HTTP päis Alt-Svc võib kasutada sisevõrgu sadamate skannimiseks

Boston Ülikooli teadlased on arendanud ründe meetod
(CVE-2019-11728), mis võimaldab skaneerib IP-aadresse ja avatud võrguporte kasutaja sisevõrgus, mis on välisest võrgust tulemüüriga eraldatud, või praegusel süsteemil (localhost). Rünnak võib toimuda spetsiaalselt kujundatud lehe avamisel veebibrauseris. Pakutud tehnika põhineb HTTP-pealkirja kasutamisel ja automaatselt tõsta HTTP päringud HTTPS-ks, kui on olemas HTTPS DNS rekord. Samuti töötab ja toetab (HTTP Alternate Services, RFC-7838). Probleem ilmneb Firefoxis, Chrome'is ja nende põhjal loodud brauserites, sealhulgas Tor Brauseris ja Brave'is.

Alt-Svc pealkiri võimaldab serveril määrata alternatiivse viisi saidile juurdepääsuks ja suunata brauserit uuele hostile päringu edastamiseks, näiteks koormuse tasakaalustamiseks. Samuti on võimalik määrata võrguport edastamiseks, näiteks määramine 'Alt-Svc: http/1.1="other.example.com:443";ma=200' käskib kliendil ühenduda soovitud lehe saamiseks hostiga other.example.org, kasutades võrgupordi 443 ja protokolli HTTP/1.1. Parameeter 'ma' määrab edastamise maksimaalse kehtivuse aja. Lisaks HTTP/1.1-le toetatakse protokolle HTTP/2-over-TLS (h2), HTTP/2-over plain text (h2c), SPDY (spdy) ja QUIC (quic), mis kasutab UDP-d.

Ründaja sait saab aadresse järjestikkuselt skaneerida, testides huvipakkuvaid aadresse sisevõrgus ja võrguporte, kasutades viitena viivitust korduvate päringute vahel.
Kui suunatud ressurss ei ole saadaval, saab brauser kohe vastuseks RST-paketi ja märgib kohe alternatiivse teenuse kättesaamatuks ning nullib päringu eluaja.
Kui võrguport on avatud, on ühenduse lõpetamiseks vajalik rohkem aega (proovitakse luua ühendust vastava paketivahetuse käigus) ja brauser reageerib mitte kohe.

Selle teabe saamiseks võib ründaja kohe suunata kasutaja teisele lehele, mille Alt-Svc päises viidatakse ründaja töötavale hostile. Kui kliendi brauser saadab sellele lehele päringu, võib arvata, et esimese Alt-Svc päringu suunamine on tühistatud ja kontrollitav host ja port ei ole saadaval. Kui päringut ei tulnud, tähendab see, et andmed esimese suunamise kohta ei ole veel aegunud ja ühendus on loodud.

Antud meetod võimaldab ka kontrollida võrguporte, mis on brauseris mustas nimekirjas, näiteks postiserverite porte. Töötab rünnak on ette valmistatud, kasutades iframe'i asendamist ohvri liikluses ja rakendades Alt-Svc protokolli HTTP/2 Firefoxi ja QUIC UDP-portide skaneerimiseks Chromes. Tor Browseris ei saa rünnakut rakendada sisevõrgu ja localhost-i kontekstis, kuid see sobib väliste hostide varjatud skaneerimise korraldamiseks Tor'i väljapääsussõlme kaudu. Probleem portide skaneerimisega on juba on kõrvaldatud Firefox 68.

Alt-Svc päist saab samuti kasutada:

• DDoS-rünnakute korraldamiseks. Näiteks võib TLS-i suunamine tagada 60-kordse võimenduse, kuna kliendi algne päring on 500 baiti, sertifikaadi vastus umbes 30 KB. Tootesarnaste päringute genereerimine tsükli jooksul mitmetes kliendisüsteemides võib viia serveri võrguressursside ammendumiseni;
  
• Siduvate meetodite ümbersõitmiseks, mis pakuvad kaitset pahavara ja kalastamise eest, selliste teenuste nagu Safe Browsing kaudu (suunamine pahatahtlikule hostile ei too kaasa hoiatust);
• Kasutaja liikumise jälgimise korraldamiseks. Meetodi olemus seisneb iframe'i asendamises, mis viitab Alt-Svc kaudu välisele liikumise jälgimise töötlejale, mille kutse toimub vaatamata jälgimise kaitsemeetmete kasutusele. Samuti on võimalik jälgimine teenusepakkujate tasandil, kasutades Alt-Svc ainulaadset identifikaatorit (juhuslikud IP:portid kui identifikaator), mille hilisem analüüs toimub läbivate liiklusvoogude kaudu;
  
  
• Liiklusajaloo teabe väljavõtmiseks. Kui lisada oma lehele iframe, mis kutsub välja pilte kindlast veebisaidist, mis kasutab Alt-Svc, ja analüüsida Alt-Svc seisundit liikluses, võib ründaja, kellel on võimalus analüüsida ülemineku liiklust, järeldada, et kasutaja on varem seda saiti külastanud;
• Sissetungi määramise süsteemide logide hägustamine. Alt-Svc kaudu on võimalik saata pahatahtlikele süsteemidele kasutaja nimel hulga päringute laine ning luua vale rünnaku mulje, et peita tõelise rünnaku üldises teabes.

Allikas: opennet.ru