Cómo usar Google para realizar un DoS contra sitios web alojados en grandes dominios

Panos Ipeirotis, profesor de la Universidad de Nueva York ha descubierto accidentalmente una forma muy sencilla de realizar un ataque DoS a través de los servidores de Google.

Esto podría suponer la disposición de una herramienta muy "destructiva" capaz de generar más de 100 peticiones por segundo y ofrecer a un atacante cierto anonimato.

¿Qué que permite esto?

Pues aparentemente Google utiliza el agente Feedfetcher como recolector de todo tipo de URLs (no sólo feeds) y, como las URLs pueden ser privadas, Google no las cachea porque no puede almacenar datos personales. Esto hace que el crawler se tenga que lanzar periodicamente cada hora, con el añadido de que Feedfetcher ignora el fichero robots.txt. Además Google tampoco puede limitar el tráfico a dominios enormes como s3.amazonaws.com que tienen terabytes de contenido web, por lo que un ataque a un sitio alojado en Amazon o un gran dominio de Internet sería posible.

¿Y cual es la técnica para realizar el ataque?

Panos explica un sencillo procedimiento para utilizar a Google como medio para atacar a otros sitios:

1.- Conseguir un gran número de URLs del sitio web objetivo. Preferiblemente URLs con ficheros grandes (jpg, pdf, etc.)

2.- Poner las URLs en un feed de Google Reader, o dentro de una hoja de cálculo (Google spreadsheet) en Docs

3.- Poner el feed dentro de un servicio de Google, o usar el comando image(url) en Google spreadsheet

4.- Sentarse y ver como Google lanza un ataque de denegación de servicio contra el objetivo

En conclusión, no importa cuan nobles sean las intenciones por las que se crea una herramienta, si esta mal diseñada o es susceptible a explotar cualquier mínimo fallo puede convertirse en una herramienta altamente destructiva.

Podéis leer el caso en detalle en el post de Panos Ipeirotis: http://www.behind-the-enemy-lines.com/2012/04/google-attack-how-i-self-attacked.html