সংবাদটি সম্প্রতি প্রকাশ করেছে এ জার্মানি বিভিন্ন বিশ্ববিদ্যালয় থেকে গবেষকদের গ্রুপ, একটাইs এইচটিটিপিএসের বিরুদ্ধে একটি নতুন এমআইটিএম আক্রমণ পদ্ধতি তৈরি করেছে, যা সেশন আইডি এবং অন্যান্য সংবেদনশীল ডেটা সহ কুকিজ নিষ্কাশনের পাশাপাশি অন্য কোনও সাইটের প্রসঙ্গে ইচ্ছামত জাভাস্ক্রিপ্ট কোড চালানোর অনুমতি দেয়।
আক্রমণ বলা হয় ALPACA এবং টিএলএস সার্ভারগুলিতে প্রয়োগ করা যেতে পারে তারা বিভিন্ন অ্যাপ্লিকেশন স্তর প্রোটোকল (HTTPS, SFTP, SMTP, IMAP, POP3) প্রয়োগ করে তবে সাধারণ টিএলএস শংসাপত্র ব্যবহার করে।
আক্রমণের সারমর্মটি হ'ল যদি কোনও গেটওয়েতে নিয়ন্ত্রণ থাকে নেটওয়ার্ক বা ওয়্যারলেস অ্যাক্সেস পয়েন্ট, কোনও আক্রমণকারী ট্রাফিককে একটি ভিন্ন নেটওয়ার্ক পোর্টে পুনর্নির্দেশ করতে পারে এবং কোনও HTTP সার্ভারের সাথে নয়, একটি FTP বা মেল সার্ভারের সাথে সংযোগ স্থাপনের ব্যবস্থা করুন যা টিএলএস এনক্রিপশন সমর্থন করে।
প্রোটোকল থেকে টিএলএস সর্বজনীন এবং অ্যাপ্লিকেশন-স্তরের প্রোটোকলগুলিতে আবদ্ধ নয়সমস্ত পরিষেবাগুলির জন্য একটি এনক্রিপ্ট করা সংযোগ স্থাপন সমান এবং ভুল পরিষেবাতে একটি অনুরোধ প্রেরণের সময় একটি ত্রুটি কেবল প্রক্রিয়া চলাকালীন একটি এনক্রিপ্ট হওয়া সেশনের প্রতিষ্ঠার পরে সনাক্ত করা যায়। জমা দেওয়া অনুরোধের আদেশগুলি থেকে।
সেই অনুযায়ী, যদি, উদাহরণস্বরূপ, একটি ব্যবহারকারীর সংযোগ পুনর্নির্দেশ, প্রথমে HTTPS- র কাছে পরিচালিত, কোনও মেল সার্ভারে HTTPS সার্ভারের সাথে একটি সাধারণ শংসাপত্র ব্যবহার করে, টিএলএস সংযোগটি সফলভাবে প্রতিষ্ঠিত হবে, তবে মেল সার্ভারটি সংক্রমণিত এইচটিটিপি কমান্ডগুলি প্রক্রিয়া করতে সক্ষম হবে না এবং একটি ত্রুটি কোড সহ প্রতিক্রিয়া ফিরিয়ে দেবে । এই প্রতিক্রিয়াটি অনুরোধ করা সাইট থেকে প্রতিক্রিয়া হিসাবে ব্রাউজার দ্বারা প্রক্রিয়া করা হবে, সঠিকভাবে প্রতিষ্ঠিত এনক্রিপ্ট করা যোগাযোগ চ্যানেলের মধ্যে প্রেরণ করা হবে।
তিনটি আক্রমণ বিকল্প প্রস্তাব করা হয়:
- প্রমাণীকরণের পরামিতি সহ কুকিটি পুনরুদ্ধার করতে «আপলোড করুন» যদি টিএলএস শংসাপত্রের আওতাধীন এফটিপি সার্ভার আপনাকে আপনার ডেটা ডাউনলোড এবং পুনরুদ্ধার করতে দেয় তবে পদ্ধতিটি প্রযোজ্য। আক্রমণটির এই রূপটিতে, কোনও আক্রমণকারী ব্যবহারকারীর আসল এইচটিটিপি অনুরোধের কিছু অংশ যেমন কুকির শিরোনামের বিষয়বস্তু সংরক্ষণ করতে পারে, উদাহরণস্বরূপ, যদি এফটিপি সার্ভার অনুরোধটিকে ফাইল হিসাবে সংরক্ষণ বা রেজিস্টার করার জন্য ব্যাখ্যা করে থাকে সম্পূর্ণ. আগত অনুরোধ। একটি সফল আক্রমণটির জন্য, একজন আক্রমণকারীকে কোনওভাবে সঞ্চিত সামগ্রী পুনরুদ্ধার করতে হবে। আক্রমণটি প্রফ্টপডি, মাইক্রোসফ্ট আইআইএস, ভার্সফ্টপিডি, ফাইলজিলা এবং সার্ভ-ইউ-এর জন্য প্রযোজ্য।
- ক্রস-সাইট স্ক্রিপ্টিং (এক্সএসএস) এর জন্য ডাউনলোড করুন: পদ্ধতিটি বোঝায় যে কোনও আক্রমণকারী, কিছু স্বতন্ত্র হেরফেরের ফলস্বরূপ, একটি সাধারণ টিএলএস শংসাপত্র ব্যবহার করে কোনও পরিষেবাতে ডেটা স্থাপন করতে পারে, যা ব্যবহারকারীর অনুরোধের জবাবে জারি করা যেতে পারে। আক্রমণটি পূর্বোক্ত এফটিপি সার্ভার, আইএমএপি সার্ভার এবং পিওপি 3 সার্ভারগুলিতে (কুরিয়ার, সাইরাস, কেরিও-কানেক্ট এবং জিমব্রা) প্রযোজ্য।
- অন্য সাইটের প্রসঙ্গে জাভাস্ক্রিপ্ট চালানোর প্রতিচ্ছবি: পদ্ধতিটি ক্লায়েন্টকে অনুরোধের একটি অংশ ফেরত দেওয়ার উপর ভিত্তি করে, যাতে আক্রমণকারী দ্বারা প্রেরিত জাভাস্ক্রিপ্ট কোড রয়েছে। আক্রমণটি পূর্বোক্ত এফটিপি সার্ভার, সাইরাস, কেরিও-কানেক্ট এবং জিমব্রা আইএমএপি সার্ভারগুলির পাশাপাশি প্রেরণমেল এসএমটিপি সার্ভারের ক্ষেত্রে প্রযোজ্য।
উদাহরণস্বরূপ, যখন কোনও ব্যবহারকারী আক্রমণকারী দ্বারা নিয়ন্ত্রিত কোনও পৃষ্ঠা খোলেন, কোনও সংস্থার জন্য অনুরোধ শুরু করা যেতে পারে এমন কোনও সাইট থেকে যেখানে ব্যবহারকারীদের এই পৃষ্ঠা থেকে সক্রিয় অ্যাকাউন্ট রয়েছে। এমআইটিএম আক্রমণে, ওয়েবসাইটটিতে এই অনুরোধটি কোনও মেল সার্ভারে পুনর্নির্দেশ করা যেতে পারে যা একটি টিএলএস শংসাপত্র ভাগ করে।
যেহেতু মেল সার্ভারটি প্রথম ত্রুটির পরে লগ আউট করে না, তাই সার্ভিস শিরোনাম এবং আদেশগুলি অজানা আদেশ হিসাবে প্রক্রিয়া করা হবে।
মেল সার্ভারটি এইচটিটিপি প্রোটোকলের বিশদ বিশ্লেষণ করে না এবং এর জন্য সার্ভিস শিরোনাম এবং পোষ্ট অনুরোধের ডেটা ব্লক একইভাবে প্রক্রিয়াজাত করা হয়, সুতরাং POST অনুরোধের মূল অংশে আপনি কমান্ডের সাথে একটি লাইন নির্দিষ্ট করতে পারেন মেল সার্ভার
উৎস: https://alpaca-attack.com/