रेंजएएमपी - सीडीएन हमलों की एक श्रृंखला जो रेंज HTTP हेडर में हेरफेर करती है

पेकिंग विश्वविद्यालय, सिंघुआ विश्वविद्यालय और डलास में टेक्सास विश्वविद्यालय के शोधकर्ताओं की एक टीम प्रकट किया DoS हमलों का एक नया वर्ग - रेंजएएमपी, HTTP हेडर के उपयोग पर आधारित है रेंज सामग्री वितरण नेटवर्क (सीडीएन) के माध्यम से यातायात प्रवर्धन को व्यवस्थित करना। विधि का सार यह है कि जिस तरह से रेंज हेडर को कई सीडीएन में संसाधित किया जाता है, एक हमलावर सीडीएन के माध्यम से एक बड़ी फ़ाइल से एक बाइट का अनुरोध कर सकता है, लेकिन सीडीएन पूरी फ़ाइल या डेटा के बहुत बड़े ब्लॉक को डाउनलोड करेगा। लक्ष्य सर्वर को कैश में रखा जाएगा। ऐसे हमले के दौरान ट्रैफ़िक प्रवर्धन की डिग्री, सीडीएन के आधार पर, 724 से 43330 गुना तक होती है, जिसका उपयोग आने वाले ट्रैफ़िक के साथ सीडीएन को अधिभारित करने या पीड़ित की साइट पर अंतिम संचार चैनल की क्षमता को कम करने के लिए किया जा सकता है।

रेंज हेडर क्लाइंट को फ़ाइल में पदों की एक श्रृंखला निर्दिष्ट करने की क्षमता देता है जिसे पूरी फ़ाइल वापस करने के बजाय डाउनलोड किया जाना चाहिए। उदाहरण के लिए, क्लाइंट "रेंज: बाइट्स = 0-1023" निर्दिष्ट कर सकता है और सर्वर केवल पहले 1024 बाइट्स डेटा संचारित करेगा। बड़ी फ़ाइलें डाउनलोड करते समय यह सुविधा मांग में है - उपयोगकर्ता डाउनलोड को रोक सकता है और फिर बाधित स्थिति से जारी रख सकता है। "बाइट्स = 0-0" निर्दिष्ट करते समय, मानक फ़ाइल में पहला बाइट देने का निर्देश देता है, "बाइट्स = -1" - अंतिम, "बाइट्स = 1-" - फ़ाइल के अंत तक 1 बाइट से शुरू होता है। एक हेडर में कई रेंज प्रसारित करना संभव है, उदाहरण के लिए "रेंज: बाइट्स = 0-1023,8192-10240"।

इसके अतिरिक्त, एक दूसरा हमला विकल्प प्रस्तावित किया गया है, जिसका उद्देश्य किसी अन्य सीडीएन के माध्यम से ट्रैफ़िक को अग्रेषित करते समय नेटवर्क लोड को बढ़ाना है, जिसका उपयोग प्रॉक्सी के रूप में किया जाता है (उदाहरण के लिए, जब क्लाउडफ्लेयर फ्रंटएंड (एफसीडीएन) के रूप में कार्य करता है, और अकामाई बैकएंड के रूप में कार्य करता है ( बीसीडीएन)। यह विधि पहले हमले के समान है, लेकिन सीडीएन नेटवर्क के भीतर स्थानीयकृत है और अन्य सीडीएन के माध्यम से पहुंचने पर ट्रैफ़िक में वृद्धि की अनुमति देता है, जिससे बुनियादी ढांचे पर भार बढ़ता है और सेवा की गुणवत्ता कम हो जाती है।

विचार यह है कि हमलावर सीडीएन को कई श्रेणियों के रेंज अनुरोध भेजता है, जैसे "बाइट्स=0-,0-,0-...", "बाइट्स=1-,0-,0-..." या "बाइट्स=-1024,0 ,0-,0-..."। अनुरोधों में बड़ी संख्या में "0-" श्रेणियां शामिल हैं, जिसका अर्थ है कि फ़ाइल स्थिति शून्य से अंत तक वापस आ गई है। रेंज पार्सिंग के गलत कार्यान्वयन के कारण, जब पहला सीडीएन दूसरे तक पहुंचता है, तो प्रत्येक "53-" रेंज के लिए एक पूरी फ़ाइल भेजी जाती है (श्रेणियाँ एकत्रित नहीं होती हैं, लेकिन क्रमिक रूप से पुनरावृत्त होती हैं), यदि श्रेणियों का दोहराव और प्रतिच्छेदन होता है प्रारंभ में हमलावर द्वारा भेजा गया अनुरोध। ऐसे हमले में यातायात प्रवर्धन की मात्रा 7432 से XNUMX गुना तक होती है।

शोध के दौरान 13 सीडीएन के व्यवहार का अध्ययन किया गया -
अकामाई, अलीबाबा क्लाउड, एज़्योर, सीडीएन77, सीडीएनसन, क्लाउडफ्लेयर, क्लाउडफ्रंट, फास्टली, जी-कोर लैब्स, हुआवेई क्लाउड, कीसीडीएन, स्टैकपाथ और टेनसेंट क्लाउड। जांचे गए सभी सीडीएन ने अंतिम सर्वर पर पहले प्रकार के हमले की अनुमति दी। CDN हमले के दूसरे संस्करण ने 6 सेवाओं को प्रभावित किया, जिनमें से चार हमले में फ्रंटएंड के रूप में कार्य कर सकते हैं (CDN77, CDNsun, Cloudflare और StackPath) और तीन बैकएंड (Akamai, Azure और StackPath) के रूप में कार्य कर सकते हैं। सबसे बड़ा लाभ अकामाई और स्टैकपाथ में प्राप्त हुआ है, जो रेंज हेडर में 10 हजार से अधिक रेंज निर्दिष्ट करने की अनुमति देता है। सीडीएन मालिकों को लगभग 7 महीने पहले कमजोरियों के बारे में सूचित किया गया था, और जब तक जानकारी सार्वजनिक रूप से प्रकट की गई, तब तक 12 सीडीएन में से 13 ने पहचानी गई समस्याओं को ठीक कर दिया था या उन्हें ठीक करने के लिए तत्परता व्यक्त की थी (केवल स्टैकपाथ सेवा ने कोई प्रतिक्रिया नहीं दी थी)।

स्रोत: opennet.ru