यह खबर हाल ही में एक द्वारा जारी की गई थी जर्मनी के विभिन्न विश्वविद्यालयों के शोधकर्ताओं का समूह, कौनने HTTPS के विरुद्ध एक नई MITM आक्रमण विधि विकसित की है, जो सत्र आईडी और अन्य संवेदनशील डेटा के साथ कुकीज़ निकालने के साथ-साथ किसी अन्य साइट के संदर्भ में मनमाना जावास्क्रिप्ट कोड निष्पादित करने की अनुमति देता है।
हमले को कहा जाता है ALPACA और इसे TLS सर्वर पर लागू किया जा सकता है वे विभिन्न एप्लिकेशन लेयर प्रोटोकॉल (HTTPS, SFTP, SMTP, IMAP, POP3) लागू करते हैं, लेकिन सामान्य TLS प्रमाणपत्रों का उपयोग करते हैं।
हमले का सार यह है कि यदि किसी गेटवे पर नियंत्रण है नेटवर्क या वायरलेस एक्सेस प्वाइंट, एक हमलावर ट्रैफ़िक को किसी भिन्न नेटवर्क पोर्ट पर पुनर्निर्देशित कर सकता है और HTTP सर्वर से नहीं, बल्कि TLS एन्क्रिप्शन का समर्थन करने वाले FTP या मेल सर्वर से कनेक्शन स्थापित करने की व्यवस्था करें।
प्रोटोकॉल के बाद से टीएलएस सार्वभौमिक है और एप्लिकेशन लेयर प्रोटोकॉल से बंधा नहीं है, सभी सेवाओं के लिए एन्क्रिप्टेड कनेक्शन की स्थापना समान है, और प्रसंस्करण के दौरान एन्क्रिप्टेड सत्र की स्थापना के बाद ही गलत सेवा के लिए अनुरोध भेजने में त्रुटि का पता लगाया जा सकता है। भेजे गए अनुरोध के आदेशों की.
तदनुसार, यदि, उदाहरण के लिए, उपयोगकर्ता के कनेक्शन को पुनर्निर्देशित करता है, प्रारंभ में HTTPS को निर्देशित किया गया, HTTPS सर्वर के साथ एक सामान्य प्रमाणपत्र का उपयोग करके एक मेल सर्वर पर, TLS कनेक्शन सफलतापूर्वक स्थापित किया जाएगा, लेकिन मेल सर्वर प्रेषित HTTP कमांड को संसाधित करने में सक्षम नहीं होगा और एक त्रुटि कोड के साथ प्रतिक्रिया लौटाएगा . इस प्रतिक्रिया को ब्राउज़र द्वारा अनुरोधित साइट से प्रतिक्रिया के रूप में संसाधित किया जाएगा, जो एक उचित रूप से स्थापित एन्क्रिप्टेड संचार चैनल के भीतर प्रसारित होगा।
तीन आक्रमण विकल्प प्रस्तावित हैं:
- प्रमाणीकरण मापदंडों के साथ कुकी पुनः प्राप्त करने के लिए "अपलोड करें": यह विधि तब लागू होती है जब टीएलएस प्रमाणपत्र द्वारा कवर किया गया एफ़टीपी सर्वर आपको अपना डेटा डाउनलोड करने और पुनः प्राप्त करने की अनुमति देता है। हमले के इस संस्करण में, एक हमलावर उपयोगकर्ता के मूल HTTP अनुरोध के कुछ हिस्सों को संरक्षित कर सकता है, जैसे कि कुकी हेडर की सामग्री, उदाहरण के लिए, यदि एफ़टीपी सर्वर अनुरोध को एक सेव फ़ाइल के रूप में समझता है या इसे डिफ़ॉल्ट रूप से लॉग करता है .पूर्ण. आने वाले अनुरोध. एक सफल हमले के लिए, एक हमलावर को किसी तरह संग्रहीत सामग्री को पुनर्प्राप्त करने की आवश्यकता होती है। यह हमला PROFTPD, Microsoft IIS, vsftpd, filezilla और serv-u पर लागू है।
- क्रॉस-साइट स्क्रिप्टिंग (XSS) के लिए "डाउनलोड करें": विधि का तात्पर्य है कि एक हमलावर, कुछ स्वतंत्र जोड़तोड़ के परिणामस्वरूप, एक सामान्य टीएलएस प्रमाणपत्र का उपयोग करके सेवा में डेटा डाल सकता है, जिसे तब उपयोगकर्ता के अनुरोध के जवाब में जारी किया जा सकता है। यह हमला उपरोक्त FTP सर्वर, IMAP सर्वर और POP3 सर्वर (कूरियर, साइरस, केरियो-कनेक्ट और ज़िम्ब्रा) पर लागू है।
- किसी अन्य साइट के संदर्भ में जावास्क्रिप्ट चलाने पर विचार: यह विधि क्लाइंट को अनुरोध का एक हिस्सा लौटाने पर आधारित है, जिसमें हमलावर द्वारा भेजा गया जावास्क्रिप्ट कोड होता है। यह हमला उपरोक्त एफ़टीपी सर्वर, साइरस, केरियो-कनेक्ट और जिम्ब्रा आईएमएपी सर्वर के साथ-साथ सेंडमेल एसएमटीपी सर्वर पर भी लागू है।
उदाहरण के जब कोई उपयोगकर्ता किसी हमलावर द्वारा नियंत्रित पृष्ठ खोलता है, तो संसाधन के लिए अनुरोध शुरू किया जा सकता है उस साइट से जहां उपयोगकर्ता के पास इस पृष्ठ से एक सक्रिय खाता है। एमआईटीएम हमले में, वेबसाइट के इस अनुरोध को एक मेल सर्वर पर पुनर्निर्देशित किया जा सकता है जो टीएलएस प्रमाणपत्र साझा करता है।
चूंकि मेल सर्वर पहली त्रुटि के बाद सत्र समाप्त नहीं करता है, सेवा हेडर और कमांड को अज्ञात कमांड के रूप में संसाधित किया जाएगा।
मेल सर्वर HTTP प्रोटोकॉल के विवरण को पार्स नहीं करता है और इसके लिए POST अनुरोध के सर्विस हेडर और डेटा ब्लॉक को उसी तरह संसाधित किया जाता है, इसलिए, POST अनुरोध के मुख्य भाग में, आप इसके साथ एक पंक्ति निर्दिष्ट कर सकते हैं मेल सर्वर को आदेश.
Fuente: https://alpaca-attack.com/