java dos攻击_一种高级的DoS攻击-Hash碰撞攻击

这是迄今为止第一个让我觉得后怕的攻击方式，涉及的范围广难以防御，攻击效果立竿见影。大量的网站和Web接口都未做Hash碰撞攻击的防御，一拿一个准。

随着RESTful风格的接口普及，程序员默认都会使用json作为数据传递的方式。json格式的数据冗余少，兼容性高，从提出到现在已被广泛的使用，可以说成为了Web的一种标准。无论我们服务端使用什么语言，我们拿到json格式的数据之后都需要做jsonDecode(),将json串转换为json对象，而对象默认会存储于Hash Table，而Hash Table很容易被碰撞攻击。我只要将攻击数据放在json中，服务端程序在做jsonDecode()时必定中招，中招后CPU会立刻飙升至100%。16核的CPU，16个请求就能达到DoS的目的。

所有测试程序都在Mac Pro下进行，为了测试方便我只构造了65536条json键值对，真正发起攻击时可以构造数十万甚至百万千万的数据。

几个简单的Demo

攻击数据我已经转换为json格式

一. JavaScript测试

//只需要一行代码就能看到效果

var jsonSrc = '这里输入json数据'；

我们只需要在js中输入一行代码就能看到效果，普通数据和Hash攻击数据都是65536行键值对。我本地测试的效果如下：

通过Chrome自带的任务管理器可以看出CPU马上升到100%，将近1分钟才执行完成，而普通的数据几毫秒就能执行完成；

二. PHP测试

$json = file_get_contents("https://raw.githubusercontent.com/laynefyc