Header HTTP Alt-Svc dapat digunakan untuk memindai port jaringan internal

Peneliti dari Universitas Boston dikembangkan metode serangan
(CVE-2019-11728), mengizinkan memindai alamat IP dan membuka port jaringan di jaringan internal pengguna, dipagari dari jaringan eksternal oleh firewall, atau di sistem saat ini (localhost). Serangan dapat dilakukan ketika membuka halaman yang dirancang khusus di browser. Teknik yang diusulkan didasarkan pada penggunaan header HTTP Alt-Svc (Layanan Alternatif HTTP, RFC-7838). Masalah terjadi di Firefox, Chrome dan browser berdasarkan mesinnya, termasuk Tor Browser dan Brave.

Header Alt-Svc memungkinkan server menentukan cara alternatif untuk mengakses situs dan menginstruksikan browser untuk mengarahkan permintaan ke host baru, misalnya untuk penyeimbangan beban. Dimungkinkan juga untuk menentukan port jaringan untuk penerusan, misalnya, menentukan 'Alt-Svc: http/1.1="other.example.com:443";ma=200' memerintahkan klien untuk terhubung ke host other.example .org untuk menerima halaman yang diminta menggunakan port jaringan 443 dan protokol HTTP/1.1. Parameter "ma" menentukan durasi pengalihan maksimum. Selain HTTP/1.1, HTTP/2-over-TLS (h2), HTTP/2-over plain text (h2c), SPDY(spdy) dan QUIC (quic) menggunakan UDP didukung sebagai protokol.

Untuk memindai alamat, situs penyerang dapat mencari secara berurutan melalui alamat jaringan internal dan port jaringan yang diinginkan, menggunakan penundaan antara permintaan berulang sebagai tanda.
Jika sumber daya yang dialihkan tidak tersedia, browser langsung menerima paket RST sebagai respons dan segera menandai layanan alternatif sebagai tidak tersedia dan mengatur ulang masa pengalihan yang ditentukan dalam permintaan.
Jika port jaringan terbuka, akan memakan waktu lebih lama untuk menyelesaikan koneksi (akan dilakukan upaya untuk membuat koneksi dengan pertukaran paket yang sesuai) dan browser tidak akan segera merespons.

Untuk mendapatkan informasi tentang verifikasi, penyerang kemudian dapat segera mengarahkan pengguna ke halaman kedua, yang di header Alt-Svc akan merujuk ke host penyerang yang sedang berjalan. Jika browser klien mengirimkan permintaan ke halaman ini, maka kita dapat berasumsi bahwa pengalihan permintaan Alt-Svc pertama telah disetel ulang dan host serta port yang diuji tidak tersedia. Jika permintaan tidak diterima, maka data tentang pengalihan pertama belum habis masa berlakunya dan koneksi telah terjalin.

Metode ini juga memungkinkan Anda memeriksa port jaringan yang masuk daftar hitam oleh browser, seperti port server email. Serangan yang berhasil disiapkan menggunakan substitusi iframe pada lalu lintas korban dan penggunaan protokol HTTP/2 di Alt-Svc untuk Firefox dan QUIC untuk memindai port UDP di Chrome. Di Tor Browser, serangan tidak dapat digunakan dalam konteks jaringan internal dan localhost, tetapi cocok untuk mengatur pemindaian rahasia host eksternal melalui node keluar Tor. Sudah ada masalah dengan pemindaian port dihilangkan di Firefox 68.

Header Alt-Svc juga dapat digunakan:

• Saat mengatur serangan DDoS. Misalnya, untuk TLS, pengalihan dapat memberikan tingkat penguatan 60 kali lipat karena permintaan klien awal membutuhkan 500 byte, respons dengan sertifikat sekitar 30 KB. Dengan menghasilkan permintaan serupa dalam satu lingkaran pada beberapa sistem klien, Anda dapat menghabiskan sumber daya jaringan yang tersedia untuk server;
  

• Untuk melewati mekanisme anti-phishing dan anti-malware yang disediakan oleh layanan seperti Penjelajahan Aman (mengarahkan ke host jahat tidak menghasilkan peringatan);
• Untuk mengatur pelacakan pergerakan pengguna. Inti dari metode ini adalah mengganti iframe yang merujuk ke Alt-Svc dengan pengendali pelacakan pergerakan eksternal, yang dipanggil terlepas dari penyertaan alat anti-pelacak. Dimungkinkan juga untuk melacak di tingkat penyedia melalui penggunaan pengidentifikasi unik di Alt-Svc (IP acak:port sebagai pengidentifikasi) ​​dengan analisis selanjutnya dalam lalu lintas transit;
  
  

• Untuk mengambil informasi riwayat pergerakan. Dengan memasukkan gambar dari situs tertentu yang menggunakan Alt-Svc ke halaman iframe dengan permintaan dan menganalisis status Alt-Svc dalam lalu lintas, penyerang yang memiliki kemampuan untuk menganalisis lalu lintas transit dapat menyimpulkan bahwa pengguna sebelumnya telah mengunjungi situs yang ditentukan lokasi;
• Log berisik dari sistem deteksi intrusi. Melalui Alt-Svc, Anda dapat menyebabkan gelombang permintaan ke sistem jahat atas nama pengguna dan menciptakan tampilan serangan palsu untuk menyembunyikan informasi tentang serangan nyata dalam volume umum.

Sumber: opennet.ru