თავდასხმა წინა-უკანა სისტემებზე, რომელიც საშუალებას გვაძლევს ჩავუღრმავდეთ მესამე მხარის მოთხოვნებს

გამოავლინა ახალი თავდასხმის დეტალები საიტებზე, რომლებიც იყენებენ front-end-back-end მოდელს, როგორიცაა კონტენტის მიწოდების ქსელების, დატვირთვის ბალანსერების ან პროქსიების მეშვეობით გაშვებული. თავდასხმა საშუალებას იძლევა, გარკვეული მოთხოვნების გაგზავნით, შევიდეს სხვა მოთხოვნების შიგთავსში, რომლებიც დამუშავებულია იმავე ძაფში წინა და უკანა ნაწილს შორის. შემოთავაზებული მეთოდი წარმატებით იქნა გამოყენებული თავდასხმის ორგანიზებისთვის, რამაც შესაძლებელი გახადა PayPal სერვისის მომხმარებლების ავთენტიფიკაციის პარამეტრების ჩარევა, რომლებმაც მკვლევარებს გადაუხადეს დაახლოებით 40 ათასი დოლარი, როგორც პროგრამის ნაწილი, რათა ეცნობებინათ გაუხსნელი დაუცველობის არსებობის შესახებ. შეტევა ასევე ვრცელდება საიტებზე, რომლებიც იყენებენ Akamai კონტენტის მიწოდების ქსელს.

პრობლემის არსი იმაში მდგომარეობს, რომ ფრონტენტები და ბექენდები ხშირად უზრუნველყოფენ HTTP პროტოკოლის მხარდაჭერის სხვადასხვა დონეს, მაგრამ ამავე დროს ათავსებენ სხვადასხვა მომხმარებლის მოთხოვნებს საერთო არხში. ფრონტენტის მიმღები და საფონდო დამუშავების მოთხოვნების დასაკავშირებლად იქმნება ხანგრძლივი TCP კავშირი, რომლის მეშვეობითაც ხდება მომხმარებლის მოთხოვნების გადაცემა, გადაცემული ჯაჭვის გასწვრივ ერთმანეთის მიყოლებით, გამოყოფილი HTTP პროტოკოლის საშუალებით. მოთხოვნების განცალკევებისთვის, სათაურები "შინაარსი-სიგრძე" (განსაზღვრავს მოთხოვნის მონაცემების მთლიან ზომას) და "გადაცემის კოდირება: დაქუცმაცებული"( გაძლევთ საშუალებას გადაიტანოთ მონაცემები ნაწილებად, მიუთითოთ სხვადასხვა ზომის ბლოკები ფორმატში "{size}\r\n{block}\r\n{size}\r\n{block}\r\n0").

პრობლემა წარმოიქმნება, თუ ფრონტენტი მხარს უჭერს მხოლოდ „შინაარსის სიგრძეს“, მაგრამ უგულებელყოფს „ტრანსფერ-კოდირებას: დაქუცმაცებულს“ (მაგალითად, Akamai CDN-მა ეს გააკეთა) ან პირიქით. თუ Transfer-Encoding: chunked ორივე მხარეს არის მხარდაჭერილი, HTTP სათაურის პარსერის განხორციელების ფუნქციები შეიძლება გამოყენებულ იქნას შეტევისთვის (მაგალითად, როდესაც წინა ბოლო უგულებელყოფს ხაზებს, როგორიცაა "Transfer-Encoding: xchunked", "Transfer-Encoding: chunked". ”, „Transfer-Encoding“ :[tab]lunked“, „X: X[\n]Transfer-Encoding: chunked“, „Transfer-Encoding[\n]: chunked“ ან „Transfer-Encoding : chunked“ და backend წარმატებით ამუშავებს მათ).

ამ შემთხვევაში, თავდამსხმელს შეუძლია გამოაგზავნოს მოთხოვნა, რომელიც შეიცავს როგორც „კონტენტ-სიგრძე“ და „გადაცემა-დაშიფვრა: დაქუცმაცებული“ სათაურებს, მაგრამ ზომა „შინაარსი-სიგრძე“ არ შეესაბამება დაქუცმაცებული ჯაჭვის ზომას. ფაქტობრივ ღირებულებაზე ნაკლებია. თუ წინა ნაწილი ამუშავებს და აგზავნის მოთხოვნას „შინაარსის სიგრძის“ მიხედვით და ბექენდი ელოდება ბლოკის დასრულებას „ტრანსფერ-დაშიფვრა: დაქუცმაცებული“ საფუძველზე, მაშინ მონაცემების დასასრული „ტრანსფერ-დაშიფვრა: დაქუცმაცებული“ იქნება. ადრე განისაზღვროს და მოთხოვნის დარჩენილი კუდი თავდამსხმელი იქნება შემდეგი მოთხოვნის დასაწყისში, ე.ი. თავდამსხმელს შეეძლება დაურთოს თვითნებური მონაცემები სხვისი მოთხოვნის დასაწყისში გადაცემული შემდეგ.

გამოყენებული frontend-backend კომბინაციაში პრობლემის დასადგენად, შეგიძლიათ გაგზავნოთ მსგავსი მოთხოვნა წინა ნაწილის მეშვეობით:

POST /HTTP/1.1-ის შესახებ
მასპინძელი: example.com
გადაცემის კოდირება: დაქუცმაცებული
შინაარსის სიგრძე: 4

1
Z
Q

პრობლემა ჩნდება, თუ ბექენდი დაუყოვნებლივ არ ამუშავებს მოთხოვნას და ელოდება დაქუცმაცებული მონაცემების საბოლოო ნულოვანი ბლოკის მოსვლას. უფრო სრული შემოწმებისთვის მომზადებული სპეციალური პროგრამა, რომელიც ასევე ამოწმებს შესაძლო მეთოდებს „Transfer-Encoding: chunked“ სათაურის წინა ნაწილიდან დამალვისთვის.

რეალური თავდასხმის განხორციელება დამოკიდებულია თავდასხმაში მყოფი საიტის შესაძლებლობებზე, მაგალითად, Trello ვებ აპლიკაციაზე თავდასხმისას შეგიძლიათ შეცვალოთ მოთხოვნის დასაწყისი (შეცვალეთ მონაცემები, როგორიცაა „PUT /1/members/1234... x=x&csrf =1234&username=testzzz&bio=cake”) და გაგზავნეთ შეტყობინება მესამე მხარის მომხმარებლის ორიგინალური მოთხოვნისა და მასში მითითებული ავთენტიფიკაციის ქუქიის ჩათვლით. saas-app.com-ზე თავდასხმისთვის, შესაძლებელი გახდა პასუხში JavaScript კოდის ჩანაცვლება მოთხოვნის ერთ-ერთ პარამეტრში ჩანაცვლებით. redhat.com-ზე თავდასხმისთვის გამოყენებული იყო შიდა დამმუშავებელი თავდამსხმელის ვებსაიტზე გადამისამართებისთვის (მოთხოვნა ფორმის „POST /search?dest=../assets/idx?redir=//[ელ.ფოსტით დაცულია]/ HTTP/1.1").

კონტენტის მიწოდების ქსელების მეთოდის გამოყენებამ შესაძლებელი გახადა მოთხოვნილი საიტის უბრალოდ ჩანაცვლება „მასპინძელი:“ სათაურის ჩანაცვლებით. შეტევა ასევე შეიძლება გამოყენებულ იქნას კონტენტის ქეშირების სისტემების შინაარსის მოსაწამლად და ქეშირებული კონფიდენციალური მონაცემების ამოსაღებად. მეთოდის მწვერვალი იყო PayPal-ზე თავდასხმის ორგანიზება, რამაც შესაძლებელი გახადა ავტორიზაციის დროს მომხმარებლების მიერ გაგზავნილი პაროლების აღკვეთა (iframe მოთხოვნა შეიცვალა JavaScript-ის შესასრულებლად paypal.com/us/gifts გვერდის კონტექსტში. რომელიც CSP (შინაარსის უსაფრთხოების პოლიტიკა) არ იყო გამოყენებული).

საინტერესოა, რომ 2005 წელს იყო შესთავაზა არსებითად მსგავსი მოთხოვნის გაყალბების ტექნიკა, რომელიც საშუალებას გაძლევთ გააფუჭოთ მონაცემები ქეშირების პროქსიებში (Tomcat, squid, mod_proxy) ან გვერდის ავლით Firewall-ის დაბლოკვა რამდენიმე „GET“ ან „POST“ მოთხოვნის მითითებით ერთი HTTP სესიის განმავლობაში.

წყარო: opennet.ru