此刻安然研究人员已证实，黑客可以操纵告白收集成立短暂且难以跟踪的僵尸收集，只要经由过程简单的鼠标点击，该僵尸收集便可倡议漫衍式拒尽办事报复打击。

　　在本周三于拉斯维加斯进行的黑帽大年夜会上，来自白帽安然公司的一组研究人员在大年夜会上做了讲话并向参会人员揭示了他们的手艺，该手艺经由过程利用收集告白的框架页面调用一个JavaScript文件，同时该JS文件将经由过程要求的编制对网站倡议报复打击。

　　白帽安然公司的安然威胁研究中间主管Matt Johansen暗示，该缝隙“迫使JavaScript操纵跨域要求，强行经由过程单个收集浏览器或多个收集浏览器的尽可能多的要求对单个网站倡议报复打击。”

　　对此，该公司对一则即将运行于不决名告白收集平台上的告白上植进了JavaScript代码，然后在Amazon Web Services办事器上存放核心JavaScript文件并将该段JavaScript代码指向这台办事器。而在摆设告白以后，他们还可以对存放在办事器上的核心JavaScript文件进行点窜。

　　白帽安然公司称，告白收集的确会对代码进行查对，但很明显他们没法看到任何歹意代码，是以不会禁止这些代码的运行。

　　Johansen暗示，“我们的代码中的确也有一些正常的JavaScript代码，但假定对此保持高度警戒，你可能就会发现这些代码看起来有点可疑。当然我们其实不会踏进[告白]色情收集。”

　　这段被植进的演示代码要求浏览器封锁最大年夜限度的收集并发连接数(例如Firefox的最大年夜并发连接数为6)并经由过程HTTP和谈拜候网站。别的，他们还揭示了别的一种景象，即经由过程利用FTP要求格局，进步浏览器承诺的并发连接数，而这将导致呈现一个收集浏览器可能经由过程并发连接对统一网站倡议大年夜量要求的风险。

　　经由过程这类编制，研究人员可以摆设一个放上彀页便可主动运行的告白，并迫使终端用户浏览器按照白帽安然公司的节制对一个网站倡议报复打击。

　　“那么这类黑客报复打击编制有甚么好处吗？为甚么不直接采取传统的漫衍式拒尽办事报复打击？”白帽安然公司的安然威胁研究中间总经理Matt Johansen如斯问道，而后他对此答复说：“因为这类编制不留陈迹、没法追踪。一旦JS代码运行，你就底子没法找到它的踪迹。这类编制可以说既简单又合用。”

　　Johansen暗示，他们觉得独一可以追踪这段代码的编制是返回告白收集平台并获得用于采办这段歹意告白的诺言卡信息。相信大年夜家都知道，对黑客而言，经由过程不法匿名编制获得诺言卡信息并不是难事。

　　在现场演示中，该公司的研究人员向单个Apache Web办事器添加了256个并发连接，并在一个小时以内追踪到超越100万次的连接。在成本方面，告白的总成本要低于利用亚马逊实例来撑持JavaScript不法运行的成本，不外这二者的成本均仅需要几十美元。

　　白帽安然公司暗示，接下来，他们打算与其他厂商展开合作火伴项目，共同摆设一个旨在针对受漫衍式拒尽办事呵护的网站的可操纵缝隙。别的他们还将打算测验测验利用手艺经由过程一个软件东西(例如Ravan)来运行漫衍式MD5哈希值的破解。此前，该研究团队已成功破解了谷歌的Chrome把持系统。

　　针对这类经由过程告白进侵电脑的黑客编制，该公司的研究人员暗示告白反对可谓解决这一标题问题标一个简略单纯编制。