ניתן להשתמש בכותרת HTTP של Alt-Svc כדי לסרוק יציאות רשת פנימיות

חוקרים מאוניברסיטת בוסטון מפותח שיטת תקיפה
(CVE-2019-11728) מְאַפשֶׁר סרוק כתובות IP ופתח יציאות רשת ברשת הפנימית של המשתמש, מגודר מהרשת החיצונית על ידי חומת אש, או במערכת הנוכחית (localhost). ההתקפה יכולה להתבצע בעת פתיחת דף מעוצב במיוחד בדפדפן. הטכניקה המוצעת מבוססת על שימוש בכותרת HTTP Alt-Svc (שירותים חלופיים של HTTP, RFC-7838). הבעיה מתרחשת בפיירפוקס, כרום ודפדפנים המבוססים על המנועים שלהם, כולל Tor Browser ו-Brave.

הכותרת Alt-Svc מאפשרת לשרת לקבוע דרך חלופית לגשת לאתר ולהורות לדפדפן להפנות את הבקשה למארח חדש, למשל לאיזון עומסים. אפשר גם לציין את יציאת הרשת להעברה, לדוגמה, ציון 'Alt-Svc: http/1.1="other.example.com:443";ma=200' מורה ללקוח להתחבר למארח other.example .org כדי לקבל את הדף המבוקש באמצעות יציאת רשת 443 ופרוטוקול HTTP/1.1. הפרמטר "ma" מציין את משך ההפניה המקסימלי. בנוסף ל-HTTP/1.1, HTTP/2-over-TLS (h2), HTTP/2-over text רגיל (h2c), SPDY(spdy) ו-QUIC (quic) באמצעות UDP נתמכים כפרוטוקולים.

כדי לסרוק כתובות, אתר התוקף יכול לחפש ברצף את כתובות הרשת הפנימיות ויציאות הרשת המעניינות, תוך שימוש בהשהייה בין בקשות חוזרות כסימן.
אם המשאב המופנה אינו זמין, הדפדפן מקבל מיד חבילת RST בתגובה ומיד מסמן את השירות החלופי כלא זמין ומאפס את משך חיי הניתוב מחדש שצוין בבקשה.
אם יציאת הרשת פתוחה, ייקח יותר זמן להשלים את החיבור (יעשה ניסיון ליצור חיבור עם חילופי המנות המתאימים) והדפדפן לא יגיב מיד.

כדי לקבל מידע על האימות, התוקף יכול לאחר מכן להפנות את המשתמש מיידית לדף שני, אשר בכותרת Alt-Svc יפנה למארח הפועל של התוקף. אם הדפדפן של הלקוח שולח בקשה לדף זה, אנו יכולים להניח שהניתוב מחדש הראשון של בקשת Alt-Svc אופס והמארח והיציאה הנבדקים אינם זמינים. אם הבקשה לא התקבלה, אזי הנתונים לגבי ההפניה מחדש הראשונה טרם פג והחיבור נוצר.

שיטה זו גם מאפשרת לך לבדוק יציאות רשת ברשימה השחורה של הדפדפן, כגון יציאות שרת דואר. הוכנה התקפת עבודה באמצעות החלפת iframe בתעבורה של הקורבן ושימוש בפרוטוקול HTTP/2 ב-Alt-Svc עבור Firefox ו-QUIC כדי לסרוק יציאות UDP בכרום. בדפדפן Tor, לא ניתן להשתמש במתקפה בהקשר של הרשת הפנימית וה-localhost, אך היא מתאימה לארגון סריקה סמויה של מארחים חיצוניים דרך צומת יציאה של Tor. כבר בעיה בסריקת יציאות חוסלו בפיירפוקס 68.

ניתן להשתמש גם בכותרת Alt-Svc:

• בעת ארגון התקפות DDoS. לדוגמה, עבור TLS, הפניה מחדש יכולה לספק רמת רווח של פי 60 מאחר שבקשת הלקוח הראשונית לוקחת 500 בתים, התגובה עם אישור היא בערך 30 KB. על ידי יצירת בקשות דומות בלולאה במערכות לקוח מרובות, אתה יכול למצות את משאבי הרשת הזמינים לשרת;
  

• כדי לעקוף מנגנוני אנטי-פישינג ואנטי-תוכנות זדוניות הניתנים על ידי שירותים כגון גלישה בטוחה (הפניה מחדש למארח זדוני אינה גורמת לאזהרה);
• לארגן מעקב אחר תנועת המשתמשים. המהות של השיטה היא החלפה של iframe שמפנה ב-Alt-Svc למטפל חיצוני למעקב אחר תנועה, הנקרא ללא קשר להכללה של כלים נגד מעקב. כמו כן, ניתן לעקוב ברמת הספק באמצעות שימוש במזהה ייחודי ב-Alt-Svc (IP:port אקראי כמזהה) עם הניתוח הבא שלו בתעבורת מעבר;
  
  

• כדי לאחזר מידע היסטוריית תנועה. על ידי הוספת תמונות מאתר נתון שמשתמש ב-Alt-Svc לדף ה-iframe שלו עם בקשה וניתוח המצב של Alt-Svc בתעבורה, תוקף שיש לו את היכולת לנתח תעבורת מעבר יכול להסיק שהמשתמש ביקר בעבר בכתובת שצוינה אֲתַר;
• יומנים רועשים של מערכות זיהוי חדירה. באמצעות Alt-Svc תוכלו לגרום לגל של בקשות למערכות זדוניות מטעם המשתמש וליצור מראה של התקפות שווא כדי להסתיר מידע על תקיפה אמיתית בנפח הכללי.

מקור: OpenNet.ru