利用在线广告可建立大规模DDOS僵尸网络

　　如果你点击了错误的在线广告，你的浏览器可能会立即被列入到僵尸网络中，执行针对各个网站的DOS攻击。

　　不过，黑帽安全大会的研究人员表示，如果你能够很快转到另一个网站上，你的浏览器就不会受到损害。白帽子实验室首席执行官兼研究员Jeremiah Grossman说： “这是谁的问题?浏览器的?还是广告网络的?谁来解决这个问题?”这种“僵尸机器招募”机制主要依赖于这样的事实，当浏览器连接到一个网站时，只要浏览器在该网站，这个网站几乎能完全控制浏览器。它可以运行浏览器中的HTML和Javascript等代码，从而发起一连串可能的攻击。

　　在创建僵尸网络时，Grossman及其同事Matt Johansen将JavaScript代码放到广告中，然后通过广告网络将广告放到网页上。他们为点击数支付了一些钱，建立一个浏览器有一百万点击量的僵尸网络，其成本大概是150美元。

　　JavaScript代码使被劫持的浏览器反复发送请求到目标web服务器，以使其崩溃。在研究人员的测试中，其web浏览器的托管在亚马逊云计算服务的Apache服务器中。

　　Grossman说：“每个浏览器一次可能会产生六个HTML请求，主要原因在于浏览器中的连接限制，这种限制主要为了保证其性能和稳定性。如果JavaScript指示浏览器发送FTP请求，那么这样的请求可能会有100个甚至更多。”

　　对于攻击者来说，这种方式的好处在于其僵尸网络是随机的，防御者无法打倒攻击者的命令控制服务器。Gossman表示，他并不确定是否能够取证追查这种僵尸网络核心的广告，从而最终追踪到利用这种广告建立僵尸网络的个人。他说：“你可以通过追踪谁为该广告付费来寻找线索。”

　　广告阻止器被用来加速web网页的加载，并改善用户的浏览体验，如果这种技术能够改进的话，这将会成为一个不错的安全工具。Grossman说他没有办法阻止这种攻击“我们使用这种攻击方式攻击了自己的服务器，我们的服务器就崩溃了。