Онлайн-редактор таблиц от Google сделали инструментом DDoS-атак Материал редакции

Онлайн-редактор таблиц от Google может использоваться для организации мощных DDoS-атак на сайты. Об этом рассказывается в блоге программиста, скрывающегося под псевдонимом chr13.

Способ организации атаки на сайт завязан на функции редактора таблиц, подгружающей картинку по указанной ссылке. Если пользователь введёт код =image("http://example.com/image.jpg") в одну из ячеек, то специальный робот Google скачает картинку по ссылке, чтобы впредь показывать её пользователю.

chr13 заметил, что если после ссылки на изображение прописать случайный параметр, то робот Google обратится на сервер за указанной картинкой для каждого из таких параметров. Более того, пользователь может прописать в ячейке ссылку не на изображение, а на какой-нибудь иной файл — к примеру, PDF-документ объёмом 10 мегабайт — и робот всё равно его скачает.

А прописав в таблице тысячу раз ссылку на один и тот же документ с разными параметрами, пользователь заставит Google скачать файл с сервера тысячу раз.

=image("http://targetname/file.pdf?r=0")

=image("http://targetname/file.pdf?r=1")

=image("http://targetname/file.pdf?r=2")

=image("http://targetname/file.pdf?r=3")

...

=image("http://targetname/file.pdf?r=1000")

Подобная операция окажет серьёзную нагрузку на веб-сервер, на котором расположен файл. При этом атакующему не нужно иметь широкого канала связи: если указывать в ссылке PDF-файлы, Google скачает их, но покажет в соответствующей ячейке сообщение об ошибке «N/A».

Испытав способ на практике, chr13 на одном ноутбуке с несколькими открытыми вкладками смог заставить робота Google качать со своего сервера 10-мегабайтный файл со скоростью 600-700 мегабит в секунду и выше. Такая «атака» длилась 30-45 минут, после чего «испытатель» просто отключил сервер.

Google использует множество IP-адресов для своего робота-краулера, поэтому так заблокировать ему доступ к серверу не получится. chr13 отмечает, что жертва может отфильтровать поток по параметру User Agent, но это может быть затруднительно, если атака началась без предупреждения. При этом вредоносный поток может идти несколько часов.

chr13 нашел в сети два случая использования этого метода атаки. В одном случае блогер случайно атаковал самого себя и в итоге получил гигантский счёт за трафик своего сайта. Во втором случае авторы материала предлагают сначала проиндексировать все файлы на сервере, чтобы «натравить» на них редактор таблиц Google. Использование случайных параметров, отмечает chr13, позволяет осуществить атаку, даже если в распоряжении имеется всего один файл.

Автор публикации обратился в Google с отчётом о найденной ошибке. Однако в корпорации заявили, что указанный им случай не является уязвимостью.

{ "author_name": "Султан Сулейманов", "author_type": "self", "tags": ["\u0442\u0430\u0431\u043b\u0438\u0446\u044b_google","google_spreadsheet","google_drive","google_docs","google","ddos_\u0430\u0442\u0430\u043a\u0438_\u0441_\u043f\u043e\u043c\u043e\u0449\u044c\u044e_google","ddos"], "comments": 22, "likes": 24, "favorites": 0, "is_advertisement": false, "subsite_label": "tech", "id": 50031, "is_wide": true, "is_ugc": true, "date": "Mon, 10 Mar 2014 19:32:24 +0400", "is_special": false }
Комментарии

Долгий якорь

9

Сейчас наплодится дудосеров диванных

Муниципальный парфюмер

6

Все пошли мстить майнкрафт серверам за то, что их не взяли в админы.

Животный хот-дог

28

Google DDocS

Технологии
дискуссии в сообществе доступны только владельцам клубного аккаунта
С клубным аккаунтом вы сможете
создавать записи и вести дискуссии в закрытых сообществах
наслаждаться нашим сайтом без рекламы
помочь проекту и почувствовать себя лучше
Купить за 75₽
Обсуждаемое
Новости
Baza: учитель Ростовской области назвал ученика «клиническим дегенератом» и «придурком» за спор с единороссом
Ученик сказал депутату на открытом уроке, что он «по разные стороны баррикад» с членами «Единой России».
Санкт-Петербург
В Петербурге задержали подозреваемых в нападении на компанию девушек. Ими оказались подростки от 16 до 19 лет
Обвинения предъявили: безработному, семикласснику и студенту-юристу
Интернет и мемы
В Твиттере запустили флешмоб #СтёртыеИмена о ксенофобии в России. Всё быстро обернули в шутку
Пользователи пожаловались, что вынужденно поменяли свои этнические имена на русские, чтобы избежать стереотипов.
Популярное за три дня
Разборы
Rambler хочет получить права на веб-сервер Nginx, созданный сотрудником 15 лет назад. Компания считает это рэкетом
Почему это важно и какое окажет влияние на российский IT-рынок.
Технологии
В соцсетях сообщили об обысках в офисах разработчика технологии nginx. Её используют «Яндекс» и Netflix
Причиной стало заявление «Рамблера» о нарушении прав на технологию.
Санкт-Петербург
В Петербурге задержали подозреваемых в нападении на компанию девушек. Ими оказались подростки от 16 до 19 лет
Обвинения предъявили: безработному, семикласснику и студенту-юристу

Прямой эфир

[ { "id": 1, "label": "100%×150_Branding_desktop", "provider": "adfox", "adaptive": [ "desktop" ], "adfox_method": "createAdaptive", "auto_reload": true, "adfox": { "ownerId": 228129, "params": { "pp": "g", "ps": "cndo", "p2": "ezfl" } } }, { "id": 2, "label": "1200х400", "provider": "adfox", "adaptive": [ "phone" ], "auto_reload": true, "adfox": { "ownerId": 228129, "params": { "pp": "g", "ps": "cndo", "p2": "ezfn" } } }, { "id": 3, "label": "240х200 _ТГБ_desktop", "provider": "adfox", "adaptive": [ "desktop" ], "adfox": { "ownerId": 228129, "params": { "pp": "i", "ps": "cndo", "p2": "fizc" } } }, { "id": 4, "label": "Article Branding", "provider": "adfox", "adaptive": [ "desktop" ], "adfox": { "ownerId": 228129, "params": { "p1": "cfovy", "p2": "glug" } } }, { "id": 5, "label": "300x500_desktop", "provider": "adfox", "adaptive": [ "desktop" ], "adfox": { "ownerId": 228129, "params": { "pp": "g", "ps": "cndo", "p2": "ezfk" } } }, { "id": 6, "disable": true, "label": "1180х250_Interpool_баннер над комментариями_Desktop", "provider": "adfox", "adaptive": [ "desktop" ], "adfox": { "ownerId": 228129, "params": { "pp": "h", "ps": "clmf", "p2": "ffyh" } } }, { "id": 7, "label": "Article Footer 100%_desktop_mobile", "provider": "adfox", "adaptive": [ "desktop", "tablet", "phone" ], "adfox": { "ownerId": 228129, "params": { "p1": "byswn", "p2": "fjxb" } } }, { "id": 8, "label": "Fullscreen Desktop", "provider": "adfox", "adaptive": [ "desktop", "tablet" ], "auto_reload": true, "adfox": { "ownerId": 228129, "params": { "pp": "g", "ps": "cndo", "p2": "fjoh" } } }, { "id": 9, "label": "Fullscreen Mobile", "provider": "adfox", "adaptive": [ "phone" ], "auto_reload": true, "adfox": { "ownerId": 228129, "params": { "pp": "g", "ps": "cndo", "p2": "fjog" } } }, { "id": 10, "disable": true, "label": "Native Partner Desktop", "provider": "adfox", "adaptive": [ "desktop", "tablet" ], "adfox": { "ownerId": 228129, "params": { "pp": "g", "ps": "clmf", "p2": "fmyb" } } }, { "id": 11, "disable": true, "label": "Native Partner Mobile", "provider": "adfox", "adaptive": [ "phone" ], "adfox": { "ownerId": 228129, "params": { "pp": "g", "ps": "clmf", "p2": "fmyc" } } }, { "id": 12, "label": "Кнопка в шапке", "provider": "adfox", "adaptive": [ "desktop", "tablet" ], "auto_reload": true, "adfox": { "ownerId": 228129, "params": { "pp": "g", "ps": "cndo", "p2": "fdhx" } } }, { "id": 13, "label": "DM InPage Video PartnerCode", "provider": "adfox", "adaptive": [ "desktop", "tablet", "phone" ], "adfox_method": "createAdaptive", "adfox": { "ownerId": 228129, "params": { "pp": "h", "ps": "cndo", "p2": "flvn" } } }, { "id": 14, "label": "Yandex context video banner", "provider": "yandex", "yandex": { "block_id": "VI-223677-0", "render_to": "inpage_VI-223677-0-130073047", "adfox_url": "//ads.adfox.ru/228129/getCode?pp=h&ps=cndo&p2=fpjw&puid1=&puid2=&puid3=&puid4=&puid8=&puid9=&puid10=&puid21=&puid22=&puid31=&puid32=&puid33=&fmt=1&dl={REFERER}&pr=" } }, { "id": 15, "label": "Баннер в ленте на главной", "provider": "adfox", "adaptive": [ "desktop", "tablet", "phone" ], "adfox": { "ownerId": 228129, "params": { "p1": "byudv", "p2": "ftjf" } } }, { "id": 16, "label": "Кнопка в шапке мобайл", "provider": "adfox", "adaptive": [ "tablet", "phone" ], "adfox": { "ownerId": 228129, "params": { "p1": "ccydt", "p2": "ftwx" } } }, { "id": 17, "label": "Stratum Desktop", "provider": "adfox", "adaptive": [ "desktop" ], "auto_reload": true, "adfox": { "ownerId": 228129, "params": { "pp": "g", "ps": "cndo", "p2": "fzvb" } } }, { "id": 18, "label": "Stratum Mobile", "provider": "adfox", "adaptive": [ "tablet", "phone" ], "auto_reload": true, "adfox": { "ownerId": 228129, "params": { "pp": "g", "ps": "cndo", "p2": "fzvc" } } }, { "id": 20, "label": "Кнопка в сайдбаре", "provider": "adfox", "adaptive": [ "desktop" ], "adfox": { "ownerId": 228129, "params": { "p1": "chfbk", "p2": "gnwc" } } } ]