Zip Atomowa Bomba. Niewinny plik zip rozpakowuje się do 4.5 petabajta

04 lipca 2019, 11:11 | W biegu | komentarzy 11
Tagi: , ,
: oglądaj sekurakowe live-streamy o bezpieczeństwie IT.

Teoria i praktyka tutaj. Praca aktualizuje w znaczny sposób obecne osiągnięcia, które były ograniczane przez sam algorytm:

Compression bombs that use the zip format must cope with the fact that DEFLATE, the compression algorithm most commonly supported by zip parsers, cannot achieve a compression ratio greater than 1032.

Zip Bomby

Jak widać powyżej, można bez rekurencyjnego pakowania kolejnych zipów (nie ma gwarancji że będą one też rekurencyjnie rozpakowywane) osiągnąć 45 MB plik, który rozpakowuje się do 4.5 petabajta. Jeśli 45MB to za duży limit można spróbować czegoś mniejszego np. 10 MB rozpakowujący się do 281 TB.

Warto dodać, że w pomyśle w pewnym sensie maczał palce nasz rodak – Gynvael Coldwind.

Zainteresowanych tematyką odsyłam też do innych podobnych i ciekawych ataków klasy DoS – billion laughs czy ReDoS.

–ms

Spodobał Ci się wpis? Podziel się nim ze znajomymi:



Komentarze

  1. glowny admnistrator internetu
    Odpowiedz
    • może rozpakowuje Ci tam zipa? ;)

      Odpowiedz
      • zero one

        @sekurak
        Ha ha ha!
        To by tłumaczyło dziwne awarie internetu. Wszak to na kompie @głównego administratora internetu Z-Boomb poszedł ;-E

        Odpowiedz
    • ment

      Też miałem ale już działa

      Odpowiedz
  2. Robert

    A czy dałoby się zrobić taki zaszyfrowany i skompresowany plik żeby się nie zmieścił w Utah?

    Odpowiedz
  3. adrb

    Ciekawe ciekawe, czyli jeżeli zaserwowałbym przeglądarce taki payload zamiast spakowanej strony, to otrzymam broń masowego rażenia? :)

    Odpowiedz
    • It is compatible with most zip parsers, the exceptions being „streaming” parsers that parse in one pass without first consulting the zip file’s central directory.

      Czyli z tego co rozumiem w przeglądarce nie zadziała. ?

      Odpowiedz
  4. Anonim

    Ta prezentacja Gynvaela to istny majstersztyk:
    dla oczu,
    dla umysłu,
    dla nauki,
    dla wiedzy,
    dla wszystkich poniżej jego poziomu(proszę to odebrać w dobrym rozumieniu tego zwrotu- nie każda prezentacja w taki doskonały sposób pokazuje skąd, po co, na co i dlaczego)

    Miłej lektury

    Odpowiedz
    • „Jeśli jesteś najmądrzejszą osobą w pokoju, to znaczy że jesteś w złym pokoju.”

      Odpowiedz
  5. Inocenty

    Ten plik można pokonać tylko oryginalną licencją winrara.

    Odpowiedz
  6. dsadkjllj
    Odpowiedz

Odpowiedz