Oui il n’y a pas de processus d’automatisation pour dezipper les fichiers mais si tu le fais à la main en te concentrant sur le premier fichier et que tu vas jusqu’au bout des dossiers, tu te retrouve bien a dezippé un fichier dll de 4,3 go. Donc c’est un zip bomb sans charge utile, mais une belle bouse quand même.
Oui donc pour moi ce n’est plus une zip bombe !
Seul le dernier file est une zip bombe de 4 070 octets => 4,2Go
Sauf que = 4,2Go aujourd’hui sur un disque ce n’est plus une bombe, mais un pétard !!!
Le jour ou j’ai 5 ou 6 To de libre j’essaierai de forger une zip bombe sfx (autoextractible) de 4Mo !
Du moins si les rapports sont conservé, elle “explosera” elle vraiment sur une surface de 4To, ça sera déjà plus marrant ^^
Par contre j’ai essayé le lien toujours dans ma vm kali, firefox n’a pas planté mais effectivement dans le moniteur systeme on voit qu’il charge des données et la page reste blanche donc j’ai killé le processus après 500 Mo bouffé sur ma 4G :).
Le site est lui parfaitement fonctionnel est automatisé, c’est impressionnant ce qu’on eut faire avec un peu de PHP. J’imagine bien le gars qui tombe sur ce lien en 3g avec un forfait de 500mo et depassement surtaxe et qui laisse l’onglet ouvert… Ca pourrait être marrant.
Si j’ai bien compris le principe tu n’a cramer que 10Mo de Datas vue que la page HTML Gzipée ne pèse que 10 Mo, donc il n’y aura pas plus de 10Mo de datas utilisé sur ton forfait !
C’est seulement ton navigateur qui en local décompresse les 10Mo vers 10Go ce qui bouffe des ressources mémoires, Ram ou HDD ?
@Korben: C’est basic, mais efficace car ça fait planter des navigateurs comme Chrome, IE ou encore Edge et détraque certains scanners de vuln comme SQLmap ou Nikto.
En tout cas sur mon navigateur (via un laptop) le ventirad n’a souffler que 3 ou 4sec (début de décompression je suppose) puis la bombe à fait pschitt !
Donc hormis la page, rien à planter !
Un vrai pétard mouillé ! lol
Cf Capture: http://imgur.com/a/o3nnj
Enfin pour les scanners de vuln. oui ça peut faire le Job …
Mais j’ose espérer que ces mêmes scanners puisse changer aléatoirement leur user agent vers des noms plus respectable !
@Korben …qu’il envoie ensuite via une page PHP lorsqu’il détecte le user-agent d’un scanner de vuln (voir son article pour consulter le code associé).
Ca me parait méga limite pour un scanner de vuln. de venir sur un site et dire en clair “Hello bonjour c’est moi le scanner de vuln. je viens juste ici pour essayer de te niquer la tronche” y’a pas à dire c’est pas méga discret !
C’est un peu comme frapper à la porte et dire, bonjour Mme je suis un voleur, puis-je rentrer ?
Non ?
…