ProHoster > Блог > warta internet > Serangan CPDoS kanggo nggawe kaca sing dilayani liwat CDN ora kasedhiya

Serangan CPDoS kanggo nggawe kaca sing dilayani liwat CDN ora kasedhiya

Peneliti saka Universitas Hamburg lan Cologne
dikembangke teknik serangan anyar ing jaringan pangiriman konten lan proxy cache - CPDoS (Cache-Poisoned Denial-of-Service). Serangan kasebut ngidini akses menyang kaca ditolak liwat keracunan cache.

Masalah iki amarga kasunyatan sing cache CDN ora mung kasil ngrampungake panjalukan, nanging uga kahanan nalika server http ngasilake kesalahan. Minangka aturan, yen ana masalah kanggo mbentuk panjalukan, server nerbitake kesalahan 400 (Bad Request); mung pangecualian IIS, sing ngetokake kesalahan 404 (Ora Ditemukake) kanggo header sing gedhe banget. Standar kasebut mung ngidini kesalahan karo kode 404 (Ora Ditemokake), 405 (Metode Ora Diidini), 410 (Ical) lan 501 (Ora Dilaksanakake) kanggo di-cache, nanging sawetara CDN uga cache respon karo kode 400 (Bad Request), sing gumantung ing panjalukan sing dikirim.

Penyerang bisa nyebabake sumber asli ngasilake kesalahan "400 Bad Request" kanthi ngirim panjalukan nganggo header HTTP sing diformat kanthi cara tartamtu. Header iki ora digatekake dening CDN, mula informasi babagan ora bisa ngakses kaca bakal di-cache, lan kabeh panjaluk pangguna liyane sing sah sadurunge wektu entek kadaluwarsa bisa nyebabake kesalahan, sanajan situs asli nyedhiyakake konten kasebut. tanpa masalah.

Telung opsi serangan wis diusulake kanggo meksa server HTTP ngasilake kesalahan:

  • HMO (HTTP Method Override) - panyerang bisa ngilangi cara panjalukan asli liwat header "X-HTTP-Method-Override", "X-HTTP-Method" utawa "X-Method-Override", sing didhukung dening sawetara server, nanging ora dianggep ing CDN. Contone, sampeyan bisa ngganti cara "GET" asli menyang cara "DELETE", sing dilarang ing server, utawa cara "POST", sing ora ditrapake kanggo statika;

    Serangan CPDoS kanggo nggawe kaca sing dilayani liwat CDN ora kasedhiya

  • HHO (HTTP Header Oversize) - panyerang bisa milih ukuran header supaya ngluwihi watesan saka server sumber, nanging ora kalebu ing watesan CDN. Contone, Apache httpd mbatesi ukuran header nganti 8 KB, lan Amazon Cloudfront CDN ngidini header nganti 20 KB;
    Serangan CPDoS kanggo nggawe kaca sing dilayani liwat CDN ora kasedhiya

  • HMC (HTTP Meta Character) - panyerang bisa nglebokake karakter khusus menyang panyuwunan (\n, \r, \a), sing dianggep ora bener ing server sumber, nanging ora digatekake ing CDN.

    Serangan CPDoS kanggo nggawe kaca sing dilayani liwat CDN ora kasedhiya

Sing paling rentan kanggo nyerang yaiku CloudFront CDN sing digunakake dening Amazon Web Services (AWS). Amazon saiki wis ndandani masalah kasebut kanthi mateni cache kesalahan, nanging butuh peneliti luwih saka telung sasi kanggo nambah proteksi. Masalah kasebut uga kena pengaruh Cloudflare, Varnish, Akamai, CDN77 lan
Cepet, nanging serangan kasebut diwatesi kanggo target server sing nggunakake IIS, ASP.NET, Flask и Main 1. Wis kacathet, sing 11% domain Departemen Pertahanan AS, 16% URL saka database HTTP Archive lan udakara 30% saka 500 situs web paling dhuwur sing ditingkat dening Alexa bisa uga kena serangan.

Minangka solusi kanggo mblokir serangan ing sisih situs, sampeyan bisa nggunakake header "Cache-Control: no-store", sing nglarang cache respon. Ing sawetara CDN, f.eks.
CloudFront lan Akamai, sampeyan bisa mateni cache kesalahan ing tingkat setelan profil. Kanggo pangayoman, sampeyan uga bisa nggunakake firewall aplikasi web (WAF, Firewall Aplikasi Web), nanging kudu dileksanakake ing sisih CDN ing ngarepe host caching.

Source: opennet.ru

Add a comment