This is a HTML valid bomb, cf. https://ache.one/articles/html_zip_bomb
" ``` Puis, on gzip tout ça: ```shell $ fish zip_bomb.fish | gzip -9 > bomb.html.gz $ du -sb bomb.html.gz 10180 bomb.html.gz ``` On a bien notre ratio de 1:1030, c'est parfait. ## Servir la bombe zip J'utilise nginx, l'idée est de servir le fichier pré-compressé. Idéalement, on ne veut même pas avoir le fichier de 10 Gio sur le serveur. Pour cela, on utilise le module `ngx_http_gzip_static_module` [^gzip_static_nginx]. ```nginxconf location = /bomb.html { gzip on; # Normalement ça devrait être le module gzip à la volé. 🤷 gzip_static on; gzip_proxied expired no-cache no-store private auth; gunzip off; # Surtout pas décompressé le gzip ! brotli_static on; # Mon site est disponible en brotli également alors pourquoi pas. } ``` Malheureusement, nginx renvoie une 404 si le fichier `bomb.html` n'existe pas, alors j'ai créé un petit fichier simple qui annonce que c'est une bombe gzip. ```shell $ curl https://ache.one/bomb.html You don't support gzip encoding. Add the HTTP header "accept-encoding: gzip". ``` Je vérifie que nginx sert correctement le fichier: ```shell $ curl -H "accept-encoding: gzip,br" -I -- https://ache.one/bomb.html | grep content content-type: text/html; charset=utf-8 content-length: 8298 content-encoding: br $ curl -H "accept-encoding: gzip" -I -- https://ache.one/bomb.html | grep content content-type: text/html; charset=utf-8 content-length: 10420650 content-encoding: gzip ``` Ok, la taille est bonne, maintenant il faut absolument s'assurer qu'on ne dépassera jamais le budget d'un web crawler légitime en l'interdisant dans le `robots.txt`. En le plaçant à la racine, je sais que mon `robots.txt` l'interdit déjà, mais sinon on devrait retrouver ceci : ```text User-agent: * Disallow: /bomb.html ``` ## Résultats Firefox rame beaucoup et finit par planter proprement avec une erreur `NS_ERROR_OUT_OF_MEMORY`, visible seulement dans les outils de développement. Si je mets la balise body avant le commentaire malicieux, j'aurais certainement une page correctement affichée. Chrome est bien plus rapide à planter ! Il offre un joyeux écran qui signale qu'une erreur s'est produite par un `SIGKILL`. Dans les deux cas, on remarque que la page est partiellement chargée cependant, le titre est correct. On est donc sûr et certain qu'un web crawler type Selenium va planter sur ce fichier HTML. Heureusement, il ne semble pas y avoir de faille de sécurité à exploiter. ## Évolution L'astuce des commentaires HTML n'est certainement pas la plus élégante. Je suis sûr qu'il y a plein d'idées qui permettent de caser des paquets de 258 caractères identiques[^max_paquet]. Cependant, ici, ça semble marcher si bien que je n'ai pas pris le temps d'explorer plus loin. L'intérêt d'avoir une bombe zip HTML plus variée serait de s'assurer que le parseur HTML n'optimise pas la lecture de certaines parties. D'ailleurs, je me suis permis de créer une version brotli également. En effet, mon site étant disponible en brotli et la bombe zip étant encore plus efficace en brotli, il n'y a pas de raison de ne pas le faire. [^pro]: Des solutions plus professionnelles ont vu le jour comme [anubis](https://anubis.techaro.lol/). [^gzip_static_nginx]: Vérifiez que votre version de nginx soit compilée avec ce module avec `nginx -V | grep gzip_static`. [^max_paquet]: Oui, j'ai oublié de le dire, 258 est le maximum qu'un fragment compressé puisse faire dans le format gzip, c'est une limite un peu arbitraire.