[B! hash] security_checkのブックマーク

ハッシュテーブルに対する攻撃手法のはなし

ハッシュテーブル実装に対する攻撃とは昨年12月末にドイツで開催されたCCC（Chaos Communication Congress）において、"Effective Denial of Service attacks against web application platforms"（Webアプリケーションに対する効率的なDoS攻撃）と題した発表が行われました。タイトルに「Webアプリケーション」とついてはいますが、この問題はWebアプリケーションに限ったものではありません。以下の三つの条件が揃ったアプリケーションであれば例外なく、DoS攻撃の餌食となる危険があります。ハッシュテーブルというデータ構造を使っているハッシュ値を計算するアルゴリズムが「脆弱」であるハッシュテーブルに登録するデータをプログラム外部から指定できるハッシュテーブルとその問題 Wikipedia（日本語版）

security_check 2012/02/21

ハッシュテーブルに対する攻撃手法のはなし（1/3）：CodeZine

hash
tech

リンク

Webアプリケーションに対する広範なDoS攻撃手法(hashdos)の影響と対策

28C3(28th Chaos Communication Congress)において、Effective Denial of Service attacks against web application platforms（Webプラットフォームに対する効果的なサービス妨害攻撃）と題する発表がありました（タイムスケジュール、講演スライド）。これによると、PHPをはじめとする多くのWebアプリケーション開発プラットフォームに対して、CPU資源を枯渇させるサービス妨害攻撃(DoS攻撃)が可能な手法が見つかったということです。この攻撃は、hashdos と呼ばれています。概要PHPなど多くの言語では、文字列をキーとする配列（連想配列、ハッシュ）が用意されており、HTTPリクエストのパラメータも連想配列の形で提供されます。PHPの場合、$_GET、$_POSTなどです。連想配列の実装には