搜索

[16899] 2021-06-12_新型TLS攻击至少影响140万台web服务器

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2021-06-12_新型TLS攻击至少影响140万台web服务器 新 型 T L S 攻 击 至 少 影 响 1 4 0 万 台 w e b 服 务 器 中 科 天 齐 软 件   F r e e B u f   2 0 2 1 - 0 6 - 1 2 网 络 安 全 研 究 人 员 披 露 一 种 新 型 网 络 攻 击 ， 这 种 攻 击 利 用 传 输 层 安 全 ( T L S ) 服 务 器 中 的 错 误 配 置 将 H T T P S 流 量 从 受 害 者 的 W e b 浏 览 器 重 定 向 到 位 于 另 一 个 I P 地 址 的 不 同 T L S 服 务 端 点 ， 从 而 窃 取 敏 感 信 息 ， 而 静 态 代 码 检 测 有 助 防 范 新 型 T L S   攻 击 。 研 究 人 员 将 这 种 攻 击 成 为 “ A L P A C A ” ( A n a l y z i n g   a n d   m i t i g a t i n g   C r a c k s   i n   t l s   A u t h e n t i c a t i o n ) 即 “ 应 用 层 协 议 混 淆 - 分 析 和 减 轻 t l s 身 份 验 证 中 的 裂 缝 ” 的 缩 写 。 攻 击 者 可 以 将 流 量 从 要 给 子 域 重 定 向 到 另 一 个 子 域 ， 从 而 产 生 有 效 的 T L S 会 话 ， 这 打 破 了 T L S 的 身 份 验 证 ， 可 能 会 出 现 跨 站 脚 本 攻 击 ， 其 中 一 个 协 议 服 务 的 行 为 可 能 会 在 应 用 层 危 及 另 一 个 协 议 。 T L S 作 用 作 用 T L S 是 一 种 加 密 协 议 ， 用 于 在 两 个 通 信 应 用 程 序 之 间 提 供 保 密 性 和 数 据 完 整 性 。 支 持 多 种 应 用 层 协 议 ， 如 H T T P S 、 S M T P 、 I M A P 、 P O P 3   和   F T P 以 保 护 网 络 通 信 安 全 ， 该 协 议 由 两 层 组 成 ： T L S   记 录 协 议 ( T L S   R e c o r d ) 和   T L S   握 手 协 议 ( T L S   H a n d s h a k e ) 。 T L S 记 录 协 议 提 供 的 连 接 安 全 性 有 2 个 基 本 特 性 ： 1 、 私 有 ， 对 称 加 密 用 以 数 据 加 密 ( D E S 等 ) 。 对 称 加 密 所 产 生 的 密 钥 对 每 个 连 接 都 是 唯 一 的 ， 且 此 密 钥 基 于 另 一 个 协 议 ( 如 握 手 协 议 ) 协 商 。 2 、 可 靠 ， 信 息 传 输 包 括 使 用 密 钥 的 M A C 进 行 信 息 完 整 性 检 查 。 安 全 哈 希 功 能 ( S H A 、 M D 5   等 ) 用 于 M A C 计 算 。 记 录 协 议 在 没 有 M A C 的 情 况 下 也 能 操 作 ， 但 一 般 只 能 用 于 这 种 模 式 ， 即 有 另 一 个 协 议 正 在 使 用 记 录 协 议 传 输 协 商 安 全 参 数 。 A L P A C A 攻 击 如 何 实 现 攻 击 如 何 实 现 ? 网 络 安 全 研 究 人 员 称 ， A L P A C A 攻 击 之 所 以 可 以 实 现 ， 因 为 T L S 没 有 将 T C P 连 接 绑 定 到 预 期 的 应 用 层 协 议 上 。 因 此 ， T L S 未 能 保 护 T C P 连 接 的 完 整 性 ， 可 能 被 滥 用 为 将 预 期 的 T L S 服 务 端 点 和 协 议 的 T L S 通 信 重 定 向 到 另 一 个 替 代 的 T L S 服 务 端 点 和 协 议 。 由 于 客 户 端 使 用 特 定 协 议 打 开 与 目 标 服 务 器 ( 如 H T T P S ) 的 安 全 通 道 ， 而 替 代 服 务 器 使 用 不 同 的 应 用 层 协 议 ( F T P ) 并 在
单 独 的 T C P 端 点 上 运 行 ， 因 此 发 生 混 淆 从 而 导 致 所 谓 的 跨 站 脚 本 攻 击 。 目 前 ， 发 现 至 少 3 中 假 设 的 跨 站 脚 本 攻 击 场 景 ， 攻 击 者 可 以 利 用 这 些 场 景 来 绕 过 T L S 保 护 ， 并 攻 击 F T P 和 电 子 邮 件 服 务 器 ， 但 攻 击 的 前 提 是 攻 击 者 能 够 在 T C P / I P 层 拦 截 和 转 移 受 害 者 的 流 量 。 简 单 来 说 ， 攻 击 采 取 中 间 人 ( M i t M ) 方 案 的 形 式 ， 其 中 攻 击 者 诱 使 受 害 者 打 开 他 们 控 制 的 网 站 以 发 出 带 有 特 制 F T P 负 载 的 跨 域 H T T P S 请 求 ， 然 后 将 此 请 求 重 定 向 到 使 用 与 网 站 兼 容 的 证 书 的 F T P 服 务 器 ， 最 终 形 成 有 效 T L S 会 话 。 因 此 ， T L S 服 务 中 的 错 误 配 置 可 以 被 利 用 来 将 身 份 验 证 c o o k i e 或 其 他 私 有 数 据 泄 露 到 F T P 服 务 器 ( 上 传 攻 击 ) ， 在 存 储 的 跨 站 脚 本 攻 击 中 从 F T P 服 务 器 检 索 恶 意 J a v a S c r i p t 负 载 ， 甚 至 在 受 害 者 网 站 的 上 下 文 中 执 行 反 射 跨 站 脚 本 攻 击 。 新 型 网 络 攻 击 影 响 新 型 网 络 攻 击 影 响 预 计 所 有 证 书 与 其 他 T L S 服 务 兼 容 的 T L S 服 务 器 都 将 受 到 影 响 。 在 实 验 设 置 中 ， 研 究 人 员 发 现 至 少 有 1 4 0 万 台 w e b 服 务 器 容 易 受 到 跨 协 议 攻 击 ， 其 中 1 1 4 1 9 7 台 服 务 器 被 认 为 容 易 受 到 攻 击 ， 它 们 使 用 可 利 用 的 S M T P 、 I M A P 、 P O P 3 或 F T P 以 及 可 信 和 兼 容 的 证 书 。 关 于 跨 站 脚 本 攻 击 关 于 跨 站 脚 本 攻 击 除 了 以 上 攻 击 类 型 ， 常 见 跨 站 脚 本 攻 击 一 般 是 系 统 漏 洞 产 生 的 。 攻 击 者 在 W e b 页 面 插 入 恶 意 代 码 ， 当 用 户 浏 览 网 页 时 ， 嵌 在 W e b 里 面 的 代 码 会 被 执 行 从 而 实 现 跳 转 造 成 信 息 泄 露 或 其 他 恶 意 行 为 。 这 些 漏 洞 可 能 会 允 许 攻 击 者 窃 取 c o o k i e 、 记 录 键 盘 敲 击 、 捕 捉 屏 幕 截 图 、 发 现 和 收 集 网 络 信 息 ， 以 及 远 程 访 问 和 控 制 受 害 者 的 设 备 ， 造 成 的 影 响 无 法 估 计 。 跨 站 脚 本 攻 击 是 O W A S P   T o p 1 0 中 第 二 普 遍 问 题 ， 存 在 于 三 分 之 二 的 应 用 程 序 中 。 但 其 实 跨 站 脚 本 攻 击 很 容 易 被 预
防 ， 只 要 在 开 发 阶 段 通 过 静 态 代 码 检 测 技 术 就 可 以 发 现 ， 问 题 在 于 开 发 人 员 此 时 是 否 意 识 到 代 码 安 全 检 测 的 重 要 性 。 静 态 代 码 安 全 检 测 技 术 和 漏 洞 扫 描 、 防 火 墙 、 入 侵 检 测 系 统 互 相 配 合 ， 能 够 有 效 提 高 网 络 的 安 全 性 。 通 过 静 态 代 码 检 测 可 以 在 开 发 阶 段 对 所 有 代 码 缺 陷 实 时 查 找 并 修 复 ， 如 果 说 防 火 墙 和 网 络 监 视 系 统 是 被 动 的 防 御 手 段 ， 那 么 静 态 代 码 检 测 就 是 一 种 主 动 的 防 范 措 施 ， 能 有 效 查 找 系 统 漏 洞 避 免 黑 客 攻 击 行 为 ， 做 到 防 患 于 未 然 。 参 读 链 接 ： h t t p s : / / w w w . w o o c o o m . c o m / b 0 2 1 . h t m l ? i d = b e 4 8 a 0 d f 8 4 3 3 4 0 c 1 8 8 0 f f 4 f a 3 1 3 4 c 9 5 1 h t t p s : / / t h e h a c k e r n e w s . c o m / 2 0 2 1 / 0 6 / n e w - t l s - a t t a c k - l e t s - a t t a c k e r s - l a u n c h . h t m l 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理