خدمة تقصير عناوين تستغل المتصفح في هجمات حجب خدمة موزّعة

للتّدليل على خطورة الثقة بمواقع تقصير العناوين، قام طالب جامعي بإطلاق خدمة تقصير عناوين تأخذ المستخدمين إلى المواقع التي يرغبون بزيارتها، ولكنّها تقوم نفس الوقت باستغلال متصفحات المستخدمين في إطلاق هجمات حجب خدمة موزّعة ضد موقع ما. الطالب أطلق على الخدمة اسم d0z.me والكود المستخدم في بنائه منشور تحت رخصة GPLv3 للبرامج الحرّة. المبدأ الذي تقوم عليه الأداة سهل للغاية، المهاجم يقوم بإدخال عنوان لموضوع يمكن أن يجذب عدد كبير من المستخدمين من أجل الحصول على رابط قصير لهذا العنوان، وفي نفس الوقت يقوم بإدخال عنوان الهدف الذي يسعى لمهاجمته. يقوم المهاجم بعد ذلك بوضع العنوان في عدّة مواقع الشبكات الإجتماعية بغية الحصول على عدد كبير من المستخدمين. المستخدم بعد ضغطه للوصلة يتم نقله للموقع الذي سيظهر في إطار iframe، أثناء انشغال المستخدم بالإطلاع على محتوى العنوان يقوم كود جافا سكريبت في الخلفية بتنفيذ هجوم حجب خدمة ضد الهدف طالما بقية الصفحة مفتوحة في متصفح المستخدم.

المهاجم هنا لا يحتاج إلى تثبيت أي برمجيّات ضارة على حاسوب المستخدم (الضحيّة) لإنجاز هجومه. مثل أي هجوم حجب خدمة آخر وسائل مكافحته محدودة. على المستخدم الحذر عند استخدام خدمات انترنت من مواقع مجهولة. (حتى مع المواقع المشهورة المستخدم يحتاج إلى توخّي الحذر ولكن بنسب أقل).