Zip Bomb

Zip Bomb

یک Zip bomb  که گهگاه با نام‌های zip of death و decompression bomb هم صدا زده می‌شود، یک فایل آرشیوی (Archive file) ناخواسته بوده که با هدف کِرَش یا غیرقابل استفاده کردن برنامه یا سیستمی که آن را اجرا می‌کند، طراحی شده است. در بیشتر مواقع ماموریت این فایل آرشیویِ پرحاشیه! از کار انداختن آنتی‌ویروس است تا بعد از آن تا مسیر برای ورود ویروس‌های مختلف باز شود.

بر خلاف بدافزارها و یا فایل‌های ناخواسته مرسوم که فعالیت برنامه را مختل می‌کنند، یک zip bomb، بصورت تعمدی به برنامه این اجازه را می‌دهد تا آن را اجرا کند اما از آنجایی که فایل آرشیو شده بدقت و با مقدار زیادی فشرده‌سازی شده است، unpack کردن آن (مثلا توسط اسکنر برای تشخیص ویروس)، زمان، فضای دیسک و مقدار مموری بسیار زیادی می‌گیرد. بسیاری از آنتی‌ویروس‌های مدرن، با تشخیص zip bomb از فایل آرشیوی معمولی، از unpack کردن آن اجتناب می‌کنند.

بد نیست این نکته را هم بدانید که zip bomb ها بسته به میزان حجم فشرده شده‌شان، علاوه بر آنتی‌ویروس‌ها برای مختل کردن فایروال‌ها هم بکار می‌روند.

 

 

 

اما در واقعیت چه اتفاقی می‌افتد؟

 

یک zip bomb برای انتقال راحت و همچنین مشکوک نزدن 🙂 معمولا یک فایل کوچک و کم حجم در نظر گرفته می‌شود در حالی که میزان حجم محتوای درون این فایل به نظر بی‌آزار، آنقدر زیاد است که یک سیستم توان پردازش آن را ندارد.

بطور مثال ( در اینجا باید بخودتان قول دهید تا از مثال گفته شده در جهت سوء استفاده نکنید!)… بله.. بطور مثال یکی از zip bomb های معروف فایلی‌ست به نام ۴۲٫zip. این فایل در ظاهر ۴۲ کیلوبایت است ولی میزان دیتای فشرده سازی شده در آن ۵ لایه تودرتو (nested) بصورت کدگذاری شده، طراحی شده است. هرلایه، شامل ۱۶ فایل zip شده است و متعاقبا هریک از فایل‌های zip شده در لایه بعدی خود دارای ۱۶ فایل zip شده دیگر و همینطور بصورت درختی تا ۵ لایه طراحی را فرض کنید.

هرنود (فایل) انتهایی این درخت سایزی برابر ۳٫۴ گیگابایت دارد و در مجموع میزان سایز unpack شده فایل ۴۲ کیلوبایتی ۴۲٫zip، سایزی برابر ۴٫۵ PB خواهد داشت.

 

 

 

همینجا می‌توانید تصور کنید که این فایل به چه میزان فشرده سازی شده و تحت فشار 🙂 است.

 

در بسیاری از آنتی‌ویروس‌ها برای آنکه شرایط buffer-over-flow و همچنین از دسترس خارج نشدن مموری رخ ندهد، فقط بخشی از لایه‌های موجود در فایل zip باز شده و اسکن می‌شوند.

علاوه بر zip bomb هایی که با حجم بسیار بالایی فشرده سازی شده‌اند، فایل های zip ای هم وجود دارند که برخلاف فایل های zip گفته شده، در هنگام unpack شدن خود را کپی می‌کنند. در این صورت با اسکن و یا unpack کردن اینگونه فایل ها در یک لوپ بی نهایت از فایل های کپی شده و یکسان قرار می‌گیریم.

 

 

 

مانا باشید

احسان امجدی/ کارشناس و مدرس دوره‌های تحلیل امنیت

” اگر بر این باورید که با نقض قانون کپی‌رایت، وضعیتی بهتر در انتظار است، بدون ذکر نام نویسنده و منبع مجاز به انتشار متن هستید “