Ett team av forskare från Peking University, Tsinghua University och University of Texas i Dallas släppt information om ditt arbete gjort för att kunna identifiera en ny klass av DoS-attacker som de kallade "RangeAmp" och som är baserade på användningen av Range HTTP-rubriken för att organisera förstärkning av trafik genom innehållsleveransnätverket (CDN).
Kärnan i metoden Saken är den, på grund av besväret att bearbeta Range headers på många CDN, en angripare kan begära en byte från en stor fil via CDN, men CDN laddar ner hela filen eller ett betydligt större datablock från destinationsservern för cachning.
Graden av trafikförstärkning under en attack av denna typ, enligt CDN, är 724 till 43330 gånger, vilket kan användas för att överbelasta den inkommande CDN-trafiken eller minska bandbredden för den slutliga kommunikationskanalen till offrets plats.
Range-rubriken tillåter klienten att bestämma positionens intervall i filen som ska laddas istället för att returnera hela filen.
Till exempel kan klienten ange "Range: bytes = 0-1023" och servern överför endast de första 1024 bytes data. Denna funktion är mycket efterfrågad vid nedladdning av stora filer: användaren kan pausa nedladdningen och sedan fortsätta den från avbruten position. När du anger "bytes = 0-0" föreskriver standarden att den första byten i filen, "bytes = -1" - den sista, "bytes = 1-" - från 1 byte till slutet av filen. Du kan skicka flera intervall i en rubrik, till exempel "Range: bytes = 0-1023.8192-10240".
Dessutom, ett andra attackalternativ föreslogs (det kallas RangeAmp Overlapping Byte Ranges (OBR) attack, utformad för att öka nätverksbelastningen när trafik vidarebefordras via en annan CDN, som används som en proxy (till exempel när Cloudflare fungerar som frontend (FCDN) och Akamai fungerar som backend (BCDN)). Metoden liknar den första attacken, men är lokaliserad inom CDN och låter dig öka trafiken när du kommer åt via andra CDN, ökar belastningen på infrastrukturen och minskar servicekvaliteten.
Tanken är att angriparen ska skicka flera intervall till CDN-intervallbegäran, som "bytes = 0-, 0-, 0 - ...", "bytes = 1-, 0-, 0 - ..." eller "bytes = - 1024,0-, 0 -…«.
Förfrågningar innehåller ett stort antal "0-" intervall, vilket innebär att filen återlämnas från början till slutet. På grund av felaktig områdesanalys när den första CDN hänvisar till den andra, returneras en fullständig fil till varje "0-" -band (intervallen är inte aggregerade utan ordnas sekventiellt) om avståndsduplicering och skärningspunkt finns i attackbegäran som ursprungligen skickades. Graden av trafikförstärkning i en sådan attack varierar från 53 till 7432 gånger.
Studien undersökte beteendet hos 13 CDN: er: Akamai, Alibaba Cloud, Azure, CDN77, CDNsun, Cloudflare, CloudFront, Fastly, G-Core Labs, Huawei Cloud, KeyCDN, StackPath och Tencent Cloud.
"Tyvärr, även om vi mailade dem flera gånger och försökte kontakta deras kundtjänster, gav StackPath ingen feedback", säger forskargruppen.
”Sammantaget har vi gjort vårt bästa för att ansvarsfullt rapportera sårbarheter och tillhandahålla mildrande lösningar. Relaterade CDN-leverantörer har haft nästan sju månader på sig att implementera begränsningstekniker innan detta dokument publicerades. "
Alla granskade CDN: er tillät den första typen av attack på målservern. Den andra versionen av CDN-attacken visade sig exponeras för 6 tjänster, varav fyra kan fungera som ett gränssnitt i attacken (CDN77, CDNsun, Cloudflare och StackPath) och tre i rollen som en back-end (Akamai, Azure och StackPath).
Den högsta vinsten uppnås i Akamai och StackPath, vilket gör att du kan ange mer än 10 XNUMX rankningar i rubriken Rank.
CDN-ägare underrättades om av sårbarheter ungefär 7 månader sedan och vid offentliggörandet av information löste 12 av 13 CDN: er de identifierade problemen eller uttryckte sin vilja att lösa dem.
Fuente: https://www.liubaojun.org