Новость была недавно опубликована группа исследователей из различных университетов Германии, теs разработал новый метод атаки MITM против HTTPS, который позволяет извлекать файлы cookie с идентификаторами сеанса и другими конфиденциальными данными, а также выполнять произвольный код JavaScript в контексте другого сайта.
Атака называется ALPACA и может применяться к серверам TLS Они реализуют различные протоколы прикладного уровня (HTTPS, SFTP, SMTP, IMAP, POP3), но используют общие сертификаты TLS.
Суть атаки в том, что при наличии контроля над шлюзом сеть или точка беспроводного доступа, злоумышленник может перенаправить трафик на другой сетевой порт и организовать соединение не с HTTP-сервером, а с FTP- или почтовым сервером, поддерживающим шифрование TLS.
Поскольку протокол TLS универсален и не привязан к протоколам уровня приложений., установление зашифрованного соединения для всех служб идентично, и ошибка при отправке запроса не той службе может быть обнаружена только после установления зашифрованного сеанса во время обработки. из команд поданного запроса.
Соответственно, если, например, перенаправить подключение пользователя, изначально направленный на HTTPS, на почтовый сервер, использующий общий сертификат с сервером HTTPS, соединение TLS будет успешно установлено, но почтовый сервер не сможет обработать переданные команды HTTP и вернет ответ с кодом ошибки . Этот ответ будет обработан браузером как ответ запрошенного сайта, переданный в правильно установленном зашифрованном канале связи.
Предлагаются три варианта атаки:
- «Загрузить», чтобы получить Cookie с параметрами аутентификации: Метод применим, если FTP-сервер, на который распространяется сертификат TLS, позволяет загружать и извлекать ваши данные. В этом варианте атаки злоумышленник может добиться сохранения частей исходного HTTP-запроса пользователя, таких как содержимое заголовка Cookie, например, если FTP-сервер интерпретирует запрос как файл для сохранения или регистрирует его с помощью полный. входящие запросы. Для успешной атаки злоумышленнику необходимо каким-то образом получить сохраненный контент. Атака применима к Proftpd, Microsoft IIS, vsftpd, filezilla и serv-u.
- Скачать для межсайтового скриптинга (XSS): Метод подразумевает, что злоумышленник в результате некоторых независимых манипуляций может поместить данные в службу, используя общий сертификат TLS, который затем может быть выпущен в ответ на запрос пользователя. Атака применима к вышеупомянутым FTP-серверам, IMAP-серверам и POP3-серверам (courier, cyrus, kerio-connect и zimbra).
- Отражение для запуска JavaScript в контексте другого сайта: Метод основан на возврате клиенту части запроса, которая содержит отправленный злоумышленником код JavaScript. Атака применима к вышеупомянутым FTP-серверам, серверам IMAP cyrus, kerio-connect и zimbra, а также к SMTP-серверу sendmail.
Например, когда пользователь открывает страницу, контролируемую злоумышленником, может быть инициирован запрос ресурса с сайта, на котором у пользователя есть активная учетная запись на этой странице. В атаке MITM Этот запрос на веб-сайт может быть перенаправлен на почтовый сервер, который использует сертификат TLS.
Поскольку почтовый сервер не выходит из системы после первой ошибки, служебные заголовки и команды будут обрабатываться как неизвестные команды.
Почтовый сервер не анализирует детали протокола HTTP, и для этого служебные заголовки и блок данных запроса POST обрабатываются одинаково, поэтому в теле запроса POST вы можете указать строку с командой для почтовый сервер.
источник: https://alpaca-attack.com/