Webアプリケーションに対する広範なDoS攻撃手法(hashdos)の影響と対策

28C3(28th Chaos Communication Congress)において、Effective Denial of Service attacks against web application platforms（Webプラットフォームに対する効果的なサービス妨害攻撃）と題する発表がありました（タイムスケジュール、講演スライド）。 これによると、PHPをはじめとする多くのWebアプリケーション開発プラットフォームに対して、CPU資源を枯渇させるサービス妨害攻撃(DoS攻撃)が可能な手法が見つかったということです。この攻撃は、hashdos と呼ばれています。 概要PHPなど多くの言語では、文字列をキーとする配列（連想配列、ハッシュ）が用意されており、HTTPリクエストのパラメータも連想配列の形で提供されます。PHPの場合、$_GET、$_POSTなどです。 連想配列の実装には

[gfx]

Perlは5.8.1で対応済み。 perldoc perlsec の "Algorithmic Complexity Attacks" で解説してあります。

[nitoyon]

ハッシュ値が衝突するキーを POST して DoS。正しい解決方法はランダムなハッシュ関数を利用するよう言語の実装を変更すること。

[tmatsuu]

Hash Collision Attackもしくはhashdosの素晴らしいまとめ

[miya2000]

Tomcat 6.0.34/7.0.23 では1リクエストあたりの最大パラメータ数(デフォルト10000)が設定されたようです。/超えたらそれ以降は無視されてrequest.getAttribute(Globals.PARAMETER_PARSE_FAILED_ATTR) が true を返す。/「Use a randomized hash function!」

[yosuke_furukawa]

今回のNode.jsのセキュリティ問題はまさにこれですね。hashdosっていうのか。

[a_bicky]

ハッシュ値の衝突を頻繁に起こして CPU を枯渇させるというお話

[estragon]

徳丸浩の日記: Webアプリケーションに対する広範なDoS攻撃手法(hashdos)の影響と対策

[mitsugi-bb]

ハッシュ値が同じになるキーを多数POSTパラメータに含ませることにより、CPU資源を枯渇させる攻撃

[vvakame]

ハッシュ値が同じ値になる値の探索って短時間で出来るのかな？

[hiroyukim]

Perl以外の多くの言語で影響があります。がすごいな

[satohu20xx]

ハッシュDosの詳しい話。これを読んでやっとどういう攻撃か理解できた気がする。既にApach Tomcatの対策も出てるらしい

[nyomonyomo]

PHP5.3.9で対応。ソレまではPOSTの最大サイズを小さくするとかで対応>>ハッシュ値が同じになるキーを多数POSTパラメータに含ませることにより、CPU資源を枯渇させる攻撃<<

[field_combat]

連想配列を利用したDoS。

[ryuzi_kambe]

サービス作られているかたは要注意ですね。

[k-holy]

hashdos

[tsupo]

CPU資源を枯渇させるサービス妨害攻撃(DoS攻撃)が可能な手法 / ハッシュ値が同じになるキーを多数POSTパラメータに含ませることにより、CPU資源を枯渇させる

[deep_one]

なんで遅くなるのかよく分かった…／DoS以外の危険性はなさそう。

[ttskch]

メモ

[nabinno]

"hashdosは、ハッシュ値が同じになるキーを多数POSTパラメータに含ませることにより、CPU資源を枯渇させる攻撃"

[security_check]

徳丸浩の日記: Webアプリケーションに対する広範なDoS攻撃手法(hashdos)の影響と対策

[coppieee]

ものすごいシンプルなDos攻撃だな

[nilab]

hashdos 「ハッシュ値が同じになるキーを多数POSTパラメータに含ませることにより、CPU資源を枯渇させる攻撃」徳丸浩の日記: Webアプリケーションに対する広範なDoS攻撃手法(hashdos)の影響と対策

[asa_ca3]

簡単にやれるもんだね。。

[kotaro-ono]

HashDoSについて

[flatbird]

ハッシュ値が衝突するキーを多数POSTパラメータに含ませることでCPU資源を枯渇させる。連想配列でハッシュ値が衝突するキーでは、通常ハッシュテーブルは順次的な探索となり、検索・挿入などが遅くなるため。

[chuhey]

個人的にタイムリーな記事。セキュリティを改めて意識しよう。

[jakalada]

おもしろい

[htsign]

なるほどこれは恐ろしい。でも実際鯖立ててないから検証めんどくさい。

[moromoro]

大型あぷろだを運用してる時はどうすればってかそれだけ別プロセスにするか。。。

[hukuchosan]

PHPなど多くの言語では、文字列をキーとする配列（連想配列、ハッシュ）が用意されており、HTTPリクエストのパラメータも連想配列の形で提供されます。PHPの場合、$_GET、$_POSTなどです。 連想配列の実装には、高速な検索

[kits]

「ハッシュ値が同じになるキーを多数POSTパラメータに含ませることにより、CPU資源を枯渇させる攻撃」

[YAA]

>Perl以外の多くの言語で影響があります。Java、PHP、ASP.NET、Python、Ruby(1.8.7-p356以下のみ)などです。

[fukken]

なるほど、色々抜け道はあるもんだな。PHPの場合スクリプトに値が渡ってくる前の事なので、その手前のレイヤーで処理しないといけないのが面倒くさい