压缩炸弹(zipbomb)制作（附演示）

最近看到资料有说到ZIP炸弹，主要在存在上传功能且对上传文件有解压动作的地方，如果校验不严，可能导致压缩炸弹，导致消耗CPU导致宕机

1、生成ZIP炸弹：

https://github.com/CreeperKong/zipbomb-generator

python3 zipbomb.py --mode=quoted_overlap --num-files=250 --compressed-size=21179 > zbsm.zip

–num-files ：压缩包包含的文件数量

–compressed-size：文件压缩大小

可以看到生成了一个zbsm.zip的压缩包，其中包含250个约20M大小的子文件，全部解压出来即有5G的大小，如果可以重放，则瞬间可填满硬盘

使用脚本查看解压后的大小：

linux下还可以使用dd命令以及bzip2命令

2、场景：

有些上传处使用了如：

Java.util.jar.jarfile

Java.util.zip.Zipfile

通过 java.util.zip.ZipEntry.getSize()获取解压后的大小，可使用010editor对zip文件进行编辑：

struct ZIPFILERECORD record 为文件名；
uint frUncompressedSize为解压后的文件大小；

此处我们对uint frUncompressedSize进行修改，可绕过对解压后实际大小的判断:

如，我们修改uint frUncompressedSize大小为111：

利用java.util.zip进行解压后文件大小判断：

（java代码渣，求勿喷）

import java.io.*;
import java.util.zip.ZipEntry;
import java.util.zip.*;
public class Main {public static void main(String[] args) {File mfile = new  File("D:/05-MY-PROGRAM/m_java/zipboom/zbsm.zip");try {ZipFile zipFile = new  ZipFile(mfile);InputStream in=new BufferedInputStream(new FileInputStream(mfile));ZipInputStream zin=new ZipInputStream(in);ZipEntry ze;ze=zin.getNextEntry();System.out.println("ZIP'Size is :" + ze.getSize());}catch (Exception  e){e.getStackTrace();}}
}

3、防御：

对上传zip文件进行文件个数、文件大小等进行判断

另参考：

https://www.bamsoftware.com/hacks/zipbomb/

压缩炸弹(zipbomb)制作（附演示）相关推荐

45个纯 CSS 实现的精美边框效果【附演示和源码】【下篇】
边框效果常用来给图片添加照片效果或用于增强页面内容片断的整体性,在一些团购网站和使用瀑布流布局的网站也经常会使用边框效果.在以前,简单的边框效果使用 CSS 可以轻松实现,但是用到阴影.弯曲和旋转等复 ...
一网打尽Mac上的高效工具 - 效率工作篇（附演示视频）
写在前面:博主是一只经过实战开发历练后投身培训事业的"小山猪",昵称取自动画片<狮子王>中的"彭彭",总是以乐观.积极的心态对待周边的事物.本人的技 ...
php简单富文本,JavaScript_Javascript实现简单的富文本编辑器附演示，复制代码代码如下: span styl - phpStudy...
Javascript实现简单的富文本编辑器附演示富文本编辑器编辑区字体颜色: Black Red Green Blue 字体样式: Bold Italic Underline StriketTh ...
DVD压缩碟简单制作
VD压缩碟简单制作作者:王强来源:家用电脑投递者: gongxd [2007-12-27 20:55] 阅读:人顶一下笔者的家人是个电脑盲,但是听说网上可以下 ...
舔狗日记网站源码—附演示站点
舔狗日记网站源码-附演示站点今天我还是照常给你发消息,汇报日常工作,你终于回了我四个字:"嗯嗯,好的"你开始愿意敷衍我了,我太感动了受宠若惊.我愿意天天给你发消息.就算你天天骂我 ...
matlab交互式gui,利用MATLAB的GUI功能制作交互式演示实验软件
第19卷第2期大学物理实验 V ol.19N o.22006年6月出版PHY SIC A L EXPERI ME NT OF C O LLEGE Jun.2006收稿日期:2006-02- ...
KVG制作-【Arduino指纹解锁智能家居系列-01】DIY自制的智能门禁，AS608指纹解锁+红外线遥控解锁。附演示视频。
DIY自制的智能门禁,指纹解锁+红外线遥控解锁. DIY自制的智能门禁,指纹解锁+红外线遥控解锁. 材料准备库文件代码注册指纹的代码 **寻找指纹并解锁** 视频演示地址 DIY自制的智能门禁, ...
如何用课件制作工具演示面积一定的矩形
作为数学老师必备的课件制作工具,几何画板不仅可以画固定形状的几何图形,还可以构造变换的几何图形.比如可以用它来演示面积一定的矩形,那就说明矩形的长和宽是可以变化的,可以看到矩形的形状是变化的.下面就一 ...
如何用课件制作工具演示长方形展开动画
认识长方体与正方体的展开图,是促进学生空间观念发展的一项重要内容,也是学生学习长方体.正方体表面积等知识的基础.在学习这部分内容时,对学生的空间观念要求比较高,有些学生会感到困难,所以我们要借助辅助工 ...

压缩炸弹(zipbomb)制作（附演示）

压缩炸弹(zipbomb)制作（附演示）相关推荐

最新文章

热门文章