Ja. Jeder Angriff, der darauf abzielt, die normale Nutzung eines Dienstes durch legitime Benutzer zu verweigern, ist per Definition ein DoS (Denial of Service).

DDoS (Distributed DoS) ist durch Überschwemmungen gekennzeichnet, die ein DoS erzeugen (in allen verfügbaren Definitionen). Ein einzelner Knoten, der erfolgreich eine Überschwemmung verursacht, ist selten.

DoS kann jedoch durch eine Vielzahl von Auslösern verursacht werden.

CVSS hat sogar ein Beispiel für einen Software-Absturz, der für Sie als DoS klassifiziert ist:

Aufgrund eines Fehlers in der Handler-Funktion für RPC-Befehle Es ist möglich, Datenzeiger innerhalb des VMX-Prozesses (Virtual Machine Executable) zu bearbeiten. Diese Sicherheitsanfälligkeit kann es einem Benutzer in einer virtuellen Gastmaschine ermöglichen, den VMX-Prozess zum Absturz zu bringen , was zu einem Denial of Service (DoS) auf dem Host führt oder möglicherweise Code auf dem Host ausführt. [empasis mine]

Und aus dem Wiki:

Denial-of-Service-Angriffe sind durch einen expliziten Versuch von Angreifern gekennzeichnet um die rechtmäßige Nutzung eines Dienstes zu verhindern. Es gibt zwei allgemeine Formen von DoS-Angriffen: solche, die Dienste zum Absturz bringen und solche, die Dienste überfluten. Die schwerwiegendsten Angriffe werden verteilt.

Ja, ein einfacher Absturz ist also ein DoS.

Sehr oft wird Sicherheit als Bereitstellung von drei Eigenschaften angesehen:

• Verfügbarkeit
• Integrität
• Vertraulichkeit

In Ihrem Fall haben Sie etwas gefunden, mit dem ein Benutzer die Verfügbarkeit des Dienstes beeinflussen kann. Je nachdem, was der Dienst bietet, kann dies ärgerlich oder katastrophal sein.

Sehr oft werden fehlgeschlagene Dienste automatisch neu gestartet. Diese können gelegentliche Abstürze abmildern, aber ein Neustart eines Dienstes ist normalerweise weitaus teurer als die üblichen Kosten für die Bearbeitung einer Verbindung. In diesem Fall ist die Ausführung Ihrer Anforderung "Absturz des Servers" fünf- oder sechsmal pro Sekunde möglicherweise nicht sehr bandbreitenintensiv, auf dem durchschnittlichen Server jedoch wahrscheinlich noch ziemlich schwierig.

Ich wollte ein weiteres wichtiges Detail hinzufügen, das in den anderen Antworten nicht explizit angegeben ist. Sie sagten Folgendes:

Es sendet dem Server eine gestaltete Nutzlast, wodurch der Servercode einen Fehler auslöst, und aufgrund mangelnder Fehlerbehandlung stürzt es ab ( bis jemand ausgeführt wird) es wieder ).

(Hervorhebung von mir). Diese Einschränkung ist wichtig, da die Art und Weise, wie solche Dienste auf einen Absturz reagieren, zwischen den Technologiesätzen stark variieren kann.

Kein DoS

Zum Beispiel in PHP oder den meisten anderen Bei CGI-Implementierungen hat eine einzelne abgestürzte Anforderung keinerlei Auswirkungen auf andere Anforderungen. Der Server sendet keine ordnungsgemäße Antwort auf die abgestürzte Anforderung, aber andere Anforderungen, die von legitimen Benutzern eingehen, werden vom Server weiterhin ordnungsgemäß verarbeitet. In diesem Fall betrifft der Absturz nur Sie selbst - nicht andere - und daher ist es schwierig, dies als DoS-Angriff zu qualifizieren. Sicher, es gibt einen Fehler, und Sie verweigern sich den Dienst, aber wenn der Server für alle anderen weiterhin normal funktioniert, findet kein wirklicher Denial-of-Service statt.

Ein DoS

Wenn Ihre Nutzdaten jedoch dazu führen, dass der eigentliche Dienst ausfällt und keine weiteren Anforderungen vom Server empfangen werden können, bis Maßnahmen zur Wiederherstellung von Diensten ergriffen werden (entweder durch einen Administrator oder durch automatische Wiederherstellung) Nach kurzer Zeit) haben Sie definitiv einen Denial-of-Service, da der von Ihnen verursachte Absturz den Service daran gehindert hat, auf legitime Benutzer zu reagieren (wie in anderen Antworten beschrieben).

Unter bestimmten Umständen kann der Angriff "Kein DoS", bei dem der Server nicht heruntergefahren wird, möglicherweise zu einem tatsächlichen DoS-Angriff heraufgestuft werden, wenn Sie einen legitimen Benutzer dazu bringen können, eine URL mit Ihrer böswilligen Nutzlast zu besuchen. Meistens haben solche Angriffe jedoch keine großen praktischen Auswirkungen, da der Dienst weiterhin normal funktioniert, wenn sie den Dienst später normal nutzen. Es kann jedoch seltene Umstände geben, in denen die Nutzlast für die Sitzung erhalten bleibt und der Benutzer daher dauerhaft gesperrt wird (ich habe gesehen, dass Personen solche Umstände im wirklichen Leben versehentlich ausgelöst haben).

Ihrer Beschreibung nach ist es schwierig um festzustellen, in welche dieser Kategorien Ihre bestimmte Nutzlast fällt, muss jedoch eine wichtige Unterscheidung getroffen werden.

Ihr Angriff ist im Grunde die Definition von DOS, er verweigert buchstäblich den Dienst und Sie verwenden den Begriff korrekt.

Der Verbrauch von Bandbreite ist ein naiver Ansatz, bei dem der Server keine bestimmte Sicherheitsanfälligkeit aufweisen muss ist sicherlich nicht der einzige.

Hier ist ein echter CVE über Apache, der einen ähnlichen DOS-Angriff (Absturz mit Segfault) unter Verwendung dieser Terminologie beschreibt:

http: // cve .mitre.org / cgi-bin / cvename.cgi? name = CVE-2018-8011

Noch kompliziertere Angriffe sind manchmal triviale DOS-Angriffe und erhalten auch diese Bezeichnung. Ein Stack-Smashing-Remotecode-Exec-Fehler ohne Shellkit zerschmettert den Stack immer noch mit falschen Werten, was zu einem Segfault führt.

Ja, dies kann als DOS-Sicherheitsanfälligkeit bezeichnet werden. Ich habe gehört, dass dies als "Application DOS Attack" bezeichnet wird.

Ein weiteres Beispiel: Eine Site, auf der ein Virenscanner über hochgeladene Dateien ausgeführt wird, bei der jemand eine Zip-Datei mit 100.000 Zip-Dateien mit 100.000 2-GB-Dateien mit null Bit hochlädt . Eine super kleine Zip-Datei, die den gesamten verfügbaren Speicher zum Öffnen und Scannen verwendet.

Wenn Sie einem legitimen Benutzer die Verwendung einer Ressource verweigern [CPU, RAM, Festplatte, Netzwerkbandbreite (Kennwort zurückgesetzt?]) Sie können es als DOS-Angriff bezeichnen.

Wenn der Angriff jedoch nur den Status der Anwendung beschädigt (z. B. wenn ein nicht autorisierter Benutzer die App in den schreibgeschützten Modus versetzt), kann ich dies möglicherweise nur als Anwendung bezeichnen (oder Sicherheits-) Sicherheitslücke.

Ist es sinnvoll, einen Absturz der Serversoftware als DOS-Angriff zu betrachten?

Jeder Akteur handelt in Bezug auf Aktivitäten in mindestens zwei Dimensionen: Fähigkeit und Erlaubnis .

Fähigkeit hat zwei Möglichkeiten: fähig und unfähig .

Berechtigung hat auch zwei Möglichkeiten: erlaubt oder denied .

Daher führt ein netter Schauspieler eine Aktion nur aus, wenn fähig und erlaubt .

Aus meiner Sicht ist Software-Absturz = nicht möglich und DOS = verweigert . Da es sich bei beiden um "Werte" in unterschiedlichen Dimensionen handelt, können sie nicht als ähnlich angesehen werden, selbst wenn die Auswirkungen auf den Endbenutzer ähnlich sind. Die Auswirkungen, die der Netzwerkadministrator sieht, können jedoch völlig unterschiedlich sein - die Lösungen für sie sind normalerweise unterschiedlich.

Auch ein DOS-Angriff kann zu einem Software-Absturz führen, aber sie sind immer noch nicht ähnlich - sie sind es nur verwandt - Ursache und Wirkung.

Beispiel: Jede Software kann aus unzähligen Gründen abstürzen, auch wenn kein Angriff erfolgt.

Hinweis: Ein Software-Absturz bedeutet normalerweise, dass der Prozess ausgeführt wird vom Betriebssystem wegen eines fehlerhaften Betriebs gestoppt. DOS sind normalerweise möglich, weil sich die Software nur schlecht verhält, aber nicht abstürzt.