В Chrome и Firefox выявлена (https://github.com/benjamingr/favicon-bug) недоработка, которая может привести к инициированию временного отказа в обслуживании и краха через потребление всей доступной процессу памяти. Суть проблемы в том, что браузеры автоматически загружают при обращении к сайту файл favicon.ico (https://ru.wikipedia.org/wiki/Favicon), содержащий пиктограмму сайта, но не учитывают его размер. Для слишком больших favicon.ico браузер пытается загрузить файл до того как израсходует всю доступную память.<center><img src="https://www.opennet.ru/opennews/pics_base/0_1434392158.png" style="border-style: solid; border-color: #606060; border-width: 1px;max-width:100%;" title="" border=0></center>
URL: https://github.com/benjamingr/favicon-bug
Новость: https://www.opennet.ru/opennews/art.shtml?num=42435
Вон оно что. Теперь понятно, почему наглая рыжая морда всю память отжирает.
Криворукие вебмастера слишком большие фавиконы делают.
фавикон размером в 9 Гб
це виндовая концепция: жмёшь иконку - из неё весь ведьмак загружается.
use 32 bit luke
Действительно, браузер тогда выпадет после первых 2 или 3 Гб данных - экономия на траффике очевидна! :)
В IE и Safari нет? Хорошо.
А по ссылке сходить религия запрещает??> As people have pointed Firefox does this too. Safari is also affected and will make the computer unresponsive and then crash (on my OSX 10.10).
А обычная картинка как ограничена?
> А обычная картинка как ограничена?Никак. Но крэшить браузер обычной картинкой это дедовский способ, за него вознаграждение не выплатят. А вот крэшить иконкой это стильно, модно и молодёжно. Ну и выгодно.
реез таймаут вестима
Win7 + Chrome = freeze & crash
А как проверить на Вин 8.1 + Хром?
Забанен в гугле?
https://ru.wikipedia.org/wiki/Favicon
А, там нужно самому инсталить эксплойт, потом самому его запускать.. накуй - тупо, нудно, не нужно.
Ну так не инсталли. Суть в том, что браузеры пытаются выжрать фавикон сайта в 9гб.
> Суть в том, что браузеры пытаются выжрать фавикон сайта в 9гб.Суть в том что драма высосана из пальца. Если на каком-то ресурсе падает браузер, ты больше туда не пойдешь (если не дятел, конечно).
Когда взломают opennet и подсунут сюда такой favicon, вы, конечно же, тут же перестанете сюда ходить. Вы же не дятел?
Вообще-то намёк верный - сайт должен иметь какие-то ограничения по памяти/процессору, и если хочет большего - должен быть явный запрос пользователю.
Увольте. Проще сделать ограничение размера favicon в 10 мегабайт. 10 мегабайт точно хватит всем. Если favicon больше 10 мегабайт - пусть не загружается.
Ну вот из-за таких как вы у нас такие интернеты отсталые.Вот вы сейчас введете ограничение в 10mb, а через 10 лет вас все будут ненавидеть и писать костыли.
Чем favicon отличается от картинки на сайте? Почему картинки можно загружать очень большие, а favicon нельзя?
Может потому что за 20 лет размер реальных favicon не вырос ни на байт ?
У favicon есть суть. лейбл\превью 10мб это дофига для качественной фото.
на 10кб можно лечовеческое лицо определить.Имхо из-за таких как вы у нас медленные интернеты??? А что хочу и выкладываю по 2мб картинки я создатель (порой даже не являющийся владельцем\заказчиком) что-хочу то и делаю. А заказчик как правила "лопух". я еще и сделаю так чтоб даже банер в 2мб у пользователя грузилка каждый раз заново.
"почувствуй нашу любовь"
> Может потому что за 20 лет размер реальных favicon не вырос ни на байт ?Ну вот как не вырос когда появились favicon=icon.apng, например. Или костыли для HiDPI.
> Имхо из-за таких как вы у нас медленные интернеты???
Ну вот почему вы вместо поднятия инфраструктуры и увеличения скорости канала считаете что не надо развивать эти наши интернеты и технологии?
> Ну вот почему вы вместо поднятия инфраструктуры и увеличения скорости канала считаете что не надо развивать эти наши интернеты и технологии?По тому, что уже сайт может съесть 2MB, а полезной информации на нем на 2KB. Зачем тупо тратить ресурсы? Больше платить за оборудование/трафик/электричество? Уже сейчас мы могли бы иметь дешевые, быстрые мобильные устройства работающие неделями и имеющие гораздо меньший вес, если бы не тупо наращивали мощность и также тупо ее тратили, а просто хоть немного задумались об оптимизации.
Зачем греть воздух?
А вы случаем не из тех самых, что считают оперативную память дешевой и что экономить ее не нужно?
А есть такое расширение для firefox и chrome?
> Суть в том что драма высосана из пальца. Если на каком-то ресурсе
> падает браузер, ты больше туда не пойдешь (если не дятел, конечно).Если у тебя не 10Гбит эзернет, а сервак обслуживает поболее народа чем одного тебя, ты заметишь проблемы "немного" опосля. И тебе будет довольно сложно понять какой именно сайт в этом виноват.
А в чем прикол то? Если страница слишком долго грузится, можно же просто нажать крестик? И чем тогда это фавикон отличается от любой другой картинки на странице, которую тоже можно сделать размером в надцать гигобайт?
ну тут конечно немного зауши 9 гигов.
но делаем чтото умеренно разумное. метров 500.
притом на разных сраницах разные ещё.
а он же их показывает в избранном, истории и прочем. вполне может начать дико тормозить просто при открытии броузера.
Иногда нет, например, линуксовые ОСи вообще плохо ведут себя при "экстремальном" потреблении ОЗУ, что только ресет на системнике остаётся.
Что такое "экстремальное" и почему при нехватке памяти не отработал OOM Killer?
> Что такое "экстремальное" и почему при нехватке памяти не отработал OOM Killer?это, кстати, интересно. у меня 1.5 гб, без свопа. если в Debian (любой версии) наоткрывать страшных ссылок с флешем и прочим, то оно начинает жутко тупить, мыжжж не двигается практически, жизни нет, ничего сделать нельзя, любое действие отрабатывает по 5 минут - остаётся только sysrq давить. А вот в OpenBSD, если ему вдруг становится "много", он просто убивает браузер по OOM через несколько секунд, и можно жить дальше :)
>> Что такое "экстремальное" и почему при нехватке памяти не отработал OOM Killer?
> это, кстати, интересно. у меня 1.5 гб, без свопа. если в Debian
> (любой версии) наоткрывать страшных ссылок с флешем и прочим, то оно
> начинает жутко тупить, мыжжж не двигается практически, жизни нет, ничего сделать
> нельзя, любое действие отрабатывает по 5 минут - остаётся только sysrq
> давить.Отключи своп -- и твой Дебиан будет умирать легко и безболезненно.
так он и пишет, что у него отключен
> так он и пишет, что у него отключенЯ подумал, что он имеет в виду "1.5 гигабайта, не считая свопа".
>> Что такое "экстремальное" и почему при нехватке памяти не отработал OOM Killer?
> это, кстати, интересно. у меня 1.5 гб, без свопа. если в Debian
> (любой версии) наоткрывать страшных ссылок с флешем и прочим, то оно
> начинает жутко тупить, мыжжж не двигается практически, жизни нет, ничего сделать
> нельзя, любое действие отрабатывает по 5 минут - остаётся только sysrq
> давить. А вот в OpenBSD, если ему вдруг становится "много", он
> просто убивает браузер по OOM через несколько секунд, и можно жить
> дальше :)а подумать про особенности killer-а и почему он без swop-a не совсем ожидаемо работает?
Не уверен в том что это не поправили, но раньше была проблема ( причём она не связана с багами или ошибками, просто такой алгоритм ).
> это, кстати, интересно. у меня 1.5 гб, без свопа. если в Debian (любой версии) наоткрывать страшных ссылок с флешем и прочим, то оно начинает жутко тупить, мыжжж не двигается практически, жизни нет, ничего сделать нельзя, любое действие отрабатывает по 5 минут - остаётся только sysrq давить. А вот в OpenBSD, если ему вдруг становится "много", он просто убивает браузер по OOM через несколько секунд, и можно жить дальше :)То что вы пишете бывает когда swap включен. Без свопа убивается процесс мгновенно. У меня тоже Debian.
SysRq на клавиатуре нет?
нет
Да и у кого найдется насколько быстрый нэт, что он эти надацать гигабайт успеет выкачать до того, как он покинет страницу.
Следующие недоработки и отказ в обслуживании будут найдены в js/css файлах. Авторы истиные британцы.
По сути по такой схеме можно браузер нагрузить любым контентом, где не заданы ограничения по записи в оперативку.
Предсказываю, что после этой новости пройдёт небольшой вал таких атак и исследований.
Я ж эти 9гб два дня качать буду…
Обидно будет такую страницу открыть с мобилки где траф по 8 руб за мег.
Интересно Squid при дефолтных настройках проблемы с такими иконками будет иметь ?
> Обидно будет такую страницу открыть с мобилки где траф по
> 8 руб за мег.Если открыл страницу, а она еще грузится, жми стоп)
Точно не уверен, но похоже не поможет.Я иногда вижу подозрительную сетевую активность - tcpdump показывает что firefox не может поверить, что у сайта нет favicon и получив 404 шлет все новые и новые запросы ...
При этом браузер находится в простое и все сайты давно уже загружены. Хуже всего что такое поведение рандомное - может появится, может нет.
Загрузку фавикона не видно. Выглядит будто его нет просто. И эскейп загрузку не остановит. Более того, у меня лиса продолжает качать даже после закрытия сайта.
browser.chrome.favicons
browser.chrome.site_icons
жОперасты походу на чём сидели, тем и думали - ABP даже не ловит по фильтру "favicon" - они тупо грузят иконку напрямую! Капец погромисты...
И чем это отличается от обычной gzip бомбы, превращающей 1Мб в 1Гб? Тоже в общем то никто не фиксил.
Предлагаю сделать проще: перенести всё содержимое сайта в favicon, а табы в браузерах сделать на весь экран.
> Предлагаю сделать проще: перенести всё содержимое сайта в favicon, а табы в
> браузерах сделать на весь экран.И что-то мне подсказывает, что грузится такой сайт будет быстрее, чем современный веб со 100500 редиректами на сторонние сайты :(
PoC http://badfavicon.cf/ в хроме, например, никак не отображается, что favicon все еще грузится.
Симлинк из /dev/urandom в favicon.ico
> Симлинк из /dev/urandom в favicon.ico/dev/zero + сжатие
> Симлинк из /dev/urandom в favicon.icoДобрая душа :)
Там таких уязвимостей весь браузер, ограничений по RAM и CPU для отдельно взятой страницы не предусмотрено, ситуации отвала браузера происходят постоянно, пять фоток с зеркалки в альбом на имгуре залей, вот и кончился файрфокс.
