PEBKAC #3189

En cours à l'IUT informatique, nous nous amusons à faire planter nos machines avec des fork bomb. Un ami découvre qu'il en existe un en HTML et décide de le tester, et il le place dans son dossier public_html géré par le serveur central de l'IUT. Ce n'est donc pas son ordinateur qui a planté au bout de 10 secondes, mais le serveur Web de l'IUT.
Résultat : plus d'accès à l'infoweb, plus d'accès à Internet, plus d'accès à nos sessions - car l'authentification passe par le serveur -, et cela pour tous les étudiants de l'IUT. PEBKAC.

PEBKAC #3189 proposé par zatura le 16/02/2011 | 20 commentaires | 👍🏽 👎🏽 +1

Le vrai pebkac, c'est qu'il n'y ait pas de quota de processus sur le serveur Web.

Commentaire #155769 écrit par bed le 22/03/2011 à 08h21 | 👍🏽 👎🏽 +1

Une fork bomb en HTML ?
En script plutôt non ?
Et c'est le navigateur qui subi la charge, pas le serveur.
Bizarre ça, ou alors j'ai loupé un truc.

Commentaire #155770 écrit par Jumbef le 22/03/2011 à 08h22 | 👍🏽 👎🏽

Je faisais la même chose sauf que c'était en ligne de commande, je ne vois pas comment on pourrait faire un fork bomb en html.
Je ne vois pas comment le serveur pourrait planter alors que c'est le navigateur qui lit le code HTML.

Commentaire #155771 écrit par Benji le 22/03/2011 à 08h27 | 👍🏽 👎🏽

Non c'est fesable. Il suffit de faire un script cgi en bash par exemple qui sera appelé par une page html et c'est le serveur d'exécution qui plante (j'ai testé)

Commentaire #155772 écrit par neomega le 22/03/2011 à 08h29 | 👍🏽 👎🏽

ce qui veut dire que ce n'est pas la page html l'attaque, mais le cgi.

Commentaire #155773 écrit par aqw le 22/03/2011 à 09h09 | 👍🏽 👎🏽 +1

Par contre, si c'est faisable en javascript ça devrait l'amuser :D

Commentaire #155774 écrit par LePoulpe le 22/03/2011 à 09h29 | 👍🏽 👎🏽

Pebkac à l'administrateur. Pourtant, la limite de processus par utilisateur est le premier truc à faire.
Ne pas oublier d'ajouter suEXEC pour apache et d'interdire certaines fonctions pour PHP comme : pcntl_fork.

Pebkac pour l'auteur de confondre execution sur le serveur ou sur le client. HTML est un langage de formatage. Un fork dans ce langage n'est pas possible.

Commentaire #155775 écrit par but2ene le 22/03/2011 à 10h30 | 👍🏽 👎🏽

C'est bien du JS ^^

<html>
<head>
<title>Fork Bomb in HTML+JS</title>
</head>
<body>
<p>Forking Bomb</p>
<script type="text/javascript">
while(true){
var w=window.open();
w.document.write(document.documentElement.outerHTML||document.documentElement.innerHTML);
}
</script>
</body>
</html>

Source : en.wikipedia.org

Commentaire #155776 écrit par Jack3113 le 22/03/2011 à 10h59 | 👍🏽 👎🏽

En HTML vous avez les deflate bomb si vous voulez exploser la mémoire d'un navigateur, mais elle ne marche plus vraiment. Mais même en JS je me demande comment ils ont fait cracher le serveur ?! Il y a un système de screenshot automatique qui fait le c** ou l'admin regarde les sites depuis le serveur ?

Commentaire #155777 écrit par Wolfer74 le 22/03/2011 à 11h22 | 👍🏽 👎🏽

noob inside : pour le html, ça donne quoi des frames récursives ?

Commentaire #155778 écrit par BSK le 22/03/2011 à 11h47 | 👍🏽 👎🏽

Un prof avait fait pareil, sauf qu'il l'avait fait exprès. Apparemment, il s'est bien faire engueuler par le service info :p

Commentaire #155779 écrit par neeko le 22/03/2011 à 13h19 | 👍🏽 👎🏽

Même si l'auteur a du confondre un script et du HTML, il y a un truc qu'on ne peut nier: Il a accompli le but primaire d'une fork bomb.

Commentaire #155780 écrit par 157965 le 22/03/2011 à 17h56 | 👍🏽 👎🏽

<?php while(pcntl_fork()|1);?>

C'est mieux pour faire sauter un serveur ;)

Commentaire #155781 écrit par but2ene le 22/03/2011 à 18h06 | 👍🏽 👎🏽

Didon, c'est pas à Fontainebleau que ça s'est passé ça ? oô

Commentaire #155782 écrit par Chymaille le 22/03/2011 à 18h19 | 👍🏽 👎🏽

Tiens, ça s'est passé y'a pas longtemps à Nantes aussi ^^

Commentaire #155783 écrit par Zvelca le 23/03/2011 à 07h13 | 👍🏽 👎🏽

@Zvelva : Etudiant à l'iut info de Nantes ?
Je suis un ancien de là bas ;)

Commentaire #155784 écrit par Phylos le 23/03/2011 à 12h37 | 👍🏽 👎🏽

Oui j'ai écrit le pebkac très rapidement et s'est effectivement du javascript, j'ai bêtement repris ce qui est écrit sur wikipédia à cette page http://fr.wikipedia.org/wiki/Fork_bomb J'ai parlé d'html car même si les visiteurs du site bossent pour une très grande majorité dans l'informatique je trouvais plus compréhensible pour la grande masse populaire de parler d'html :p

Commentaire #155785 écrit par zatura le 23/03/2011 à 21h56 | 👍🏽 👎🏽

@Phylos : pareil :D
(je sais, c'est "hachesse" comme post...)

Commentaire #155786 écrit par Synthesis le 24/03/2011 à 19h59 | 👍🏽 👎🏽

Jack3113 et zatura > Et bien moi je comprends pas toujours pas.
Le html comme le javascript n'est pas exécuté par l'hébergeur mais par le navigateur, donc par ceux qui visite la page web comme là indiqué Jumbef.
Le serveurs web de l'iut n'a aucune raison d'exécuter ce code.
A la limite il aurait pu tomber si on avait modifier la page d'accueil avec un script qui la recharge en boucle dès qu'on la visite (si tout les visiteurs font des requêtes en boucle à cause de ça ça ferait une attaque DOS), mais ce n'est visiblement pas le cas ici.

Commentaire #155787 écrit par Mac.aque le 27/03/2011 à 15h22 | 👍🏽 👎🏽

@Mac.aque : +1, pas compris non plus pourquoi le serveur est tombe...

Commentaire #155788 écrit par pwet le 15/04/2011 à 15h36 | 👍🏽 👎🏽