставить кучу разнообразного софта, интересующегося содержимым архивов. Раньше очень весело было в FIDO подкинуть вместо почтового пакета бомбу, тоссер бедный раз за разом пытался ее развернуть. Ну сейчас уже как-то несерьезно такими вещами заниматься, способ давно известный и интересен с академической точки зрения. Итак, первый вопрос в том, как получить такой файлик. Под Линуксом можно сделать все, просто прочитаем нужное количество нулей из /dev/zero
dd if=/dev/zero of=readme.txt bs=1024000 count=200000
во время работы утилитки можно посылать ей killall -USR1 dd, чтобы она отображала текущий прогресс. Я запускал с другими параметрами, в общем, у меня получился файлик на 220934Mб. Из интересующих меня архиваторов (а я интересовался есть ли замена лидеру, 7z) выбрал только новомодный xz, поддержка которого недавно появилась в tar.
Запускал c параметрами:
7z a -t7z -m0=lzma -mx=9 -mfb=64 -md=32m -ms=on
xz -9 -e
Итог ошеломляет.
7z работал около 6 часов (i5 2500S), файл 31913K
xz работал около 16 часов (!), файл 32907K
в общем, нет пока замены моему любимому 7z. Если кому-то интересно, файлики (архивы) лежат в папке OlegON на ftp.
Zip-бомба��
Доброго времени суток, друзья, сегодня я решил сделать статью о так называемой ZIP-бомбе. Вещь эта конечно не новая, но как оказалось, многие и понятия не имеют, что такое вообще существует. В конце статьи ссылка на тот самый архив смерти, но я настоятельно советую не запускать, в ином случае ответственность за ущерб я не несу )
Zip-бомба, также известная как Архив Смерти- архивный файл, который способен в кратчайшие сроки вывести из строя систему.
Файл весит всего 42 килобайта. Казалось бы — мелочь. Но не спешите с оценкой. Если попробуете его распаковать (не делайте это!), то в ответ получите 4,5 Петабайт данных. Такой объем современные компьютеры переварить не смогут- оперативная память и винчестер быстро переполнятся. В результате система зависнет или вылетит в синий экран смерти.
Сама по себе ZIP-бомба не более чем пустышка, но в ней зашит особый алгоритм генерирования данных.
42.zip состоит из 16 архивов, каждый из которых также состоит из 16 архивов, каждый из которых. Итого пять циклов, которые дают 1 048 576 архивов. Каждый такой архив весит 4,3 Гб. Все вместе это 4 503 599 626 321 920 байт или 4,5 Пб.
Чтобы разместить такой объем на HDD, нам понадобится 1 024 терабайтных жестких диска или 74 винчестера на 14 Гб. Это примерно 2,3 миллиона рублей.
Как же удалось такой громадный объем заархивировать в 42 Кб.? Очень просто. Здесь используются текстовые файлы, состоящие из одинаковых символов (например, нулей). Они очень хорошо сжимаются с помощью алгоритмов. Подобные zip-бомбы называются рекурсивными (когда функция вызывает сама себя).
Если вы всё же каким-то образом попались и открыли этот архив смерти, то могу вас заверить, что не всё так печально. Можно загрузиться с LiveCD с USB-флешки, чтобы очистить систему от мусора.
Современные антивирусы подобные zip-архивы давно научились распознавать, а вирусописателям такие «бомбы» не особенно интересны. Сегодня вирусы обычно создают для заработка, а не для того, чтобы кому-то навредить.
Zip-бомба
Zip-бомба (файловая бомба, архивная бомба, архив смерти) — вредоносный архивный файл, который при распаковке может вывести из строя программу или систему, поскольку его обработка требует слишком большого объема памяти или создает чрезмерную нагрузку на процессор. Как правило, такой эффект достигается за счет большой разницы в размере сжатых и распакованных данных.
Виды zip-бомб
Можно выделить два основных вида zip-бомб:
- Рекурсивные
- Нерекурсивные
Рекурсивные бомбы содержат множество вложенных архивов, которые распаковываются один за другим. Деструктивная атака с использованием такого файла может пройти успешно только в том случае, если атакованная программа поддерживает рекурсивную распаковку. Классический пример рекурсивной бомбы — файл 42.zip, состоящий из шести слоев вложенных архивов. В сжатом виде его размер составляет 42 КБ, а после распаковки всех слоев он занимает 4,5 ПБ памяти. Также к рекурсивным zip-бомбам относятся zip-квайны — архивы, содержащие копию себя и провоцирующие бесконечную распаковку.
Нерекурсивные бомбы характеризуются очень большим коэффициентом сжатия данных. Для обычного архива это значение не превышает 1032 к одному. В случае с zip-бомбой коэффициент сжатия может достигать миллионов к одному. Он достигается с помощью метода перекрытия файлов (overlapping files), предложенного американским программистом Дэвидом Файфилдом (David Fifield). Вместо того чтобы сжимать множество одинаковых файлов по отдельности, создатель zip-бомбы использует для них одно общее «ядро» (сжатое содержимое файла). При распаковке из него восстанавливается столько файлов, сколько было упаковано в архив. Чем их больше, тем выше коэффициент сжатия. В результате распаковка единственного слоя вызывает тот же эффект, что и распаковка многочисленных слоев рекурсивной бомбы.
Использование zip-бомб
Zip-бомбы часто используются во вредоносных целях. Например, злоумышленники распространяют их, чтобы вызвать сбой антивируса и беспрепятственно загрузить на компьютер вредоносное ПО.
Архивы смерти могут использовать и против злоумышленников. Например, в 2017 году австрийский программист Кристиан Хашек (Christian Haschek) предложил разработчикам сайтов защищаться от взлома с помощью zip-бомб. Он создал PHP-скрипт, который определяет подозрительные запросы и отправляет в ответ архивную бомбу в формате GZip. Браузер или сканер уязвимостей, который отправил запрос на сервер, пытается распаковать архив и зависает или выдает ошибку.
Опасность zip-бомб
В настоящее время файловые бомбы практически не представляют опасности для пользователей по следующим причинам:
- Многие программы не поддерживают рекурсивную распаковку, а распаковка только одного слоя дает на выходе не очень большой объем данных. Это делает рекурсивные zip-бомбы бессмысленными.
- Большинство современных защитных решений умеют распознавать все виды zip-бомб, блокировать их и предупреждать пользователя об опасности.
Публикации на схожие темы
- Три самые опасные функции Android
- Веский повод обновить Confluence
- Получили письмо с QR-кодом? Будьте осторожны
- Из чего состоит Malware-as-a-Service
- Переход на темную сторону: как хантят IT-специалистов в даркнете
- Киберугрозы для АСУ и промышленных предприятий в 2023 году