Phát hiện 4 biến thể mới của HTTP Request Smuggling

Đào Công
08/09/2020 16:17
D

Một nghiên cứu gần đây đã tiết lộ về 4 biến thể mới của kỹ thuật tấn công HTTP request smuggling. Chúng được sử dụng để nhắm tới các máy chủ web và máy chủ proxy HTTP thương mại. Các biến thể này đã cho thấy máy chủ web và máy chủ proxy HTTP vẫn dễ bị ảnh hưởng bởi HTTP request smuggling mặc dù nó đã được phát hiện lần đầu tiên từ 15 năm trước.

HTTP Request Smuggling 

HTTP request smuggling (Tấn công bất đồng bộ HTTP) là một kỹ thuật được sử dụng để can thiệp vào quá trình trang web xử lý các chuỗi yêu cầu HTTP nhận được từ một hay nhiều người dùng.

Các lỗ hổng liên quan đến HTTP request smuggling thường xuất hiện khi front-end và các máy chủ back-end có bất đồng trong việc xử lý các yêu cầu HTTP. Từ đó cho phép kẻ tấn công gửi hoặc đánh cắp một yêu cầu không xác định và ghép nó vào yêu cầu của người dùng tiếp theo.

Việc không đồng bộ các yêu cầu có thể bị khai thác để đánh cắp thông tin đăng nhập, đưa về các phản hồi sai cho người dùng, thậm chí là lấy cắp dữ liệu từ yêu cầu của nạn nhân, sau đó chuyển thông tin đến máy chủ do kẻ tấn công kiểm soát.

Kỹ thuật này được trình bày lần đầu tiên vào năm 2005 bởi một nhóm các nhà nghiên cứu từ Watchfire gồm: Klein, Chaim Linhart, Ronen Heled và Steve Orrin. Tuy nhiên, trong 5 năm qua những kẻ tấn công bổ sung thêm một số cải tiến mới, khiến phạm vi tấn công lớn hơn.

Các biến thể có thể ghép các yêu cầu lại với nhau và chiếm được quyền truy cập tối đa vào API nội bộ gây nhiễm độc web cache và xâm nhập vào trang đăng nhập của các ứng dụng phổ biến.  

Các biến thể mới này được Klein, Phó Giám đốc Nghiên cứu Bảo mật tại SafeBreach tiết lộ: kết hợp sử dụng nhiều proxy-server khác nhau, bao gồm Abyss của Aprelium, Microsoft IIS, Apache và Tomcat trong chế độ web-server và Nginx, Squid, HAProxy, Caddy và Traefik trong chế độ HTTP proxy.

Dưới đây là bốn biến thể mới được phát hiện và một biến thể cũ mà Klein đã khai thác thành công trong các nghiên cứu của mình:

Variant 1: “Header SP/CR junk: …”

Variant 2 – “Wait for It”

Variant 3 – HTTP/1.2 to bypass mod_security-like defense

Variant 4 – a plain solution

Variant 5 – “CR header” 

Khi xử lý các yêu cầu HTTP chứa hai tiêu đề Content - Length, thì Abyss đã được phát hiện chỉ chấp nhận tiêu đề thứ hai là hợp lệ, trong khi Squid sử dụng tiêu đề đầu tiên, do đó dẫn đến việc hai máy chủ xử lý các yêu cầu khác nhau và làm xuất hiện “request smuggling”.

Trong trường hợp Abyss nhận được một yêu cầu HTTP với nội dung có độ dài nhỏ hơn giá trị Content - Length được chỉ định, nó sẽ đợi 30 giây để thực hiện yêu cầu nhưng không bỏ qua nội dung còn lại của yêu cầu. Klein thấy rằng điều này cũng dẫn đến sự khác biệt giữa Squid và Abyss, bởi các phần xử lý sau của một yêu cầu HTTP sẽ được gửi đi như một yêu cầu thứ hai.

Biến thể thứ ba của phương pháp này sử dụng HTTP/1.2 để phá vỡ hệ thống phòng thủ của tường lửa web (WAF-Web application firewall). Trong Bộ quy tắc cốt lõi (Computer reservation - CRS) của OWASP ModSecurity, tường lửa này được định rõ là dùng để ngăn chặn việc các cuộc tấn công HTTP request smuggling thực hiện các hành vi mang tính độc hại.

Cuối cùng, Klein phát hiện ra rằng sử dụng trường tiêu đề “Content - Type: text/plain” cũng đủ để vượt qua khâu kiểm tra paranoia mức độ 1 và 2 được chỉ định trong CRS và làm xuất hiện một lỗ hổng HTTP Request Smuggling.

Những biện pháp bảo vệ khả thi 
Sau khi phát hiện này được công bố cho Aprelium, Squid và OWASP CRS, các vấn đề đã được khắc phục trong Abyss X1 phiên bản 2.14, Squid phiên bản 4.12, 5.0.3 và CRS phiên bản 3.3.0.

Klein kêu gọi tiêu chuẩn hóa các yêu cầu HTTP gửi đi từ các máy chủ proxy và nhấn mạnh sự cần thiết của một giải pháp tường lửa mạnh mẽ dành cho website, mã nguồn mở có khả năng xử lý các cuộc tấn công HTTP Request Smuggling.

“ModSecurity (kết hợp với CRS) quả thực là một dự án mã nguồn mở, nhưng nếu xét về độ mạnh và tính tổng quát, thì ModSecurity còn tồn tại một số nhược điểm. Nó không thể bảo vệ hệ thống hoàn toàn trước các cuộc tấn công HTTP Request Smuggling và nó chỉ khả dụng cho Apache, IIS và nginx,” Klein cho biết.

Để giải quyết vấn đề này, Klein đã cho công bố một thư viện dựa trên C++ trên GitHub. Thư viện này giúp đảm bảo tất cả các yêu cầu HTTP gửi đến là hoàn toàn hợp lệ và được xác định rõ ràng bằng cách yêu cầu nó phải tuân thủ nghiêm ngặt các quy tắc về định dạng tiêu đề HTTP và định dạng dòng yêu cầu.

Theo An toàn Thông tin

Bình luận

Tối thiểu 10 chữ Tiếng việt có dấu Không chứa liên kết

Gửi bình luận

Tin cùng chuyên mục

Nhà mạng Reliance Jio dẫn đầu thị trường mạng 5G FWA tại Ấn Độ

Nhà mạng Reliance Jio dẫn đầu thị trường mạng 5G FWA tại Ấn Độ

Huawei nâng cấp hệ thống HUAWEI Trusense

Huawei nâng cấp hệ thống HUAWEI Trusense

Hạ tầng số Việt Nam: Cơ hội và thách thức

Hạ tầng số Việt Nam: Cơ hội và thách thức

Keysight, NTT Innovative Devices và Lumentum trình diễn giải pháp truyền dữ liệu 448 Gbps

Keysight, NTT Innovative Devices và Lumentum trình diễn giải pháp truyền dữ liệu 448 Gbps

VNPT triển khai hạ tầng số cho nhà ga T3 sân bay Tân Sơn Nhất

VNPT triển khai hạ tầng số cho nhà ga T3 sân bay Tân Sơn Nhất

MobiFone tròn 32 'tuổi' - Hành trình mới, bứt phá mới

MobiFone tròn 32 'tuổi' - Hành trình mới, bứt phá mới

ROG Zephyrus G16: laptop gaming AI 16inch sở hữu RTX 50 series

ROG Zephyrus G16: laptop gaming AI 16inch sở hữu RTX 50 series

So sánh phương pháp ước lượng kênh thưa mmWave MIMO cho công nghệ 5G

So sánh phương pháp ước lượng kênh thưa mmWave MIMO cho công nghệ 5G

Keysight AI Data Centre Builder: giải pháp tối ưu hóa kiến trúc mạng và thiết kế máy chủ

Keysight AI Data Centre Builder: giải pháp tối ưu hóa kiến trúc mạng và thiết kế máy chủ

Fortinet mở rộng ứng dụng FortiAI trên nền tảng bảo mật Fortinet Security Fabric

Fortinet mở rộng ứng dụng FortiAI trên nền tảng bảo mật Fortinet Security Fabric

Google Cloud và NVIDIA hợp tác phát triển AI chủ động khắc phục sự cố CNTT

Google Cloud và NVIDIA hợp tác phát triển AI chủ động khắc phục sự cố CNTT

Công nghệ định vị mới giúp người đi bộ xác định chính xác vị trí giữa các tòa nhà cao tầng

Công nghệ định vị mới giúp người đi bộ xác định chính xác vị trí giữa các tòa nhà cao tầng

Tin mới cập nhật

Trải nghiệm Redmi Note 14 5G: tích hợp AI, cấu trúc bền bỉ, camera 108MP

Trải nghiệm Redmi Note 14 5G: tích hợp AI, cấu trúc bền bỉ, camera 108MP

LG Goldstar Refreshment Center: góc nhìn di sản và điểm đến mang đậm tính kết nối

LG Goldstar Refreshment Center: góc nhìn di sản và điểm đến mang đậm tính kết nối

Phương pháp 'chia tách' đưa các vệ tinh công suất thấp vào kỷ nguyên 5G

Phương pháp 'chia tách' đưa các vệ tinh công suất thấp vào kỷ nguyên 5G

Triển lãm ‘Con đường thống nhất’ nhân kỷ niệm 50 năm Ngày giải phóng miền Nam

Triển lãm ‘Con đường thống nhất’ nhân kỷ niệm 50 năm Ngày giải phóng miền Nam

Rạng Đông trong kỷ nguyên vươn mình bứt phá

Rạng Đông trong kỷ nguyên vươn mình bứt phá

LG sẽ mang loạt sản phẩm gia dụng mới đến thị trường Đông Nam Á

LG sẽ mang loạt sản phẩm gia dụng mới đến thị trường Đông Nam Á

Nhà mạng Reliance Jio dẫn đầu thị trường mạng 5G FWA tại Ấn Độ

Nhà mạng Reliance Jio dẫn đầu thị trường mạng 5G FWA tại Ấn Độ

'Chuyển đổi số mở ra cơ hội để nghệ sĩ vươn ra thị trường toàn cầu'

'Chuyển đổi số mở ra cơ hội để nghệ sĩ vươn ra thị trường toàn cầu'

Anker thắng lớn tại Red Dot 2025

Anker thắng lớn tại Red Dot 2025

ĐHCĐ FECON đặt mục tiêu năm 2025 đạt doanh thu hợp nhất 5.000 tỷ đồng

ĐHCĐ FECON đặt mục tiêu năm 2025 đạt doanh thu hợp nhất 5.000 tỷ đồng

Meliá Hotels International ra mắt 2 khách sạn mới tại Sa Pa

Meliá Hotels International ra mắt 2 khách sạn mới tại Sa Pa

Lễ hội biển Sầm Sơn - Khát vọng tỏa sáng khai màn mùa hè sôi động phố biển

Lễ hội biển Sầm Sơn - Khát vọng tỏa sáng khai màn mùa hè sôi động phố biển

Tin đọc nhiều

Nhà mạng Reliance Jio dẫn đầu thị trường mạng 5G FWA tại Ấn Độ

Nhà mạng Reliance Jio dẫn đầu thị trường mạng 5G FWA tại Ấn Độ

Huawei nâng cấp hệ thống HUAWEI Trusense

Huawei nâng cấp hệ thống HUAWEI Trusense

Hạ tầng số Việt Nam: Cơ hội và thách thức

Hạ tầng số Việt Nam: Cơ hội và thách thức

Keysight, NTT Innovative Devices và Lumentum trình diễn giải pháp truyền dữ liệu 448 Gbps

Keysight, NTT Innovative Devices và Lumentum trình diễn giải pháp truyền dữ liệu 448 Gbps

ITU Digital World 2020: Doanh nghiệp kỳ vọng vào các cơ hội mới

ITU Digital World 2020: Doanh nghiệp kỳ vọng vào các cơ hội mới

Gỡ bỏ game không phép, game cờ bạc: Google Play đạt tỷ lệ 92%, Apple dưới 30%

Gỡ bỏ game không phép, game cờ bạc: Google Play đạt tỷ lệ 92%, Apple dưới 30%

Xây dựng đô thị thông minh nhìn từ kinh nghiệm của Thừa Thiên Huế

Xây dựng đô thị thông minh nhìn từ kinh nghiệm của Thừa Thiên Huế

Youtube sẽ đưa website dành cho trẻ em lên internet vào cuối tuần này

Youtube sẽ đưa website dành cho trẻ em lên internet vào cuối tuần này

Vì sao các AI nhận diện tiếng Việt đều hoạt động tệ hơn quảng cáo?

Vì sao các AI nhận diện tiếng Việt đều hoạt động tệ hơn quảng cáo?

Google Maps: Xem tốc độ bạn đang lái xe như thế nào ngay trên Ứng dụng

Google Maps: Xem tốc độ bạn đang lái xe như thế nào ngay trên Ứng dụng

Video xem nhiều

Đại học Miami tạo ra cảm biến chất lượng không khí phát hiện Covid-19

Đại học Miami tạo ra cảm biến chất lượng không khí phát hiện Covid-19

Thông điệp lan tỏa mùa dịch COVID-19

Thông điệp lan tỏa mùa dịch COVID-19

Clip: Khuyến cáo đối với người lao động, người làm việc, người bán hàng tại khu dịch vụ trong dịch Covid-19

Clip: Khuyến cáo đối với người lao động, người làm việc, người bán hàng tại khu dịch vụ trong dịch Covid-19

Lộ diện siêu xe hypercar Czinger 21C tăng tốc 0-100km/h chưa tới 2 giây

Lộ diện siêu xe hypercar Czinger 21C tăng tốc 0-100km/h chưa tới 2 giây

Cỗ xe lai phản lực tăng tốc từ 0 - 1010 km/h trong 50 giây tham vọng phá kỷ lục thế giới

Cỗ xe lai phản lực tăng tốc từ 0 - 1010 km/h trong 50 giây tham vọng phá kỷ lục thế giới

“Rắn tiên tri” dự đoán đội tuyển Việt Nam thắng Thái Lan

“Rắn tiên tri” dự đoán đội tuyển Việt Nam thắng Thái Lan

Một ngày trải nghiệm giấc mơ trở thành tay đua F1 chuyên nghiệp ở Nhật Bản

Một ngày trải nghiệm giấc mơ trở thành tay đua F1 chuyên nghiệp ở Nhật Bản

Bắc Sơn mây hát

Bắc Sơn mây hát

Pretzel - Bánh quy cây: Biểu tượng văn hoá châu Âu với nhiều tranh cãi về nguồn gốc

Pretzel - Bánh quy cây: Biểu tượng văn hoá châu Âu với nhiều tranh cãi về nguồn gốc

Trực tiếp: Apple ra mắt Iphone 11 tại Cupertino, California, Mỹ

Trực tiếp: Apple ra mắt Iphone 11 tại Cupertino, California, Mỹ

Chiếc điều hòa cá nhân này của Sony là tất cả những gì bạn cần để sống sót qua mùa hè nóng nực

Chiếc điều hòa cá nhân này của Sony là tất cả những gì bạn cần để sống sót qua mùa hè nóng nực

5G thay đổi tương lai của bạn như thế nào?

5G thay đổi tương lai của bạn như thế nào?

Bàn về tầm nhìn và các trụ cột của công nghệ thông tin di động 6G
04/03/2022
Chip xử lý A15 Bionic của Apple có gì mới
15/09/2021
Sex Education mùa 3 được Netflix công chiếu vào 17/9
14/09/2021
iPhone 13 không thay đổi nhiều về ngoại hình, camera được nâng cấp mạnh
13/09/2021
Cách xem trực tiếp sự kiện ra mắt iPhone 13 và Apple Watch 7
10/09/2021
VNEID của Bộ Công an khác các ứng dụng đang được vận hành?
10/09/2021
'Cái tôi' thời 4.0 và tính hai mặt của mạng xã hội
04/09/2021
'Muôn màu' cảm xúc của trẻ trong ngày khai giảng online
24/08/2021
Chủ tịch Chu Ngọc Anh giải toả 'ách tắc' về Giấy đi đường cho người dân Thủ đô
10/08/2021
Hàng loạt Macbook M1 tự dưng vỡ màn hình, Apple có đồng ý bảo hành?
02/08/2021
6 bộ phim hay nhất để xem trên VieON
29/01/2021
Bắc Ninh: Không ký kết triển khai dự án Owifi 5G với CSE Singapore
27/06/2020
Bị World Bank cấm dự thầu 7 năm, công ty Sao Bắc Đẩu thừa nhận sai sót
27/06/2020
Wefinex - Mô hình hoạt động đa cấp "đội lốt" đầu tài chính trên mạng internet
10/06/2020
Khai trừ MISA khỏi Câu lạc bộ Chữ ký số và Giao dịch điện tử Việt Nam
27/05/2020
Chuyển đổi số - Nên hiểu như thế nào cho đúng
25/05/2020
Chống thất thu thuế là thách thức lớn đối với nền kinh tế số
29/04/2020
Cách chuyển tập tin sang máy tính mới
10/11/2019
VNPT, MobiFone, VTC sẽ hoàn thành cổ phần hóa trước năm 2021
20/08/2019
5G thay đổi tương lai của bạn như thế nào?
26/07/2019
Nhận diện hành vi lừa đảo trên không gian mạng
25/07/2019
Truyền hình OTT - Hướng đi mới của các “nhà Đài”
24/07/2019