ProHoster > Blog > Internet Neiegkeeten > CPDoS Attack fir Säiten, déi iwwer CDN servéiert ginn, net verfügbar ze maachen

CPDoS Attack fir Säiten, déi iwwer CDN servéiert ginn, net verfügbar ze maachen

Fuerscher vun den Universitéite vun Hamburg a Köln
entwéckelt eng nei Attack Technik op Inhalt Liwwerung Netzwierker a Cache Proxy - CPDoS (Cache-Poisoned Denial-of-Service). D'Attack erlaabt Zougang zu enger Säit duerch Cache Vergëftung ze refuséieren.

De Problem ass wéinst der Tatsaach datt CDNs Cache net nëmmen erfollegräich ofgeschloss Ufroen, awer och Situatiounen wou den http Server e Feeler zréckkënnt. Als Regel, wann et Probleemer mat Ufroe bilden, gëtt de Server e 400 (Bad Request) Feeler eraus; déi eenzeg Ausnam ass IIS, deen e 404 (Net fonnt) Feeler fir ze grouss Header erausginn. De Standard erlaabt nëmme Feeler mat Coden 404 (Net Found), 405 (Methode Net Erlaabt), 410 (Gone) an 501 (Net Implementéiert) ze cache, awer e puer CDNs och Cache Äntwerte mam Code 400 (Schlecht Ufro), wat hänkt of op der geschéckt Ufro.

Ugräifer kënnen d'Original Ressource verursaache fir e "400 Bad Request" Feeler zréckzeginn andeems Dir eng Ufro mat HTTP Header schéckt, déi op eng gewësse Manéier formatéiert sinn. Dës Header ginn net vum CDN berücksichtegt, sou datt d'Informatioun iwwer d'Onméiglechkeet op d'Säit zougräifen, an all aner gëlteg Benotzerufroe virum Auslaf vum Timeout kënnen zu engem Feeler féieren, trotz der Tatsaach datt d'Original Säit den Inhalt servéiert. ouni Problemer.

Dräi Attackoptioune goufen proposéiert fir den HTTP-Server ze zwéngen fir e Feeler zréckzeginn:

  • HMO (HTTP Method Override) - en Ugräifer kann d'Original Ufro Method iwwerschreiden duerch den "X-HTTP-Method-Override", "X-HTTP-Method" oder "X-Method-Override" Header, ënnerstëtzt vun e puer Serveren, awer net am CDN berücksichtegt ginn. Zum Beispill kënnt Dir d'Original "GET" Method op d'"DELETE" Method änneren, déi um Server verbueden ass, oder d'"POST" Method, déi net fir Statik applicabel ass;

    CPDoS Attack fir Säiten, déi iwwer CDN servéiert ginn, net verfügbar ze maachen

  • HHO (HTTP Header Oversize) - en Ugräifer kann d'Headergréisst auswielen sou datt se d'Limite vum Quellserver iwwerschreift, awer net an den CDN Restriktiounen fällt. Zum Beispill, Apache httpd limitéiert d'Headergréisst op 8 KB, an Amazon Cloudfront CDN erlaabt Header bis zu 20 KB;
    CPDoS Attack fir Säiten, déi iwwer CDN servéiert ginn, net verfügbar ze maachen

  • HMC (HTTP Meta Character) - en Ugräifer kann speziell Zeechen an d'Ufro aginn (\n, \r, \a), déi um Quellserver als ongëlteg ugesi ginn, awer am CDN ignoréiert ginn.

    CPDoS Attack fir Säiten, déi iwwer CDN servéiert ginn, net verfügbar ze maachen

Am meeschte ufälleg fir Attacke war de CloudFront CDN benotzt vun Amazon Web Services (AWS). Amazon huet elo de Problem fixéiert andeems de Feeler-Caching auszeschalten, awer et huet Fuerscher méi wéi dräi Méint gedauert fir Schutz ze addéieren. D'Thema beaflosst och Cloudflare, Varnish, Akamai, CDN77 an
Schnell, awer d'Attack duerch si ass limitéiert op Zilserveren déi IIS, ASP.NET benotzen, Flask и Spillt 1. Et gëtt bemierkt, datt 11% vun den US Department of Defense Domains, 16% vun URLen aus der HTTP-Archiv-Datebank an ongeféier 30% vun de 500 gréisste Siten, déi vun Alexa klasséiert sinn, potenziell attackéiert kënne ginn.

Als Léisung fir en Attack op der Säit Säit ze blockéieren, kënnt Dir den Header "Cache-Control: No-Store" benotzen, deen d'Äntwert-Caching verbitt. An e puer CDNs, z.B.
CloudFront an Akamai, Dir kënnt Feeler Caching um Profil Astellungsniveau deaktivéieren. Fir de Schutz kënnt Dir och Webapplikatiouns Firewalls benotzen (WAF, Web Application Firewall), awer se mussen op der CDN Säit virun de Caching Hosten ëmgesat ginn.

Source: opennet.ru

Setzt e Commentaire