搜索

[8008] 2014-05-06_一周海外安全事件回顾（20140428-0504）

文档创建者：s7ckTeam
浏览次数：6
最后更新：2025-01-17
2014-05-06_一周海外安全事件回顾（20140428-0504） 一 周 海 外 安 全 事 件 回 顾 （ 2 0 1 4 0 4 2 8 - 0 5 0 4 ） F r e e B u f   2 0 1 4 - 0 5 - 0 6 作 者   b l a c k s c r e e n 上 周 一 件 值 得 关 注 的 事 情 ， 就 是 上 周 一 件 值 得 关 注 的 事 情 ， 就 是 F a c e b o o k 先 否 认 、 后 拒 绝 支 付 赏 金 给 先 否 认 、 后 拒 绝 支 付 赏 金 给 C h a m a n   T h a p a 。 。 T h a p a 称 发 现 了 可 利 用 称 发 现 了 可 利 用 F a c e b o o k N o t e s 服 务 漏 洞 发 起 反 射 服 务 漏 洞 发 起 反 射 D D o S 攻 击 。 攻 击 。 更 有 意 思 的 ， F a c e b o o k 的 结 论 得 到 很 多 安 全 专 家 的 支 持 。 从 这 个 事 情 我 们 再 比 较 一 下 几 个 国 外 大 厂 的 漏 洞 赏 金 计 划 。 谁 最 大 方 呢 ？ F a c e b o o k “ 无 法 修 复 无 法 修 复 ” （ （ w o n ' t   f i x ） 的 漏 洞 ） 的 漏 洞 关 于 F a c o b o o k （ 以 下 简 称 F B ） 上 周 先 否 认 、 后 拒 绝 支 付 赏 金 给 独 立 安 全 研 究 者 C h a m a n   T h a p a   发 现 的 F B   N o t e s 服 务 漏 洞 的 事 件 ， F r e e b u f 也 发 表 了 相 应 的 译 文 ， T a s k i l l e r 同 学 已 经 在 《 我 是 如 何 利 用 F B   D D o S 攻 击 任 意 网 站 的 》 一 文 中 做 了 很 好 地 阐 述 ， 事 件 的 整 个 过 程 在 这 里 就 不 再 赘 述 。 从 C h a m a n   T h a p a 的 P o C 中 可 以 看 到 ， 用 一 台 V M 打 出 9 0 0 M b p s 的 H T T P   G E T   F l o o d 应 该 是 不 错 的 “ 成 绩 ” 。 如 果 按 照 这 个 比
例 ， 1 0 0 个 个 F B 用 户 发 起 类 似 的 攻 击 ， 将 可 以 打 出 近 用 户 发 起 类 似 的 攻 击 ， 将 可 以 打 出 近 1 0 0 G b p s 的 的 7 层 层 D D o S 流 量 。 流 量 。 （ 注 ： 攻 击 采 用 了 放 大 机 制 ， 即 用 P D F 文 件 替 换 普 通 的 图 片 文 件 ） 然 而 ， 对 于 如 此 “ 让 人 震 惊 ” 的 结 果 ， F B 的 答 复 是 ： “ I n   t h e   e n d ,   t h e   c o n c l u s i o n   i s   t h a t   t h e r e ’ s   n o   r e a l   w a y   t o   u s   f i x   t h i s   t h a t   w o u l d   s t o p “ a t t a c k s ”   a g a i n s t   s m a l l   c o n s u m e r   g r a d e   s i t e s   w i t h o u t   a l s o   s i g n i f i c a n t l y   d e g r a d i n g   t h e   o v e r a l l   f u n c t i o n a l i t y .   U n f o r t u n a t e l y ,   s o - c a l l e d   “ w o n ’ t   f i x ” i t e m s   a r e n ’ t   e l i g i b l e   u n d e r   t h e   b u g   b o u n t y   p r o g r a m ,   s o   t h e r e   w o n ’ t   b e   a   r e w a r d   f o r   t h i s   i s s u e . ” （ 最 后 的 结 论 是 ， 在 不 会 明 显 影 响 网 站 整 体 功 能 的 情 况 下 ， 我 们 暂 时 没 有 办 法 真 正 修 复 这 个 问 题 使 其 不 被 用 来 “ 攻 击 ” 小 网 站 。 遗 憾 的 是 ， 由 于 所 谓 的 “ 无 法 修 复 ” ， 该 b u g 不 符 合 b u g 奖 励 计 划 ， 所 以 对 该 问 题 的 报 告 也 就 不 会 有 奖 励 。 ） （ 注 ： 译 文 来 自 T a s k i l l e r ） 单 纯 从 数 字 上 看 ， 这 本 应 该 是 一 个 不 小 的 问 题 。 然 而 ， 不 少 安 全 专 家 表 态 ， 支 持 F B 的 结 论 — — 这 不 是 一 个 严 重 的 问 题 。 先 别 急 “ 问 候 ” 他 们 的 家 人 ， 我 们 先 看 看 大 家 是 怎 么 说 的 。 全 球 N o . 1   的 D D o S 防 护 厂 商 A r b o r 跳 出 来 说 — — 这 种 攻 击 在 实 际 中 价 值 不 大 。 A r b o r 公 司 安 全 工 程 和 应 急 小 组 的 分 析 师 说 ， “ 我 不 可 能 选 择 这 种 攻 击 手 段 。 ” A r b o r 公 司 的 研 究 总 监 也 认 为 ， “ （ 这 样 的 攻 击 ） 用 现 有 的 防 护 技 术 就 可 以 防 护 ” 。 还 有 的 专 家 认 为 ， T h a p a 的 攻 击 流 量 相 对 太 小 （ t i n y ） ， 对 网 站 的 威 胁 不 大 。 此 外 ， 更 有 观 点 认 为 攻 击 者 可 以 选 择 的 反 射 媒 介 很 多 ， 例 如 D N S 、 N T P 和 C H A R G E N ， 放 着 这 些 现 成 的 资 源 不 用 ， 偏 偏 选 择 F B   N o t e s 实 在 不 划 算 。 也 许 大 家 的 见 识 和 适 应 力 真 的 不 同 以 往 了 — — 1 G 以 下 的 D D o S 看 都 不 看 了 。 A k a m a i ／ P r o l e x i c 刚 发 布 的 季 度 D D o S 报 告 也 大 谈 2 0 0 G b p s 的 D D o S 攻 击 。 可 怜 的 T h a p a ， 面 对 F B 这 样 一 个 庞 然 大 物 ， 9 0 0 M b p s 的 D D o S 真 的 可 能 不 具 备 太 多 的 说 服 力 。 如 果 是 9 0 G 结 果 可 能 会 有 不 同 ； 当 然 ， 也 可 能 会 被 F B I 请 去 喝 茶 。 不 管 怎 样 ， 我 们 不 能 说 F B 不 重 视 安 全 。 从 回 复 中 可 以 看 出 ， F B 把 这 个 问 题 和 业 务 进 行 了 权 衡 。 结 论 是 ， 问 题 存 在 ， 但 是 没 有 大 到 需 要 对 业 务 进 行 调 整 的 程 度 。 难 道 让 F B 因 为 这 个 问 题 就 停 掉 N o t e s 服 务 吗 ？ 或 者 F B 真 的 认 为 这 个 问 题 的 确 不 是 一 个 “ 大 问 题 ” 。 W h o   K n o w s ?   W h o   C a r e s ? 从 从 F B 的 拒 绝 想 到 的 诸 多 赏 金 计 划 的 拒 绝 想 到 的 诸 多 赏 金 计 划 实 际 上 ， 大 家 关 注 F B 对 T h a p a   “ s a y   n o ” 这 个 事 情 ， 其 中 的 一 个 焦 点 就 是 F B 的 赏 金 。 F B 没 说 问 题 不 存 在 ， 而 是 不 给 赏 金 。 可 能 大 家 还 不 知 道 ， F B 是 唯 一 一 个 漏 洞 赏 金 没 有 封 顶 的 厂 商 。 小 伙 伴 们 惊 呆 了 ！ 大 手 笔 啊 ！ 微 软 、 谷 歌 都 弱 爆 了 ！ 且 慢 。 在 下 结 论 之 前 ， 我 们 先 对 比 着 看 一 下 微 软 、 谷 歌 和 F B 的 漏 洞 赏 金 计 划 。
比 较 明 显 ， 国 外 厂 商 的 漏 洞 计 划 普 遍 具 有 排 他 性 ： 给 了 我 就 别 给 别 人 ， 给 了 别 人 我 就 不 给 钱 了 。 其 实 这 也 可 以 理 解 ， 把 我 的 漏 洞 给 了 别 人 ， 还 指 望 我 掏 钱 是 不 太 可 能 的 。 三 个 厂 商 对 比 ， 微 软 相 对 比 较 大 方 — — 1 0 万 美 刀 ！ 不 过 ， 实 际 没 几 个 人 拿 到 （ 笔 者 注 ： T K 教 主 有 幸 成 为 其 中 之 一 ） 。 因 此 ， 这 1 0 万 美 刀 大 多 数 情 况 下 还 是 摆 设 。 那 么 赏 金 “ 上 不 封 顶 ” 的 F B 是 不 是 最 大 方 的 呢 ？ 个 人 认 为 ， 噱 头 的 概 念 更 大 一 些 。 迄 今 为 止 最 大 的 一 笔 应 该 是 去 年 底 巴 西 计 算 机 攻 城 狮 R e g i n a l d o   S i l v a 获 得 的 3 万 多 美 刀 。 最 后 ， 从 F r e e b u f 上 《 我 是 如 何 利 用 F B   D D o S 攻 击 任 意 网 站 的 》 一 文 下 面 的 留 言 里 ， 有 的 朋 友 在 质 疑 F B 的 可 访 问 性 。 这 是 否 也 从 一 个 侧 面 印 证 了 漏 洞 的 价 值 — — 访 问 都 尼 玛 访 问 不 了 ， 反 射 你 妹 啊 ！ （ 注 ： 纯 属 调 侃 ） （ 完 ）
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理