Rünnak front-end ja back-end süsteemidesse, mis võimaldab kolmandate osapoolte päringutesse sekkuda

Ava uus rünnaku üksikasjad veebisaitidele, mis kasutavad front-end ja back-end mudelit, näiteks neid, mis töötavad sisu kohaletoimetamise võrkude, tasakaalustajate või püsilinkide kaudu. Rünnak võimaldab teatavate päringute saatmisega segada teiste sama voos käsitletavate päringute sisu, mis liiguvad front-endi ja back-endi vahel. Ettepanekut rakendati edukalt rünnaku korraldamiseks, mis võimaldas tabada PayPali teenuse kasutajate autentimisparameetreid, kes maksis uurijatele umbes 40 000 dollarit turvaukste teavitamise programmi raames. Rünnak on samuti kohandatav veebisaitidele, mis kasutavad Akamai sisu kohaletoimetamise võrgustikku.

Probleemi aluseks on asjaolu, et front-endid ja back-endid toetavad sageli HTTP protokolli erinevat taset, kuid samal ajal kapseldavad erinevate kasutajate päringud ühte kanali. Nõudluse vastuvõtva front-endi ja nõudlusi töötleva back-endi vahel luuakse pikaajaline TCP-ühendus, mille kaudu edastatakse kasutajate päringud, mis edastatakse järjestikku HTTP protokolli vahendusel. Päringute eraldamiseks võivad kasutada päiseid 'Content-Length' (määrab päringu andmete koguma) ja 'Transfer-Encoding: chunked‘ (lubab andmeid edastada osades, näidates erineva suurusega plokke formaadis '{suurus}\r\n{plokk}\r\n{suurus}\r\n{plokk}\r\n0').

Probleem tekib, kui front-end toetab ainult 'Content-Length', kuid ignoreerib 'Transfer-Encoding: chunked' (näiteks käitus nii Akamai CDN) või vastupidi. Kui mõlemal poolel toetatakse 'Transfer-Encoding: chunked', võivad rünnaku korral kasutada HTTP päiste parsimise rakenduse eripära (näiteks kui front-end ignoreerib ridu nagu 'Transfer-Encoding: xchunked', 'Transfer-Encoding: chunked', 'Transfer-Encoding:[tab]chunked', 'X: X[\n]Transfer-Encoding: chunked', 'Transfer-Encoding[\n]: chunked' või 'Transfer-Encoding : chunked', samas kui back-end töötleb neid edukalt).

Sel juhul võib ründaja saata päringu, milles on samal ajal märgitud pealkirjad „Content-Length“ ja „Transfer-Encoding: chunked“, kuid „Content-Length“ väärtus ei vasta chunked-hela suurusele, mis on väiksem kui tegelik väärtus. Kui frontend töötleb ja suunab päringu vastavalt „Content-Length“, samal ajal kui backend ootab lõpp-bloki määramist „Transfer-Encoding: chunked“ alusel, siis määratakse chunked-hela lõppandmed varem ja ründaja jäänud päringu saba satub järgmise päringu algusse, st ründajal on võimalus lisada juhuslikke andmeid mingi teise päringu algusesse.

Probleemi tuvastamiseks kasutatava frontend-backendi sideme kaudu saab frontend saata järgmist tüüpi päringu:

POST /about HTTP/1.1
Host: example.com
Transfer-Encoding: chunked
Content-Length: 4

1
Z
Q

Probleem esineb, kui backend ei töötle päringut kohe ja ootab lõpliku nulli piirava chunked-andmete bloki saabumist. Täiendava kontrolli jaoks valmistatud on spetsiaalne utiliit, mis testib ka võimalikke meetodeid peita pealkiri „Transfer-Encoding: chunked“ frontendist.

Tõelise rünnaku läbiviimine sõltub rünnatava saidi võimalustest, näiteks Trello veebirakenduse rünnaku ajal on võimalik päringu algust muuta (sisestada andmed nagu „PUT /1/members/1234… x=x&csrf=1234&username=testzzz&bio=cake“) ja saata sõnum, mis sisaldab originaalset päringut mõnelt teiselt kasutajalt koos selles määratud autentimise küpsistega. Rünnakuks saas-app.com-le oli võimalik JavaScripti koodi asendada vastuses, asendades selle ühe päringu parameetriga. Rünnakuks redhat.com-ile kasutati sisemist töötlejat ründaja saidile suunamiseks (selleks esitati päring nagu „POST /search?dest=../assets/idx?redir=//redhat.com@evil.net/ HTTP/1.1“).

Sisaldusvõrkude teenuse rakendamine võimaldas lihtsalt asendada nõutud saidi, kasutades "Host:" pealkirja. Rünnakut saab kasutada ka sisu vahemällu salvestamise süsteemide mürgitamiseks ja vahemällu salvestatud konfidentsiaalsete andmete hankimiseks. Meetodi tipp saavutas rünnak PayPali vastu, mis võimaldas kasutajatel samakvaliteetselt autentimisel edastatud paroole peita (tehtud oli iframe'i päringu muutmine JavaScripti täitmiseks paypal.com/us/gifts lehe kontekstis, millele ei kehtinud CSP (sisu turvameetmed)).

Huvi pärast, 2005. aastal leiti on pakutud jäi sarnane meetod päringute asendamiseks, mis võimaldas vahemällu salvestavate vaheproksi (Tomcat, squid, mod_proxy) andmeid asendada või ületada tulemüüride blokeerimisi, edastades mitu "GET" või "POST" päringut ühes HTTP-seansis.

Allikas: opennet.ru