फ्रंट-एंड-बैक-एंड सिस्टम पर हमला जो हमें तीसरे पक्ष के अनुरोधों में शामिल होने की अनुमति देता है

खुलासा उन साइटों पर एक नए हमले का विवरण जो फ्रंट-एंड-बैक-एंड मॉडल का उपयोग करते हैं, जैसे कि सामग्री वितरण नेटवर्क, लोड बैलेंसर या प्रॉक्सी के माध्यम से चलने वाली साइटें। हमला, कुछ अनुरोध भेजकर, फ्रंटएंड और बैकएंड के बीच एक ही थ्रेड में संसाधित अन्य अनुरोधों की सामग्री में शामिल होने की अनुमति देता है। प्रस्तावित पद्धति का उपयोग एक हमले को व्यवस्थित करने के लिए सफलतापूर्वक किया गया था, जिससे पेपैल सेवा के उपयोगकर्ताओं के प्रमाणीकरण मापदंडों को रोकना संभव हो गया था, जिसने शोधकर्ताओं को अप्रकाशित कमजोरियों की उपस्थिति के बारे में सूचित करने के लिए एक कार्यक्रम के हिस्से के रूप में लगभग 40 हजार डॉलर का भुगतान किया था। यह हमला अकामाई सामग्री वितरण नेटवर्क का उपयोग करने वाली साइटों पर भी लागू है।

समस्या की जड़ यह है कि फ्रंटएंड और बैकएंड अक्सर HTTP प्रोटोकॉल के लिए अलग-अलग स्तर का समर्थन प्रदान करते हैं, लेकिन साथ ही विभिन्न उपयोगकर्ताओं के अनुरोधों को एक सामान्य चैनल में समाहित कर देते हैं। फ्रंटएंड प्राप्त अनुरोधों और बैकएंड प्रोसेसिंग अनुरोधों को जोड़ने के लिए, एक लंबे समय तक चलने वाला टीसीपी कनेक्शन स्थापित किया जाता है, जिसके माध्यम से उपयोगकर्ता अनुरोध प्रसारित होते हैं, एक के बाद एक श्रृंखला के साथ प्रेषित होते हैं, HTTP प्रोटोकॉल के माध्यम से अलग होते हैं। अनुरोधों को अलग करने के लिए, शीर्षक "सामग्री-लंबाई" (अनुरोध में डेटा का कुल आकार निर्धारित करता है) और "स्थानांतरण-एन्कोडिंग: खंडित"(आपको "{आकार}\r\n{ब्लॉक}\r\n{आकार}\r\n{ब्लॉक}\r\n0" प्रारूप में विभिन्न आकारों के ब्लॉक निर्दिष्ट करते हुए, भागों में डेटा स्थानांतरित करने की अनुमति देता है)।

समस्या तब उत्पन्न होती है जब फ्रंटएंड केवल "सामग्री-लंबाई" का समर्थन करता है लेकिन "ट्रांसफर-एन्कोडिंग: खंडित" को अनदेखा करता है (उदाहरण के लिए, अकामाई सीडीएन ने ऐसा किया) या इसके विपरीत। यदि ट्रांसफर-एनकोडिंग: चंक्ड दोनों तरफ समर्थित है, तो HTTP हेडर पार्सर की कार्यान्वयन सुविधाओं का उपयोग हमले के लिए किया जा सकता है (उदाहरण के लिए, जब फ्रंट एंड "ट्रांसफर-एनकोडिंग: xchunked", "ट्रांसफर-एनकोडिंग: चंक्ड" जैसी लाइनों को अनदेखा करता है ”, "ट्रांसफर-एनकोडिंग" :[टैब]चंक्ड", "एक्स: एक्स[\n]ट्रांसफर-एनकोडिंग: चंक्ड", "ट्रांसफर-एनकोडिंग[\n]: चंक्ड" या "ट्रांसफर-एनकोडिंग: चंक्ड", और बैकएंड उन्हें सफलतापूर्वक संसाधित करता है)।

इस मामले में, एक हमलावर एक अनुरोध भेज सकता है जिसमें "कंटेंट-लेंथ" और "ट्रांसफर-एनकोडिंग: खंडित" हेडर दोनों शामिल हैं, लेकिन "कंटेंट-लंबाई" में आकार खंडित श्रृंखला के आकार के अनुरूप नहीं है, जो वास्तविक मूल्य से कम है. यदि फ्रंटएंड "कंटेंट-लेंथ" के अनुसार अनुरोध को संसाधित और अग्रेषित करता है और बैकएंड "ट्रांसफर-एनकोडिंग: चंक्ड" के आधार पर ब्लॉक के पूरा होने की प्रतीक्षा करता है, तो डेटा का अंत "ट्रांसफर-एनकोडिंग: चंक्ड" के आधार पर होगा। पहले निर्धारित किया जाना चाहिए और हमलावर के अनुरोध की शेष पूंछ अगले अनुरोध की शुरुआत में होगी, यानी। हमलावर अगले प्रेषित किसी अन्य व्यक्ति के अनुरोध की शुरुआत में मनमाना डेटा संलग्न करने में सक्षम होगा।

प्रयुक्त फ्रंटएंड-बैकएंड संयोजन में समस्या का निर्धारण करने के लिए, आप फ्रंटएंड के माध्यम से इस तरह एक अनुरोध भेज सकते हैं:

पोस्ट/HTTP/1.1 के बारे में
होस्ट: example.com
स्थानांतरण-एन्कोडिंग: खंडित
सामग्री लंबाई: 4

1
Z
Q

समस्या तब मौजूद होती है जब बैकएंड तुरंत अनुरोध पर कार्रवाई नहीं करता है और खंडित डेटा के अंतिम शून्य बाउंडिंग ब्लॉक के आने की प्रतीक्षा करता है। अधिक संपूर्ण जांच के लिए तैयार एक विशेष उपयोगिता जो फ्रंटएंड से "ट्रांसफर-एनकोडिंग: चंक्ड" हेडर को छिपाने के संभावित तरीकों का भी परीक्षण करती है।

वास्तविक हमला करना हमलावर साइट की क्षमताओं पर निर्भर करता है, उदाहरण के लिए, ट्रेलो वेब एप्लिकेशन पर हमला करते समय, आप अनुरोध की शुरुआत को बदल सकते हैं (डेटा को "PUT /1/members/1234... x=x&csrf जैसे स्थानापन्न करें) =1234&उपयोगकर्ता नाम=testzzz&bio=cake”) और एक तृतीय-पक्ष उपयोगकर्ता के मूल अनुरोध और उसमें निर्दिष्ट प्रमाणीकरण कुकी सहित एक संदेश भेजें। Saas-app.com पर हमले के लिए, अनुरोध पैरामीटर में से एक में प्रतिस्थापित करके प्रतिक्रिया में जावास्क्रिप्ट कोड को प्रतिस्थापित करना संभव हो गया। Redhat.com पर हमले के लिए, हमलावर की वेबसाइट पर रीडायरेक्ट करने के लिए एक आंतरिक हैंडलर का उपयोग किया गया था (फॉर्म का एक अनुरोध "POST /search?dest=../assets/idx?redir=//[ईमेल संरक्षित]/ HTTP/1.1")।

सामग्री वितरण नेटवर्क के लिए विधि का उपयोग करने से केवल "होस्ट:" हेडर को प्रतिस्थापित करके अनुरोधित साइट को बदलना संभव हो गया। हमले का उपयोग सामग्री कैशिंग सिस्टम की सामग्री को जहर देने और कैश्ड गोपनीय डेटा निकालने के लिए भी किया जा सकता है। विधि का शिखर पेपैल पर हमले का संगठन था, जिसने प्रमाणीकरण के दौरान उपयोगकर्ताओं द्वारा भेजे गए पासवर्ड को रोकना संभव बना दिया (iframe अनुरोध को paypal.com/us/gifts पृष्ठ के संदर्भ में जावास्क्रिप्ट निष्पादित करने के लिए संशोधित किया गया था, के लिए कौन सी सीएसपी (सामग्री सुरक्षा नीति) लागू नहीं की गई थी)।

दिलचस्प बात यह है कि 2005 में ऐसा हुआ था प्रस्तावित एक अनिवार्य रूप से समान अनुरोध स्पूफिंग तकनीक जो आपको कैशिंग प्रॉक्सी (टॉमकैट, स्क्विड, मॉड_प्रॉक्सी) में डेटा को स्पूफ करने या एक HTTP सत्र के भीतर कई "GET" या "POST" अनुरोधों को निर्दिष्ट करके फ़ायरवॉल ब्लॉकिंग को बायपास करने की अनुमति देती है।

स्रोत: opennet.ru