获网安教程
免费&进群
本文由掌控安全学院-杳若投稿
漏洞描述
服务器生成了一个具有客户端指定尺寸的图像，如果未实施任何限制，则可能导致拒绝服务攻击。
漏洞危害
攻击者不需要在此类攻击中投入资源，但服务器可能会分配所需的像素缓冲区（导致内存不足）和/或执行随图像大小变化的计算（导致占用服务器CPU），可能导致拒绝服务攻击。
发现方法
Burp插件 - Image Size Issues | Url图片尺寸检测
选择Extender -> BApp Store -> 搜索 Image Size lssues 进行安装
通过随意点点点，若存在此漏洞，Burp在Target中显示 Image size matches request parameters
案例
通过修改图片大小数值让服务器分配资源增加，具有拒绝服务攻击的隐患。
加固建议
1、限制可以作为请求参数请求的维度。
申明：本公众号所分享内容仅用于网络安全技术讨论，切勿用于违法途径，
所有渗透都需获取授权，违者后果自行承担，与本号及作者无关，请谨记守法.
没看够~？欢迎关注！
分享本文到朋友圈，可以凭截图找老师领取
上千教程+工具+交流群+靶场账号哦
分享后扫码加我！
回顾往期内容
代理池工具撰写 | 只有无尽的跳转，没有封禁的IP！
点赞+在看支持一下吧~感谢看官老爷~
你的点赞是我更新的动力
原文始发于微信公众号（掌控安全EDU）：记一个src中危-图像大小与请求参数可修改
免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论