CDN ਦੁਆਰਾ ਦਿੱਤੇ ਪੰਨਿਆਂ ਨੂੰ ਅਣਉਪਲਬਧ ਬਣਾਉਣ ਲਈ CPDoS ਹਮਲਾ

ਹੈਮਬਰਗ ਅਤੇ ਕੋਲੋਨ ਦੀਆਂ ਯੂਨੀਵਰਸਿਟੀਆਂ ਦੇ ਖੋਜਕਰਤਾਵਾਂ
ਵਿਕਸਿਤ ਸਮੱਗਰੀ ਡਿਲੀਵਰੀ ਨੈੱਟਵਰਕਾਂ ਅਤੇ ਕੈਚਿੰਗ ਪ੍ਰੌਕਸੀਆਂ 'ਤੇ ਇੱਕ ਨਵੀਂ ਹਮਲਾ ਤਕਨੀਕ - CPDoS (ਕੈਸ਼-ਜ਼ਹਿਰ-ਇਨਕਾਰ-ਦੀ-ਸੇਵਾ)। ਹਮਲਾ ਕੈਸ਼ ਜ਼ਹਿਰ ਦੁਆਰਾ ਇਨਕਾਰ ਕੀਤੇ ਜਾਣ ਵਾਲੇ ਪੰਨੇ ਤੱਕ ਪਹੁੰਚ ਦੀ ਆਗਿਆ ਦਿੰਦਾ ਹੈ।

ਸਮੱਸਿਆ ਇਸ ਤੱਥ ਦੇ ਕਾਰਨ ਹੈ ਕਿ CDNs ਨਾ ਸਿਰਫ ਸਫਲਤਾਪੂਰਵਕ ਪੂਰੀਆਂ ਹੋਈਆਂ ਬੇਨਤੀਆਂ ਨੂੰ ਕੈਸ਼ ਕਰਦੇ ਹਨ, ਸਗੋਂ ਅਜਿਹੀਆਂ ਸਥਿਤੀਆਂ ਵੀ ਹਨ ਜਦੋਂ http ਸਰਵਰ ਇੱਕ ਗਲਤੀ ਵਾਪਸ ਕਰਦਾ ਹੈ। ਇੱਕ ਨਿਯਮ ਦੇ ਤੌਰ 'ਤੇ, ਜੇਕਰ ਬੇਨਤੀਆਂ ਬਣਾਉਣ ਵਿੱਚ ਸਮੱਸਿਆਵਾਂ ਹਨ, ਤਾਂ ਸਰਵਰ ਇੱਕ 400 (ਮਾੜੀ ਬੇਨਤੀ) ਗਲਤੀ ਜਾਰੀ ਕਰਦਾ ਹੈ; ਸਿਰਫ ਅਪਵਾਦ IIS ਹੈ, ਜੋ ਬਹੁਤ ਵੱਡੇ ਸਿਰਲੇਖਾਂ ਲਈ 404 (ਨਹੀਂ ਮਿਲਿਆ) ਗਲਤੀ ਜਾਰੀ ਕਰਦਾ ਹੈ। ਸਟੈਂਡਰਡ ਕੋਡ 404 (ਨਹੀਂ ਮਿਲਿਆ), 405 (ਢੰਗ ਨਹੀਂ ਹੈ), 410 (ਗਿਆ ਹੋਇਆ) ਅਤੇ 501 (ਲਾਗੂ ਨਹੀਂ ਕੀਤਾ ਗਿਆ) ਨਾਲ ਕੈਸ਼ ਕੀਤੇ ਜਾਣ ਦੀ ਇਜਾਜ਼ਤ ਦਿੰਦਾ ਹੈ, ਪਰ ਕੁਝ CDN ਕੋਡ 400 (ਮਾੜੀ ਬੇਨਤੀ) ਨਾਲ ਜਵਾਬਾਂ ਨੂੰ ਵੀ ਕੈਸ਼ ਕਰਦੇ ਹਨ, ਜੋ ਨਿਰਭਰ ਕਰਦਾ ਹੈ। ਭੇਜੀ ਗਈ ਬੇਨਤੀ 'ਤੇ.

ਹਮਲਾਵਰ ਕਿਸੇ ਖਾਸ ਤਰੀਕੇ ਨਾਲ ਫਾਰਮੈਟ ਕੀਤੇ HTTP ਸਿਰਲੇਖਾਂ ਦੇ ਨਾਲ ਇੱਕ ਬੇਨਤੀ ਭੇਜ ਕੇ ਅਸਲ ਸਰੋਤ ਨੂੰ "400 ਖਰਾਬ ਬੇਨਤੀ" ਗਲਤੀ ਵਾਪਸ ਕਰ ਸਕਦੇ ਹਨ। ਇਹਨਾਂ ਸਿਰਲੇਖਾਂ ਨੂੰ CDN ਦੁਆਰਾ ਧਿਆਨ ਵਿੱਚ ਨਹੀਂ ਰੱਖਿਆ ਜਾਂਦਾ ਹੈ, ਇਸਲਈ ਪੰਨੇ ਤੱਕ ਪਹੁੰਚ ਕਰਨ ਵਿੱਚ ਅਸਮਰੱਥਾ ਬਾਰੇ ਜਾਣਕਾਰੀ ਨੂੰ ਕੈਸ਼ ਕੀਤਾ ਜਾਵੇਗਾ, ਅਤੇ ਸਮਾਂ ਸਮਾਪਤ ਹੋਣ ਤੋਂ ਪਹਿਲਾਂ ਹੋਰ ਸਾਰੀਆਂ ਵੈਧ ਉਪਭੋਗਤਾ ਬੇਨਤੀਆਂ ਦੇ ਨਤੀਜੇ ਵਜੋਂ ਇੱਕ ਗਲਤੀ ਹੋ ਸਕਦੀ ਹੈ, ਇਸ ਤੱਥ ਦੇ ਬਾਵਜੂਦ ਕਿ ਅਸਲ ਸਾਈਟ ਸਮੱਗਰੀ ਦੀ ਸੇਵਾ ਕਰਦੀ ਹੈ ਬਿਨਾਂ ਕਿਸੇ ਸਮੱਸਿਆ ਦੇ।

HTTP ਸਰਵਰ ਨੂੰ ਇੱਕ ਗਲਤੀ ਵਾਪਸ ਕਰਨ ਲਈ ਮਜਬੂਰ ਕਰਨ ਲਈ ਤਿੰਨ ਹਮਲੇ ਵਿਕਲਪਾਂ ਦਾ ਪ੍ਰਸਤਾਵ ਕੀਤਾ ਗਿਆ ਹੈ:

• HMO (HTTP ਢੰਗ ਓਵਰਰਾਈਡ) - ਇੱਕ ਹਮਲਾਵਰ ਕੁਝ ਸਰਵਰਾਂ ਦੁਆਰਾ ਸਮਰਥਿਤ "X-HTTP-Method-Override", "X-HTTP-Method" ਜਾਂ "X-Method-Override" ਸਿਰਲੇਖਾਂ ਰਾਹੀਂ ਮੂਲ ਬੇਨਤੀ ਵਿਧੀ ਨੂੰ ਓਵਰਰਾਈਡ ਕਰ ਸਕਦਾ ਹੈ, ਪਰ CDN ਵਿੱਚ ਧਿਆਨ ਵਿੱਚ ਨਹੀਂ ਰੱਖਿਆ ਗਿਆ ਹੈ। ਉਦਾਹਰਨ ਲਈ, ਤੁਸੀਂ ਅਸਲੀ "GET" ਵਿਧੀ ਨੂੰ "DELETE" ਵਿਧੀ ਵਿੱਚ ਬਦਲ ਸਕਦੇ ਹੋ, ਜੋ ਕਿ ਸਰਵਰ 'ਤੇ ਮਨਾਹੀ ਹੈ, ਜਾਂ "POST" ਵਿਧੀ, ਜੋ ਸਟੈਟਿਕਸ ਲਈ ਲਾਗੂ ਨਹੀਂ ਹੈ;
  

• HHO (HTTP ਹੈਡਰ ਓਵਰਸਾਈਜ਼) - ਇੱਕ ਹਮਲਾਵਰ ਸਿਰਲੇਖ ਦਾ ਆਕਾਰ ਚੁਣ ਸਕਦਾ ਹੈ ਤਾਂ ਜੋ ਇਹ ਸਰੋਤ ਸਰਵਰ ਦੀ ਸੀਮਾ ਤੋਂ ਵੱਧ ਜਾਵੇ, ਪਰ CDN ਪਾਬੰਦੀਆਂ ਦੇ ਅੰਦਰ ਨਾ ਆਵੇ। ਉਦਾਹਰਨ ਲਈ, Apache httpd ਸਿਰਲੇਖ ਦੇ ਆਕਾਰ ਨੂੰ 8 KB ਤੱਕ ਸੀਮਿਤ ਕਰਦਾ ਹੈ, ਅਤੇ Amazon Cloudfront CDN ਸਿਰਲੇਖਾਂ ਨੂੰ 20 KB ਤੱਕ ਦੀ ਆਗਿਆ ਦਿੰਦਾ ਹੈ;
  

• HMC (HTTP ਮੈਟਾ ਅੱਖਰ) - ਇੱਕ ਹਮਲਾਵਰ ਬੇਨਤੀ (\n, \r, \a) ਵਿੱਚ ਵਿਸ਼ੇਸ਼ ਅੱਖਰ ਸ਼ਾਮਲ ਕਰ ਸਕਦਾ ਹੈ, ਜੋ ਸਰੋਤ ਸਰਵਰ 'ਤੇ ਅਵੈਧ ਮੰਨੇ ਜਾਂਦੇ ਹਨ, ਪਰ CDN ਵਿੱਚ ਅਣਡਿੱਠ ਕੀਤੇ ਜਾਂਦੇ ਹਨ।
  

ਐਮਾਜ਼ਾਨ ਵੈੱਬ ਸਰਵਿਸਿਜ਼ (AWS) ਦੁਆਰਾ ਵਰਤੇ ਗਏ CloudFront CDN ਹਮਲੇ ਲਈ ਸਭ ਤੋਂ ਵੱਧ ਸੰਵੇਦਨਸ਼ੀਲ ਸੀ। ਐਮਾਜ਼ਾਨ ਨੇ ਹੁਣ ਗਲਤੀ ਕੈਸ਼ਿੰਗ ਨੂੰ ਅਯੋਗ ਕਰਕੇ ਸਮੱਸਿਆ ਨੂੰ ਹੱਲ ਕਰ ਦਿੱਤਾ ਹੈ, ਪਰ ਖੋਜਕਰਤਾਵਾਂ ਨੂੰ ਸੁਰੱਖਿਆ ਜੋੜਨ ਵਿੱਚ ਤਿੰਨ ਮਹੀਨਿਆਂ ਤੋਂ ਵੱਧ ਦਾ ਸਮਾਂ ਲੱਗਾ। ਇਸ ਮੁੱਦੇ ਨੇ ਕਲਾਉਡਫਲੇਅਰ, ਵਾਰਨਿਸ਼, ਅਕਾਮਾਈ, ਸੀਡੀਐਨ77 ਅਤੇ ਨੂੰ ਵੀ ਪ੍ਰਭਾਵਿਤ ਕੀਤਾ
ਤੇਜ਼ੀ ਨਾਲ, ਪਰ ਉਹਨਾਂ ਦੁਆਰਾ ਹਮਲਾ ਟੀਚਾ ਸਰਵਰਾਂ ਤੱਕ ਸੀਮਿਤ ਹੈ ਜੋ IIS, ASP.NET, ਫਲਾਸਕ и 1 ਖੇਡੋ. ਇਹ ਨੋਟ ਕੀਤਾ ਗਿਆ ਹੈ, ਕਿ ਅਮਰੀਕਾ ਦੇ ਰੱਖਿਆ ਵਿਭਾਗ ਦੇ 11% ਡੋਮੇਨ, HTTP ਆਰਕਾਈਵ ਡੇਟਾਬੇਸ ਤੋਂ 16% URL ਅਤੇ ਅਲੈਕਸਾ ਦੁਆਰਾ ਦਰਜਾਬੰਦੀ ਵਾਲੀਆਂ ਚੋਟੀ ਦੀਆਂ 30 ਵੈੱਬਸਾਈਟਾਂ ਵਿੱਚੋਂ ਲਗਭਗ 500% ਸੰਭਾਵੀ ਤੌਰ 'ਤੇ ਹਮਲੇ ਦੇ ਅਧੀਨ ਹੋ ਸਕਦੀਆਂ ਹਨ।

ਸਾਈਟ ਸਾਈਡ 'ਤੇ ਹਮਲੇ ਨੂੰ ਰੋਕਣ ਲਈ ਇੱਕ ਹੱਲ ਵਜੋਂ, ਤੁਸੀਂ "ਕੈਸ਼-ਕੰਟਰੋਲ: ਨੋ-ਸਟੋਰ" ਸਿਰਲੇਖ ਦੀ ਵਰਤੋਂ ਕਰ ਸਕਦੇ ਹੋ, ਜੋ ਜਵਾਬ ਕੈਚਿੰਗ ਨੂੰ ਮਨ੍ਹਾ ਕਰਦਾ ਹੈ। ਕੁਝ CDN ਵਿੱਚ, ਉਦਾਹਰਨ ਲਈ.
CloudFront ਅਤੇ Akamai, ਤੁਸੀਂ ਪ੍ਰੋਫਾਈਲ ਸੈਟਿੰਗਾਂ ਪੱਧਰ 'ਤੇ ਗਲਤੀ ਕੈਚਿੰਗ ਨੂੰ ਅਸਮਰੱਥ ਬਣਾ ਸਕਦੇ ਹੋ। ਸੁਰੱਖਿਆ ਲਈ, ਤੁਸੀਂ ਵੈੱਬ ਐਪਲੀਕੇਸ਼ਨ ਫਾਇਰਵਾਲ (WAF, ਵੈੱਬ ਐਪਲੀਕੇਸ਼ਨ ਫਾਇਰਵਾਲ) ਦੀ ਵਰਤੋਂ ਵੀ ਕਰ ਸਕਦੇ ਹੋ, ਪਰ ਉਹਨਾਂ ਨੂੰ ਕੈਸ਼ਿੰਗ ਹੋਸਟਾਂ ਦੇ ਸਾਹਮਣੇ CDN ਵਾਲੇ ਪਾਸੇ ਲਾਗੂ ਕੀਤਾ ਜਾਣਾ ਚਾਹੀਦਾ ਹੈ।

ਸਰੋਤ: opennet.ru