Sebuah tim peneliti dari Universitas Peking, Universitas Tsinghua dan Universitas Texas di Dallas merilis informasi tentang pekerjaan Anda selesai untuk dapat mengidentifikasi kelas baru serangan DoS yang mereka beri nama "RangeAmp" dan yang didasarkan pada penggunaan header HTTP Range untuk mengatur penguatan lalu lintas melalui jaringan pengiriman konten (CDN).
Inti dari metode ini permasalahannya adalah, karena kekhasan pemrosesan header Range pada banyak CDN, seorang penyerang dapat meminta satu byte dari file besar melalui CDN, tapi CDN akan mengunduh seluruh file atau blok data yang jauh lebih besar dari server tujuan untuk penyimpanan dalam cache.
Tingkat penguatan lalu lintas selama serangan jenis ini, menurut CDN, adalah 724 hingga 43330 kali, yang dapat digunakan untuk membebani lalu lintas CDN yang masuk atau mengurangi bandwidth saluran komunikasi akhir ke situs korban.
Header Range memungkinkan klien untuk menentukan kisaran posisi dalam file yang harus dimuat alih-alih mengembalikan seluruh file.
Misalnya, klien dapat menentukan "Range: bytes = 0-1023" dan server hanya akan mengirimkan 1024 byte data pertama. Fitur ini banyak diminati saat mengunduh file besar: pengguna dapat menjeda unduhan lalu melanjutkannya dari posisi terputus. Saat menentukan "byte = 0-0", standar menentukan untuk memberikan byte pertama dalam file, "byte = -1" - yang terakhir, "byte = 1-" - dari 1 byte hingga akhir file. Anda dapat meneruskan beberapa rentang dalam satu tajuk, misalnya "Range: bytes = 0-1023.8192-10240".
Selain itu, opsi serangan kedua diusulkan (disebut serangan RangeAmp Overlapping Byte Ranges (OBR), dirancang untuk meningkatkan beban jaringan ketika lalu lintas diteruskan melalui CDN lain, yang digunakan sebagai proxy (misalnya, ketika Cloudflare bertindak sebagai frontend (FCDN) dan Akamai bertindak sebagai backend (BCDN)). Metode ini menyerupai serangan pertama, tetapi dilokalkan dalam CDN dan memungkinkan Anda meningkatkan lalu lintas saat mengakses melalui CDN lain, meningkatkan beban pada infrastruktur dan mengurangi kualitas layanan.
Idenya adalah bagi penyerang untuk mengirim beberapa rentang ke permintaan rentang CDN, seperti "byte = 0-, 0-, 0 - ...", "byte = 1-, 0-, 0 - ..." atau "byte = - 1024,0-, 0 -…«.
Permintaan berisi banyak rentang "0-", yang menyiratkan kembalinya file dari awal ke akhir. Karena penguraian rentang yang salah saat CDN pertama merujuk ke yang kedua, file lengkap dikembalikan ke setiap pita "0-" (rentang tidak digabungkan, tetapi diurutkan secara berurutan) jika duplikasi rentang dan persimpangan ada dalam permintaan serangan yang semula dikirimkan. Tingkat penguatan lalu lintas dalam serangan tersebut berkisar antara 53 hingga 7432 kali.
Studi ini meneliti perilaku 13 CDN: Akamai, Alibaba Cloud, Azure, CDN77, CDNsun, Cloudflare, CloudFront, Fastly, G-Core Labs, Huawei Cloud, KeyCDN, StackPath, dan Tencent Cloud.
"Sayangnya, meskipun kami mengirim email kepada mereka beberapa kali dan mencoba menghubungi layanan pelanggan mereka, StackPath tidak memberikan umpan balik apa pun," kata tim peneliti.
“Secara keseluruhan, kami telah melakukan yang terbaik untuk melaporkan kerentanan secara bertanggung jawab dan memberikan solusi mitigasi. Penyedia CDN terkait memiliki waktu hampir tujuh bulan untuk menerapkan teknik mitigasi sebelum dokumen ini diterbitkan. "
Semua CDN yang ditinjau mengizinkan jenis serangan pertama pada server target. Versi kedua dari serangan CDN ternyata terkena 6 layanan, dimana empat di antaranya dapat bertindak sebagai antarmuka dalam serangan (CDN77, CDNsun, Cloudflare dan StackPath) dan tiga dalam peran sebagai back-end (Akamai, Azure dan StackPath).
Perolehan tertinggi dicapai di Akamai dan StackPath, yang memungkinkan Anda untuk menunjukkan lebih dari 10 peringkat dalam tajuk Peringkat.
Pemilik CDN telah diberi tahu tentang kerentanan sekitar 7 bulan yang lalu dan pada saat keterbukaan informasi publik, 12 dari 13 CDN menyelesaikan masalah yang diidentifikasi atau menyatakan kesediaan mereka untuk menyelesaikannya.
sumber: https://www.liubaojun.org