小心，手機正成爲新的DDOS攻擊源

　安全專家近日發現，智能手機浏覽器也能産生流量巨大的泛洪攻擊。

　　發現來自手機端浏覽器發起的DDOS攻擊

　　安全專家分析稱，一個移動廣告網絡已經可以控制將成千上萬的手機浏覽器同時指向在一個網站，使這個網站服務器宕機，從而達到分布式拒絕服務攻擊的目的。

　　據DDOS防護服務商CloudFlare所述，從監測的數據中發現他們一個客戶的網站在幾個小時內就收到45億次的頁面請求，而經過解析發起頁面請求的源IP地址和對象，發現是來自具有中國IP地址的手機浏覽器。

　　CloudFlare的 Marek Majkowski提到，浏覽器泛洪攻擊是基于TCP OSI七層協議的Layer 7，這種攻擊方式在幾年前，就被當成理論提出來，但是因爲難以高效地通過分布式的方式，使大量的浏覽器同時向目標網址發出請求，産生DDOS效果，所以一直沒有在實際的環境中出現。

　　這一次，通過分析監控日志Majkowski發現，該攻擊類型在頂峰時期，曾達到每秒27萬5千次請求，而其中發起的設備中有80%是來自手機端。從日志中也發現了這些發起請求的手機浏覽器版本有Safari、Chrome、小米浏覽器、QQ浏覽器等。

　　這些攻擊如何形成的呢？

　　首先，該攻擊的組織者會對搜索或者托管的網頁內容進行攔截，並注入惡意的JavaScript代碼，比如將托管在baidu.com的網頁，分析JavaScript代碼和HTML資源，替換成包含攻擊片斷的JavaScript代碼(向目標網站發起請求)，然後當用戶打開一個浏覽器app或者在浏覽網頁訪問這些頁面的時候，就會持續向被攻擊的域名持續發送請求。

　　以下是個請求發起的注入代碼，經過修改，即可對目標網站發起請求，

　　function imgflood() {

　　var TARGET = ‘victim-website.com’

　　var URI = ‘/index.php?’

　　var pic = new Image()

　　var rand = Math.floor(Math.random() * 1000)

　　pic.src = ‘http://’+TARGET+URI+rand+’=val’

　　}

　　setInterval(imgflood, 10)

　　該腳本會在目標網頁上生成一個圖片按鈕，圖片按鈕會指向“victim-website.com” 網站。只要用戶訪問了含有該腳本的網頁，那麽他就會成爲 “victim-website.com”DDoS攻擊中的一員。浏覽器發出的每一個請求都是有效請求，于是該攻擊又變成了Layer 7 攻擊。