Zespół badaczy z Uniwersytetu Pekińskiego, Uniwersytetu Tsinghua i Uniwersytetu Teksasu w Dallas opublikowane informacje o Twoja praca wykonana w celu identyfikacji nowa klasa ataków DoS, którą nazwali „RangeAmp” i które są oparte na wykorzystaniu nagłówka Range HTTP do organizowania wzmocnienia ruchu przez sieć dostarczania treści (CDN).
Istota metody rzecz w tym, z powodu dziwactwa przetwarzania nagłówków Range w wielu sieciach CDN, napastnik może zażądać bajtu z dużego pliku przez CDN, ale CDN pobierze cały plik lub znacznie większy blok danych z serwera docelowego do buforowania.
Stopień wzmocnienia ruchu podczas tego typu ataku, według CDN, wynosi od 724 do 43330 razy, co można wykorzystać do przeciążenia przychodzącego ruchu CDN lub zmniejszenia przepustowości końcowego kanału komunikacyjnego do miejsca ofiary.
Nagłówek Range umożliwia klientowi określenie zakresu pozycji w pliku który powinien zostać załadowany zamiast zwracać cały plik.
Na przykład klient może określić „Zakres: bajty = 0-1023”, a serwer prześle tylko pierwsze 1024 bajty danych. Ta funkcja jest bardzo pożądana podczas pobierania dużych plików: użytkownik może wstrzymać pobieranie, a następnie kontynuować je od przerwanej pozycji. Określając „bajty = 0-0”, standard nakazuje podanie pierwszego bajtu w pliku, „bajtów = -1” - ostatniego, „bajtów = 1-” - od 1 bajtu do końca pliku. W jednym nagłówku można przekazać wiele zakresów, na przykład „Zakres: bajty = 0-1023.8192-10240”.
Ponadto, zaproponowano drugą opcję ataku (nazywa się to atakiem RangeAmp Overlapping Byte Ranges (OBR), zaprojektowany w celu zwiększenia obciążenia sieci gdy ruch jest przekazywany przez inną sieć CDN, która jest używana jako serwer proxy (na przykład, gdy Cloudflare działa jako frontend (FCDN), a Akamai działa jako backend (BCDN)). Metoda przypomina pierwszy atak, ale jest zlokalizowana w sieciach CDN i umożliwia zwiększenie ruchu podczas uzyskiwania dostępu przez inne sieci CDN, zwiększając obciążenie infrastruktury i obniżając jakość usług.
Chodzi o to, aby atakujący wysłał wiele zakresów do żądania zakresu CDN, na przykład „bajty = 0-, 0-, 0 - ...”, „bajty = 1-, 0-, 0 - ...” lub "bajty = - 1024,0-, 0 -…«.
Żądania zawierają dużą liczbę zakresów „0-”, co oznacza powrót pliku od początku do końca. Z powodu nieprawidłowego analizowania zakresów, gdy pierwszy CDN odnosi się do drugiego, pełny plik jest zwracany do każdego pasma „0-” (zakresy nie są agregowane, ale uporządkowane sekwencyjnie), jeśli w pierwotnie przesłanym żądaniu ataku występuje duplikacja i przecięcie zakresu. Stopień wzmocnienia ruchu w takim ataku waha się od 53 do 7432 razy.
W badaniu zbadano zachowanie 13 sieci CDN: Akamai, Alibaba Cloud, Azure, CDN77, CDNsun, Cloudflare, CloudFront, Fastly, G-Core Labs, Huawei Cloud, KeyCDN, StackPath i Tencent Cloud.
„Niestety, mimo że wielokrotnie wysyłaliśmy do nich e-maile i próbowaliśmy skontaktować się z działem obsługi klienta, StackPath nie dostarczył żadnych informacji zwrotnych” - powiedział zespół badawczy.
„Ogólnie rzecz biorąc, dołożyliśmy wszelkich starań, aby odpowiedzialnie zgłaszać luki w zabezpieczeniach i dostarczać rozwiązania łagodzące. Powiązani dostawcy CDN mieli prawie siedem miesięcy na wdrożenie technik łagodzenia skutków, zanim ten dokument został opublikowany ”.
Wszystkie sprawdzone sieci CDN dopuszczały pierwszy typ ataku na serwer docelowy. Druga wersja ataku CDN okazała się być narażona na 6 usług, z których cztery mogą pełnić rolę interfejsu w ataku (CDN77, CDNsun, Cloudflare i StackPath), a trzy w roli zaplecza (Akamai, Azure i StackPath).
Największy zysk osiąga się w Akamai i StackPath, które pozwalają wskazać ponad 10 stopni w nagłówku Rank.
Właściciele CDN zostali powiadomieni o podatności około 7 miesięcy temu aw momencie publicznego ujawnienia informacji 12 z 13 CDN rozwiązało zidentyfikowane problemy lub wyraziło chęć ich rozwiązania.
źródło: https://www.liubaojun.org