HTTP-päis Alt-Svc võib kasutada sisevõrgu sadamate skaneerimiseks

Boston Ülikooli teadlased arendasid rünnakumeetod
(CVE-2019-11728), mis võimaldab skaneerida IP-aadresse ja avatud võrgu porte kasutaja sisevõrgus, mis on välise võrgu eest kaitstud tulemüüriga, või praeguses süsteemis (localhost). Rünnakut saab teostada, avades brauseris spetsiaalselt koostatud lehe. Pakutud tehnika põhineb HTTP-päise Alt-Svc (HTTP Alternate Services, RFC-7838). Probleem esineb Firefoxis, Chrome'is ja nende mootoritel põhinevates brauserites, sealhulgas Tor Browseris ja Brave'is.

Alt-Svc pealkiri võimaldab serveril määrata alternatiivse viisi veebisaidi juurde pääsemiseks ning juhendada brauserit, et see suunaks päringu uuele hostile, näiteks koormuse tasakaalustamiseks. Sealhulgas on võimalik määrata võrguport edasi suunamiseks, näiteks 'Alt-Svc: http/1.1="other.example.com:443";ma=200' käsib kliendil, et ta ühenduks hostiga other.example.org, kasutades võrguporti 443 ja protokolli HTTP/1.1. Parameeter 'ma' määrab edasi suunamise maksimaalse kehtivusaja. Lisaks HTTP/1.1 toetatakse protokolle HTTP/2 üle TLS (h2), HTTP/2 tavalise teksti kaudu (h2c), SPDY (spdy) ja QUIC (quic), mis kasutab UDP-d.

Ründaja veebisait võib järjestikku skaneerida huvipakkuvaid aadresse siseteel ja võrguporte, kasutades viitena viivitust korduvate päringute vahel.
Kui suunatav ressurss on saadaval, saab brauser koheselt vastuseks RST-paketi, märgib kohe alternatiivse teenuse kättesaamatuks ning nullib päringus määratud edasi suunamise eluaja.
Kui võrguport on avatud, siis ühenduse lõpetamine võtab rohkem aega (katse luua ühendus vastava paketivahetusega) ja brauser ei reageeri kohe.

Ründaja võib saada teavet kontrollimise kohta, suunates kasutaja kohe teisele lehele, millel Alt-Svc päises viidatakse ründaja töötavale hostile. Kui kliendi brauser saadab selle lehe jaoks päringu, võib arvata, et esimese Alt-Svc päringu suunamine on tühistatud ja kontrollitav host ja port ei ole kergesti kättesaadavad. Kui päringut ei tulnud, tähendab see, et teave esimesest suunamisest ei ole veel aegunud ja ühendus on loodud.

Antud meetod võimaldab ka kontrollida võrgu porte, mis on veebibrauseris musta nimekirja kantud, näiteks postiserveri porte. Toimiv rünnak on ette valmistatud, kasutades iframe'i asendamist ohvri liikluses ja Alt-Svc protokolli HTTP/2 rakendamist Firefoxis ning QUICi UDP-portide skaneerimiseks Chrome'is. Tor Browseris ei saa rünnakut rakendada sisevõrgus ja localhostis, kuid see sobib väliste hostide varjatud skaneerimise korraldamiseks läbi Tor'i väljundsõlme. Probleem võrgu portide skaneerimisega on juba eemaldatud Firefox 68-s.

Alt-Svc päist saab kasutada ka:

• DDoS-rünnakute korraldamiseks. Näiteks võib TLS-i ümbersuunamine tagada 60-kordse suurendamise taseme, kuna kliendi algne päring on 500 baidi ja vastus sertifikaadiga umbes 30 KB. Genereerides sarnaseid päringuid tsüklis mitmest kliendiseadmest, saab saavutada serveri võrguresursside ammendamise;
  
• Phishingu ja pahavara kaitsemehhanismide ümberminekuks, mida pakuvad sellised teenused nagu Safe Browsing (ümbersuunamine pahatahtlikule hostile ei too kaasa hoiatuse kuvamist);
• Kasutaja liikumise jälgimise korraldamiseks. Meetodi olemus seisneb iframi sisestamises, mis viitab Alt-Svc kaudu välisele jälgimise töötlejale, mille kutsub esile hoolimata jälgijate kaitsevahendite aktiveerimisest. Samuti on võimalik jälgida tasandil teenusepakkujad, kasutades Alt-Svc-s ainulaadset identifikaatorit (juhuslik IP:port identifikaatorina), mille hilisem analüüs toimub transiidiliiklusena;
  
  
• Teabe saamiseks kasutaja liikumise ajaloost. Kui sisestate oma lehele iframi, mis küsib pilti määratud saidilt, kasutades Alt-Svc-d, ja analüüsite Alt-Svc seisundit liikluses, võib ründaja, kes on võimeline analüüsima transiidiliiklust, teha järeldusi selle kohta, et kasutaja on varem külastanud nimetatud saiti;
• Sissetungi tuvastamise süsteemide logide hägustamine. Alt-Svc kaudu on võimalik kutsuda esile päringute laine pahatahtlike süsteemide nimel ja luua vale rünnakute mulje, et varjata üldises teabemahtudes tõelist rünnakut.

Allikas: opennet.ru