# Xotira Tugashi Hujumlari Tasavvur qil, sen restoranga kirding va bir piyola choy buyurding. Lekin ofitsiant senga 10 million piyola choy olib keldi — chunki buyurtmangda "miqdor" maydoni tekshirilmagan edi. Server ham xuddi shunday — kichkina so'rov orqali ulkan resurs sarfiga majbur qilinishi mumkin. Bu "asimmetrik hujum" deyiladi: hujumchi oz narx to'laydi, server esa barcha resurslarini sarflaydi. ## XML bomb (Billion Laughs) XML bomb — kichik hajmli XML hujjat bo'lib, entity (ob'ekt) ta'riflari orqali eksponensial o'sishga olib keladi: ```xml ]> &f; ``` Bu hujjat atigi bir necha yuz bayt, lekin `&f;` yoyilganda 10^6 = 1 000 000 marta "Ha" takrorlanadi. Har bir qatlam oldingi qalamni 10 marta ko'paytiradi: | Qatlam | Element soni | Xotira (taxminiy) | |--------|-------------|-------------------| | `&a;` | 1 | 2 bayt | | `&b;` | 10 | 20 bayt | | `&c;` | 100 | 200 bayt | | `&d;` | 1 000 | 2 KB | | `&e;` | 10 000 | 20 KB | | `&f;` | 100 000 | 200 KB | Yana bir necha qatlam qo'shilsa, gigabaytlab xotira talab qilinadi. Himoya: XML parserda entity kengaytirishni (entity expansion) o'chirish yoki chetlash darajasini (nesting depth) cheklash. ```python # Python da xavfsiz XML parsing import defusedxml.ElementTree as ET # defusedxml kutubxonasi # Oddiy xml.etree XAVFLI — defusedxml ishlatilishi shart daraxt = ET.parse("kiritma.xml") # Bomb avtomatik bloklanadi ``` ## Zip bomb (siqilgan bomba) Zip bomb — kichik hajmli arxiv bo'lib, ochilganda juda katta hajmga yoyiladi. Masalan, 42 KB li `42.zip` fayli ochilganda 4.5 petabayt (PB) ma'lumotga aylanadi. Ishlash prinsipi: takrorlanuvchi ma'lumot juda yaxshi siqiladi. Millionlab nol (0x00) baytlaridan iborat fayl deyarli nol hajmga siqiladi. Ikki tur mavjud: - **Rekursiv** — arxiv ichida arxiv, har biri yanada kattaroq - **Non-rekursiv** (quine) — bir qatlamli, lekin overlap compression orqali ulkan natija Himoya: - Ochilgan fayl hajmini kuzatish va chegaralash - Siqish nisbatini (compression ratio) tekshirish — 100:1 dan yuqori bo'lsa, shubhali - Rekursiv ochishni taqiqlash yoki chuqurlikni cheklash ## Algoritmik murakkablik hujumlari Ba'zi algoritmlarga maxsus kiritma berilganda, ularning vaqt murakkabligi (time complexity) eng yomon holatga (worst case) tushadi. **Hash collision hujumi:** Hash jadval (hash table) odatda O(1) tezlikda ishlaydi. Lekin barcha kalitlar bir xil hash qiymatga ega bo'lsa, jadval O(n) ga aylanadi — oddiy ro'yxat kabi. ```mermaid graph TB subgraph NORMAL["Oddiy hash jadval — O(1)"] A1["kalit_1"] --> B1["slot 3"] A2["kalit_2"] --> B2["slot 7"] A3["kalit_3"] --> B3["slot 1"] end subgraph ATTACK["Hujum — barcha kalitlar bir slot'da — O(n)"] C1["kalit_x1"] --> D1["slot 5"] C2["kalit_x2"] --> D1 C3["kalit_x3"] --> D1 end style B1 fill:#16a34a,color:#fff style B2 fill:#16a34a,color:#fff style B3 fill:#16a34a,color:#fff style D1 fill:#dc2626,color:#fff ``` 2011-yilda bu hujum PHP, Java, Python, Ruby veb-frameworklariga qarshi namoyish qilingan. Minglab maxsus yaratilgan POST parametrlari server protsessorini (CPU) soatlab band qilgan. Himoya: tasodifiy urug' (random seed) bilan hash funksiyalarini ishlatish (SipHash). **Tartiblash hujumi:** QuickSort algoritmining eng yomon holati O(n^2). Agar pivot tanlash taxmin qilinadigan bo'lsa, hujumchi aynan shu holatni keltirib chiqaradi. Shu sababli zamonaviy tillar introsort yoki timsort ishlatadi. ## ReDoS — regulyar ifoda hujumi Ba'zi regulyar ifodalar (regular expressions) maxsus kiritmada eksponensial vaqt sarflaydi. Bu "catastrophic backtracking" deyiladi. Xavfli pattern namunasi: ``` Ifoda: ^(a+)+$ Kiritma: "aaaaaaaaaaaaaaaaaaaaaaaaaaab" ``` Regulyar ifoda mexanizmi (engine) har bir `a` uchun ikki xil guruhlanish variantini sinab ko'radi. n ta `a` uchun 2^n variant tekshiriladi. 30 ta `a` + bitta `b` — milliardlab qadam. ```python import re import time # XAVFLI pattern xavfli = re.compile(r'^(a+)+$') kiritma = "a" * 25 + "b" boshlanish = time.time() xavfli.match(kiritma) # Bu juda uzoq vaqt oladi! print(f"Vaqt: {time.time() - boshlanish:.2f}s") ``` Himoya: - Regulyar ifodalarni ReDoS skaneridan o'tkazish (rxxr, safe-regex) - Bajarish vaqtiga chegara qo'yish (timeout) - Iloji boricha possessive quantifiers yoki atomic groups ishlatish - RE2 (Google) kabi backtracking'siz mexanizm ishlatish ## Resurs cheklash vositalari Operatsion tizim darajasida resurslarni cheklash: **ulimit** — jarayon darajasida: ```bash # Maksimal xotira 256 MB ulimit -v 262144 # Maksimal fayl hajmi 100 MB ulimit -f 102400 # Maksimal ochiq fayl deskriptorlari 1024 ulimit -n 1024 ``` **cgroups** (Control Groups) — konteyner va jarayon guruhlari uchun: ```bash # CPU limitini 50% ga o'rnatish echo 50000 > /sys/fs/cgroup/cpu/app/cpu.cfs_quota_us # Xotira limitini 512 MB ga o'rnatish echo 536870912 > /sys/fs/cgroup/memory/app/memory.limit_in_bytes ``` **Dastur darajasida:** - So'rov hajmini tekshirish (request body size limit) - So'rovlar tezligini cheklash (rate limiting) - Timeout'larni o'rnatish — har bir operatsiya uchun vaqt chegarasi - Xotira ishlatilishini monitoring qilish va alert o'rnatish ## Keng qamrovli himoya strategiyasi ```mermaid graph LR A["Kiritma\ntekshiruvi"] --> B["Resurs\nchegaralari\nulimit, cgroups"] B --> C["Vaqt\nchegaralari\ntimeout"] C --> D["Monitoring\nva alert"] style A fill:#2563eb,color:#fff style B fill:#16a34a,color:#fff style C fill:#ca8a04,color:#fff style D fill:#64748b,color:#fff ``` > [!IMPORTANT] > Xotira tugashi hujumlari ko'pincha e'tiborsiz qoldiriladi, chunki ular ma'lumot o'g'irlamaydi. Lekin DoS (Denial of Service) hujumi biznesga jiddiy zarar yetkazadi. Har bir tashqi kiritmani qabul qiluvchi komponent uchun resurs chegaralarini o'rnatish shart — XML parser, fayl yuklovchi, regex mexanizmi, hash jadvallar barchasi chegaralangan bo'lishi kerak. > [!WARNING] > Zip bomb va XML bomb ko'plab antivirus va xavfsizlik vositalarini ham ishdan chiqarishi mumkin. Chunki bu vositalar o'zlari ham fayllarni ochib tekshiradi. Hujumchi atayin antivirus skanerni ishdan chiqarib, keyin asosiy hujumni amalga oshirishi mumkin. Shu sababli xavfsizlik vositalari o'zlari ham resurs chegaralariga rioya qilishi kerak.

Xotira Tugashi Hujumlari (Memory Exhaustion Attacks)