ফ্রন্ট-এন্ড-ব্যাক-এন্ড সিস্টেমের উপর একটি আক্রমণ যা আমাদের তৃতীয়-পক্ষের অনুরোধে ওয়েজ করতে দেয়

প্রকাশিত ফ্রন্ট-এন্ড-ব্যাক-এন্ড মডেল ব্যবহার করে এমন সাইটগুলিতে নতুন আক্রমণের বিশদ বিবরণ, যেমন বিষয়বস্তু বিতরণ নেটওয়ার্ক, লোড ব্যালেন্সার বা প্রক্সিগুলির মাধ্যমে চলমান। আক্রমণটি, নির্দিষ্ট অনুরোধ পাঠিয়ে, ফ্রন্টএন্ড এবং ব্যাকএন্ডের মধ্যে একই থ্রেডে প্রক্রিয়া করা অন্যান্য অনুরোধের বিষয়বস্তুতে কীলক করার অনুমতি দেয়। প্রস্তাবিত পদ্ধতিটি সফলভাবে একটি আক্রমণ সংগঠিত করার জন্য ব্যবহার করা হয়েছিল যা পেপ্যাল ​​পরিষেবার ব্যবহারকারীদের প্রমাণীকরণের পরামিতিগুলিকে আটকানো সম্ভব করেছিল, যা অপ্রচলিত দুর্বলতার উপস্থিতি সম্পর্কে অবহিত করার জন্য একটি প্রোগ্রামের অংশ হিসাবে গবেষকদের প্রায় 40 হাজার ডলার প্রদান করেছিল। অ্যাকামাই কন্টেন্ট ডেলিভারি নেটওয়ার্ক ব্যবহার করা সাইটগুলিতেও আক্রমণটি প্রযোজ্য।

সমস্যার মূল হল যে ফ্রন্টএন্ড এবং ব্যাকএন্ড প্রায়ই HTTP প্রোটোকলের জন্য বিভিন্ন স্তরের সমর্থন প্রদান করে, কিন্তু একই সময়ে বিভিন্ন ব্যবহারকারীদের কাছ থেকে অনুরোধগুলিকে একটি সাধারণ চ্যানেলে এনক্যাপসুলেট করে। ফ্রন্টএন্ড রিসিভিং রিকোয়েস্ট এবং ব্যাকএন্ড প্রসেসিং রিকোয়েস্টের সাথে সংযোগ স্থাপনের জন্য, একটি দীর্ঘস্থায়ী TCP কানেকশন প্রতিষ্ঠিত হয়, যার মাধ্যমে ব্যবহারকারীর অনুরোধ ট্রান্সমিট করা হয়, একের পর এক চেইন বরাবর ট্রান্সমিট করা হয়, HTTP প্রোটোকলের মাধ্যমে আলাদা করা হয়। অনুরোধগুলিকে আলাদা করতে, শিরোনামগুলি "কন্টেন্ট-লেংথ" (অনুরোধে ডেটার মোট আকার নির্ধারণ করে) এবং "স্থানান্তর-এনকোডিং: খণ্ডিত"(আপনাকে "{size}\r\n{block}\r\n{size}\r\n{block}\r\n0" ফর্ম্যাটে বিভিন্ন আকারের ব্লক নির্দিষ্ট করে, অংশে ডেটা স্থানান্তর করার অনুমতি দেয়)।

সমস্যা দেখা দেয় যদি ফ্রন্টএন্ড শুধুমাত্র "সামগ্রী-দৈর্ঘ্য" সমর্থন করে কিন্তু "ট্রান্সফার-এনকোডিং: খণ্ডিত" (উদাহরণস্বরূপ, আকামাই সিডিএন এটি করেছে) বা এর বিপরীতে উপেক্ষা করে। যদি ট্রান্সফার-এনকোডিং: chunked উভয় দিকে সমর্থিত হয়, তাহলে HTTP হেডার পার্সারগুলির বাস্তবায়ন বৈশিষ্ট্যগুলি আক্রমণের জন্য ব্যবহার করা যেতে পারে (উদাহরণস্বরূপ, যখন সামনের প্রান্তটি "ট্রান্সফার-এনকোডিং: xchunked", "ট্রান্সফার-এনকোডিং: chunked" এর মতো লাইনগুলিকে উপেক্ষা করে ”, “ট্রান্সফার-এনকোডিং” :[ট্যাব]খণ্ডিত", "X: X[\n]ট্রান্সফার-এনকোডিং: খণ্ডিত", "ট্রান্সফার-এনকোডিং[\n]: খণ্ডিত" বা "ট্রান্সফার-এনকোডিং: খণ্ডিত", এবং ব্যাকএন্ড সফলভাবে তাদের প্রক্রিয়া করে)।

এই ক্ষেত্রে, একজন আক্রমণকারী একটি অনুরোধ পাঠাতে পারে যাতে "সামগ্রী-দৈর্ঘ্য" এবং "স্থানান্তর-এনকোডিং: খণ্ডিত" শিরোনাম উভয়ই রয়েছে, কিন্তু "সামগ্রী-দৈর্ঘ্য"-এর আকারটি খণ্ডিত চেইনের আকারের সাথে সঙ্গতিপূর্ণ নয়, যা প্রকৃত মানের থেকে ছোট। যদি ফ্রন্টএন্ড "কন্টেন্ট-লেংথ" অনুযায়ী অনুরোধটি প্রসেস করে এবং ফরোয়ার্ড করে এবং ব্যাকএন্ড "ট্রান্সফার-এনকোডিং: chunked" এর উপর ভিত্তি করে ব্লকটি সম্পূর্ণ হওয়ার জন্য অপেক্ষা করে, তাহলে "ট্রান্সফার-এনকোডিং: chunked" এর উপর ভিত্তি করে ডেটার শেষ হবে আগে নির্ধারণ করা হবে এবং আক্রমণকারীর অনুরোধের অবশিষ্ট লেজ পরবর্তী অনুরোধের শুরুতে থাকবে, অর্থাৎ আক্রমণকারী অন্য কারো অনুরোধের শুরুতে নির্বিচারে ডেটা সংযুক্ত করতে সক্ষম হবে পরবর্তীতে প্রেরণ করা হবে।

ব্যবহৃত ফ্রন্টএন্ড-ব্যাকএন্ড সংমিশ্রণে সমস্যা নির্ধারণ করতে, আপনি ফ্রন্টএন্ডের মাধ্যমে এইরকম একটি অনুরোধ পাঠাতে পারেন:

HTTP/1.1 সম্পর্কে পোস্ট করুন
হোস্ট: example.com
স্থানান্তর-এনকোডিং: খণ্ডিত
সামগ্রী-দৈর্ঘ্য: 4

1
Z
Q

সমস্যা উপস্থিত হয় যদি ব্যাকএন্ড অবিলম্বে অনুরোধটি প্রক্রিয়া না করে এবং খণ্ডিত ডেটার চূড়ান্ত শূন্য বাউন্ডিং ব্লকের আগমনের জন্য অপেক্ষা করে। আরো সম্পূর্ণ চেক জন্য প্রস্তুত একটি বিশেষ ইউটিলিটি যা ফ্রন্টএন্ড থেকে "ট্রান্সফার-এনকোডিং: খণ্ডিত" শিরোনামটি লুকানোর সম্ভাব্য পদ্ধতিগুলিও পরীক্ষা করে।

প্রকৃত আক্রমণ করা আক্রমণ করা সাইটের ক্ষমতার উপর নির্ভর করে, উদাহরণস্বরূপ, ট্রেলো ওয়েব অ্যাপ্লিকেশন আক্রমণ করার সময়, আপনি অনুরোধের শুরুতে প্রতিস্থাপন করতে পারেন (প্রতিস্থাপন ডেটা যেমন “PUT /1/members/1234... x=x&csrf =1234&username=testzzz&bio=cake") এবং তৃতীয় পক্ষের ব্যবহারকারীর আসল অনুরোধ এবং এতে উল্লেখিত প্রমাণীকরণ কুকি সহ একটি বার্তা পাঠান। saas-app.com-এ আক্রমণের জন্য, অনুরোধের প্যারামিটারগুলির একটিতে এটি প্রতিস্থাপন করে প্রতিক্রিয়াতে জাভাস্ক্রিপ্ট কোড প্রতিস্থাপন করা সম্ভব হয়েছে। redhat.com-এ আক্রমণের জন্য, আক্রমণকারীর ওয়েবসাইটে পুনঃনির্দেশিত করতে একটি অভ্যন্তরীণ হ্যান্ডলার ব্যবহার করা হয়েছিল ("POST/search?dest=../assets/idx?redir=// ফর্মের একটি অনুরোধ[ইমেল সুরক্ষিত]/ HTTP/1.1")।

বিষয়বস্তু বিতরণ নেটওয়ার্কগুলির জন্য পদ্ধতি ব্যবহার করে "হোস্ট:" শিরোনামটি প্রতিস্থাপন করে অনুরোধ করা সাইটটি প্রতিস্থাপন করা সম্ভব হয়েছে৷ আক্রমণটি বিষয়বস্তু ক্যাশিং সিস্টেমের বিষয়বস্তুকে বিষাক্ত করতে এবং ক্যাশে করা গোপনীয় ডেটা বের করতেও ব্যবহার করা যেতে পারে। পদ্ধতির শীর্ষস্থানটি ছিল পেপ্যালের উপর আক্রমণের সংগঠন, যা প্রমাণীকরণের সময় ব্যবহারকারীদের পাঠানো পাসওয়ার্ডগুলিকে আটকানো সম্ভব করেছিল (আইফ্রেম অনুরোধটি paypal.com/us/gifts পৃষ্ঠার প্রসঙ্গে জাভাস্ক্রিপ্ট চালানোর জন্য সংশোধন করা হয়েছিল যা CSP (কন্টেন্ট সিকিউরিটি পলিসি) প্রয়োগ করা হয়নি)।

মজার বিষয় হল, 2005 সালে ছিল প্রস্তাবিত একটি অপরিহার্যভাবে অনুরূপ অনুরোধ স্পুফিং কৌশল যা আপনাকে ক্যাশিং প্রক্সিগুলিতে (টমক্যাট, স্কুইড, মোড_প্রক্সি) ডেটা স্পুফ করতে দেয় বা একটি HTTP সেশনের মধ্যে বেশ কয়েকটি "GET" বা "POST" অনুরোধ উল্লেখ করে ফায়ারওয়াল ব্লকিং বাইপাস করতে দেয়।

উত্স: opennet.ru