CDN vasitəsilə xidmət edilən səhifələri əlçatmaz edən CPDoS hücumu

Hamburq və Köln universitetlərinin tədqiqatçıları
inkişaf etdirdik məzmunun çatdırılması şəbəkələrinə və proksilərin keşləşdirilməsinə yeni hücum texnikası - CPDoS (Cache-Poisoned Denial of Service). Hücum cache zəhərlənməsi vasitəsilə səhifəyə girişin rədd edilməsinə imkan verir.

Problem CDN-lərin nəinki uğurla tamamlanmış sorğuları, həm də http serverinin xəta qaytardığı vəziyyətləri keşləməsi ilə bağlıdır. Bir qayda olaraq, sorğuların formalaşdırılması ilə bağlı problemlər yaranarsa, server 400 (Pis Sorğu) xətası verir; yeganə istisna çox böyük başlıqlar üçün 404 (Tapılmadı) xətası verən IIS-dir. Standart yalnız 404 (Tapılmayıb), 405 (Üsul icazə verilmir), 410 (Geçmiş) və 501 (İcazə verilmir) kodları ilə səhvlərin keşləşdirilməsinə icazə verir, lakin bəzi CDN-lər də cavabları 400 kodu ilə (Bad Sorğu) keşləyir, bu da ondan asılıdır. göndərilən sorğu üzrə.

Təcavüzkarlar müəyyən şəkildə formatlaşdırılmış HTTP başlıqları ilə sorğu göndərməklə orijinal resursun “400 Bad Sorğu” xətası qaytarmasına səbəb ola bilər. Bu başlıqlar CDN tərəfindən nəzərə alınmır, buna görə də səhifəyə daxil ola bilməmək haqqında məlumat keşlənəcək və vaxt aşımı bitməzdən əvvəl bütün digər etibarlı istifadəçi sorğuları, orijinal saytın məzmuna xidmət etməsinə baxmayaraq, xəta ilə nəticələnə bilər. heç bir problem olmadan.

HTTP serverini xətanı qaytarmağa məcbur etmək üçün üç hücum variantı təklif edilmişdir:

• HMO (HTTP Method Override) - təcavüzkar bəzi serverlər tərəfindən dəstəklənən "X-HTTP-Method-Override", "X-HTTP-Method" və ya "X-Method-Override" başlıqları vasitəsilə orijinal sorğu metodunu ləğv edə bilər, lakin CDN-də nəzərə alınmır. Məsələn, orijinal “GET” metodunu serverdə qadağan olunmuş “DELETE” metoduna və ya statika aid olmayan “POST” metoduna dəyişə bilərsiniz;
  

• HHO (HTTP Header Oversize) - təcavüzkar başlıq ölçüsünü elə seçə bilər ki, o, mənbə serverinin limitini keçsin, lakin CDN məhdudiyyətlərinə daxil olmasın. Məsələn, Apache httpd başlıq ölçüsünü 8 KB, Amazon Cloudfront CDN isə 20 KB-a qədər başlıqlara icazə verir;
  

• HMC (HTTP Meta Character) - təcavüzkar sorğuya (\n, \r, \a) xüsusi simvollar daxil edə bilər, bunlar mənbə serverində etibarsız sayılır, lakin CDN-də nəzərə alınmır.
  

Hücuma ən çox həssas olan Amazon Web Services (AWS) tərəfindən istifadə edilən CloudFront CDN idi. Amazon indi səhv keşləşdirməni söndürməklə problemi həll etdi, lakin tədqiqatçılara qorunma əlavə etmək üçün üç aydan çox vaxt lazım oldu. Məsələ Cloudflare, Varnish, Akamai, CDN77 və
Sürətlə, lakin onlar vasitəsilə edilən hücum IIS, ASP.NET istifadə edən hədəf serverlərlə məhdudlaşır. Kolba и 1 çalın. Qeyd olunur, ABŞ Müdafiə Nazirliyinin domenlərinin 11%-i, HTTP Arxiv verilənlər bazasından URL-lərin 16%-i və Alexa tərəfindən sıralanan ən yaxşı 30 veb-saytın təxminən 500%-i potensial olaraq hücuma məruz qala bilər.

Sayt tərəfində hücumun qarşısını almaq üçün həll yolu olaraq, cavab keşini qadağan edən “Cache-Control: no-store” başlığından istifadə edə bilərsiniz. Bəzi CDN-lərdə, məs.
CloudFront və Akamai, siz profil parametrləri səviyyəsində səhv önbelleğini söndürə bilərsiniz. Qoruma üçün siz həmçinin veb tətbiqi təhlükəsizlik duvarlarından (WAF, Web Application Firewall) istifadə edə bilərsiniz, lakin onlar CDN tərəfində keşləmə hostlarının qarşısında tətbiq edilməlidir.

Mənbə: opennet.ru