{"id":37112,"date":"2019-10-31T22:15:49","date_gmt":"2019-10-31T19:15:49","guid":{"rendered":"https:\/\/prohoster.info\/blog\/http-zagolovok-alt-svc-mozhet-primenyatsya-dlya-skanirovaniya-portov-vnutrennej-seti\/"},"modified":"2019-10-31T22:15:49","modified_gmt":"2019-10-31T19:15:49","slug":"http-zagolovok-alt-svc-mozhet-primenyatsya-dlya-skanirovaniya-portov-vnutrennej-seti","status":"publish","type":"post","link":"https:\/\/prohoster.info\/nl\/blog\/news\/http-zagolovok-alt-svc-mozhet-primenyatsya-dlya-skanirovaniya-portov-vnutrennej-seti","title":{"rendered":"De HTTP-header Alt-Svc kan worden gebruikt voor het scannen van poorten in een intern netwerk.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Onderzoekers van de Boston University hebben ontwikkeld<\/a><\/noindex> aanvalsmethode
\n(CVE-2019-11728), die<\/a><\/noindex> kan het scannen van IP-adressen en open netwerkpoorten in het interne netwerk van de gebruiker, dat is afgeschermd van het externe netwerk door een firewall, of op het huidige systeem (localhost) omvatten. De aanval kan worden uitgevoerd door een speciaal ontworpen pagina in de browser te openen. De voorgestelde techniek is gebaseerd op het gebruik van de HTTP-header Alt-Svc<\/a><\/noindex> (HTTP Alternate Services, RFC-7838<\/a><\/noindex>). Het probleem manifesteert zich in Firefox, Chrome en op hun engines gebaseerde browsers, waaronder Tor Browser en Brave.<\/p>\n

De Alt-Svc-header stelt de server in staat om een alternatieve manier van toegang tot de site te defini\u00ebren en de browser instructies te geven om het verzoek om te leiden naar een nieuwe host, bijvoorbeeld voor load balancing. Het is ook mogelijk om een netwerkpoort op te geven voor doorsturing, bijvoorbeeld het specificeren van 'Alt-Svc: http\/1.1=\u00bbother.example.com:443''; ma=200' instrueert de client om verbinding te maken met de host other.example.org om de opgevraagde pagina te ontvangen, gebruikmakend van netwerkpoort 443 en het protocol HTTP\/1.1. De parameter 'ma' bepaalt de maximale tijdsduur van de doorverwijzing. Naast HTTP\/1.1 ondersteunt het ook andere protocollen zoals HTTP\/2-over-TLS (h2), HTTP\/2-over plain text (h2c), SPDY (spdy) en QUIC (quic), dat gebruik maakt van UDP.<\/p>\n

\"De<\/center><\/p>\n

Voor het scannen van adressen kan de aanvaller iteratief de interessante adressen in het interne netwerk en netwerkpoorten doorlopen, gebruikmakend van de vertraging tussen de herhaalde verzoeken als kenmerk.
\nAls de doorverwezen bron niet beschikbaar is, ontvangt de browser onmiddellijk een RST-pakket als antwoord en markeert de alternatieve service direct als onbeschikbaar en reset de gespecificeerde tijdsduur van de doorverwijzing.
\nAls de netwerkpoort open is, kost het meer tijd om de verbinding te be\u00ebindigen (er zal een poging worden gedaan om een verbinding tot stand te brengen met de bijbehorende pakketwisseling) en de browser zal niet onmiddellijk reageren. <\/p>\n

Om informatie over de controle te verkrijgen, kan de aanvaller de gebruiker onmiddellijk doorverwijzen naar een tweede pagina, die in de Alt-Svc-header verwijst naar een werkende host van de aanvaller. Als de clientbrowser een verzoek naar deze pagina stuurt, kan worden aangenomen dat de doorverwijzing van het eerste Alt-Svc-verzoek is ingetrokken en dat de te controleren host en poort niet beschikbaar zijn. Als er geen verzoek is verzonden, betekent dit dat de gegevens van de eerste doorverwijzing nog niet zijn vervallen en de verbinding is tot stand gebracht. <\/p>\n

De genoemde methode maakt het onder andere mogelijk om netwerkpoorten te controleren die zijn geblokkeerd door de browser, zoals poorten van mailservers. De uitvoerende aanval is voorbereid met behulp van iframe-invoegen in het verkeer van het slachtoffer en het gebruik van het HTTP\/2-protocol in Alt-Svc voor Firefox en QUIC voor het scannen van UDP-poorten in Chrome. In de Tor-browser kan de aanval niet worden toegepast in de context van een intern netwerk en localhost, maar is het geschikt voor het uitvoeren van verborgen scans van externe hosts via een Tor-uitgangspunt. Het probleem met het scannen van poorten is al opgelost<\/a><\/noindex> in Firefox 68.<\/p>\n

De Alt-Svc-header kan ook worden toegepast:<\/p>\n