ProHoster > Blog > nûçeyên înternetê > Êrîşa CPDoS ya ku rûpelên ku bi CDN-ê ve têne xizmet kirin neçar dike

Êrîşa CPDoS ya ku rûpelên ku bi CDN-ê ve têne xizmet kirin neçar dike

Lêkolînerên ji zanîngehên Hamburg û Kolnê
pêşxistin teknîkek nû ya êrîşê li ser torên radestkirina naverokê û proxeyên caching - CPDoS (Cache-Poisoned Denial-of-Service). Êrîş dihêle ku gihîştina rûpelek bi jehrîkirina cache were red kirin.

Pirsgirêk ji ber vê yekê ye ku CDN ne tenê daxwazên bi serfirazî qediya, lê di heman demê de rewşên ku servera http xeletiyek vedigerîne cache dike. Wekî qaîdeyek, heke di avakirina daxwazan de pirsgirêk hebin, server xeletiyek 400 (Daxwaza Xirab) derdixe; îstîsna tenê IIS e, ku ji bo sernavên pir mezin xeletiyek 404 (Nê Hat dîtin) derdixe. Standard tenê dihêle ku xeletiyên bi kodên 404 (Nehatin dîtin), 405 (Rêbaz Nabe Destûr), 410 (Çû) û 501 (Ne Pêkhatî) werin cach kirin, lê hin CDN jî bersivên bi koda 400 (Daxwaza Xirab) vedigirin, ku girêdayî ye. li ser daxwaza şandin.

Êrîşkar dikarin bi şandina daxwazek bi sernavên HTTP yên ku bi rengek diyarkirî hatine format kirin, bibin sedem ku çavkaniya orîjînal xeletiyek "400 Daxwaza Xirab" vegerîne. Van sernivîsan ji hêla CDN-ê ve nayên hesibandin, ji ber vê yekê agahdariya di derbarê nekarîna gihîştina rûpelê de dê were hilanîn, û hemî daxwazên din ên bikarhêner ên derbasdar berî ku dem derbas bibe dibe ku bibe sedema xeletiyek, tevî ku malpera orîjînal ji naverokê re xizmet dike. bê pirsgirêk.

Sê vebijarkên êrîşê hatine pêşniyar kirin ku servera HTTP neçar bike ku xeletiyek vegerîne:

  • HMO (Rêvekirina Rêbaza HTTP) - êrîşkar dikare rêbaza daxwaza orîjînal bi sernavên "X-HTTP-Rêbaz-Override", "X-HTTP-Rêbaz" an "X-Method-Override" ve, ku ji hêla hin pêşkêşkeran ve têne piştgirî kirin, derbas bike, lê di CDN de nayê hesibandin. Mînakî, hûn dikarin rêbaza orîjînal "GET" biguhezînin rêbaza "DELETE", ku li ser serverê qedexe ye, an jî rêbaza "POST" ya ku ji bo statîkan nayê sepandin;

    Êrîşa CPDoS ya ku rûpelên ku bi CDN-ê ve têne xizmet kirin neçar dike

  • HHO (HTTP Header Oversize) - êrîşkar dikare mezinahiya sernavê hilbijêrin da ku ew ji sînorê servera çavkaniyê derbas bibe, lê nekeve nav sînorên CDN. Mînakî, Apache httpd mezinahiya sernavê bi 8 KB sînor dike, û Amazon Cloudfront CDN destûr dide sernavên heya 20 KB;
    Êrîşa CPDoS ya ku rûpelên ku bi CDN-ê ve têne xizmet kirin neçar dike

  • HMC (Karaktera HTTP Meta) - êrîşkar dikare karakterên taybetî têxe daxwazê ​​(\n, \r, \a), ku li ser servera çavkaniyê nederbasdar têne hesibandin, lê di CDN-ê de têne paşguh kirin.

    Êrîşa CPDoS ya ku rûpelên ku bi CDN-ê ve têne xizmet kirin neçar dike

Ya herî metirsîdar ji êrîşê CloudFront CDN bû ku ji hêla Karûbarên Webê yên Amazon (AWS) ve hatî bikar anîn. Amazon naha pirsgirêk bi neçalakkirina cachkirina xeletiyê rast kiriye, lê ji lêkolîneran zêdetirî sê meh girt ku parastinê zêde bikin. Pirsgirêk jî bandor li Cloudflare, Varnish, Akamai, CDN77 û
Zû zû, lê êrîşa bi wan re sînorkirî ye ji bo serverên ku IIS, ASP.NET bikar tînin armanc, Flask и 1 lîstin. Tê destnîşan kirin, ku 11% ji domainên Wezareta Parastinê ya Dewletên Yekbûyî, 16% ji URL-yên ji databasa Arşîva HTTP û ji sedî 30% ji 500 malperên herî jor ên ku ji hêla Alexa ve hatine rêz kirin, dibe ku bibe mijara êrîşê.

Wekî çareseriyek ji bo astengkirina êrîşek li ser malperê, hûn dikarin sernavê "Cache-Control: no-store" bikar bînin, ku cachkirina bersivê qedexe dike. Di hin CDN de, wek nimûne.
CloudFront û Akamai, hûn dikarin cachkirina xeletiyê di asta mîhengên profîlê de neçalak bikin. Ji bo parastinê, hûn dikarin dîwarên serîlêdana malperê jî bikar bînin (WAF, Firewallê Serlêdana Webê), lê divê ew li milê CDN-ê li ber mêvandarên cachkirinê werin bicîh kirin.

Source: opennet.ru

Add a comment