Phát hiện 4 biến thể mới của HTTP Request Smuggling

Đào Công
08/09/2020 16:17
D

Một nghiên cứu gần đây đã tiết lộ về 4 biến thể mới của kỹ thuật tấn công HTTP request smuggling. Chúng được sử dụng để nhắm tới các máy chủ web và máy chủ proxy HTTP thương mại. Các biến thể này đã cho thấy máy chủ web và máy chủ proxy HTTP vẫn dễ bị ảnh hưởng bởi HTTP request smuggling mặc dù nó đã được phát hiện lần đầu tiên từ 15 năm trước.

HTTP Request Smuggling 

HTTP request smuggling (Tấn công bất đồng bộ HTTP) là một kỹ thuật được sử dụng để can thiệp vào quá trình trang web xử lý các chuỗi yêu cầu HTTP nhận được từ một hay nhiều người dùng.

Các lỗ hổng liên quan đến HTTP request smuggling thường xuất hiện khi front-end và các máy chủ back-end có bất đồng trong việc xử lý các yêu cầu HTTP. Từ đó cho phép kẻ tấn công gửi hoặc đánh cắp một yêu cầu không xác định và ghép nó vào yêu cầu của người dùng tiếp theo.

Việc không đồng bộ các yêu cầu có thể bị khai thác để đánh cắp thông tin đăng nhập, đưa về các phản hồi sai cho người dùng, thậm chí là lấy cắp dữ liệu từ yêu cầu của nạn nhân, sau đó chuyển thông tin đến máy chủ do kẻ tấn công kiểm soát.

Kỹ thuật này được trình bày lần đầu tiên vào năm 2005 bởi một nhóm các nhà nghiên cứu từ Watchfire gồm: Klein, Chaim Linhart, Ronen Heled và Steve Orrin. Tuy nhiên, trong 5 năm qua những kẻ tấn công bổ sung thêm một số cải tiến mới, khiến phạm vi tấn công lớn hơn.

Các biến thể có thể ghép các yêu cầu lại với nhau và chiếm được quyền truy cập tối đa vào API nội bộ gây nhiễm độc web cache và xâm nhập vào trang đăng nhập của các ứng dụng phổ biến.  

Các biến thể mới này được Klein, Phó Giám đốc Nghiên cứu Bảo mật tại SafeBreach tiết lộ: kết hợp sử dụng nhiều proxy-server khác nhau, bao gồm Abyss của Aprelium, Microsoft IIS, Apache và Tomcat trong chế độ web-server và Nginx, Squid, HAProxy, Caddy và Traefik trong chế độ HTTP proxy.

Dưới đây là bốn biến thể mới được phát hiện và một biến thể cũ mà Klein đã khai thác thành công trong các nghiên cứu của mình:

Variant 1: “Header SP/CR junk: …”

Variant 2 – “Wait for It”

Variant 3 – HTTP/1.2 to bypass mod_security-like defense

Variant 4 – a plain solution

Variant 5 – “CR header” 

Khi xử lý các yêu cầu HTTP chứa hai tiêu đề Content - Length, thì Abyss đã được phát hiện chỉ chấp nhận tiêu đề thứ hai là hợp lệ, trong khi Squid sử dụng tiêu đề đầu tiên, do đó dẫn đến việc hai máy chủ xử lý các yêu cầu khác nhau và làm xuất hiện “request smuggling”.

Trong trường hợp Abyss nhận được một yêu cầu HTTP với nội dung có độ dài nhỏ hơn giá trị Content - Length được chỉ định, nó sẽ đợi 30 giây để thực hiện yêu cầu nhưng không bỏ qua nội dung còn lại của yêu cầu. Klein thấy rằng điều này cũng dẫn đến sự khác biệt giữa Squid và Abyss, bởi các phần xử lý sau của một yêu cầu HTTP sẽ được gửi đi như một yêu cầu thứ hai.

Biến thể thứ ba của phương pháp này sử dụng HTTP/1.2 để phá vỡ hệ thống phòng thủ của tường lửa web (WAF-Web application firewall). Trong Bộ quy tắc cốt lõi (Computer reservation - CRS) của OWASP ModSecurity, tường lửa này được định rõ là dùng để ngăn chặn việc các cuộc tấn công HTTP request smuggling thực hiện các hành vi mang tính độc hại.

Cuối cùng, Klein phát hiện ra rằng sử dụng trường tiêu đề “Content - Type: text/plain” cũng đủ để vượt qua khâu kiểm tra paranoia mức độ 1 và 2 được chỉ định trong CRS và làm xuất hiện một lỗ hổng HTTP Request Smuggling.

Những biện pháp bảo vệ khả thi 
Sau khi phát hiện này được công bố cho Aprelium, Squid và OWASP CRS, các vấn đề đã được khắc phục trong Abyss X1 phiên bản 2.14, Squid phiên bản 4.12, 5.0.3 và CRS phiên bản 3.3.0.

Klein kêu gọi tiêu chuẩn hóa các yêu cầu HTTP gửi đi từ các máy chủ proxy và nhấn mạnh sự cần thiết của một giải pháp tường lửa mạnh mẽ dành cho website, mã nguồn mở có khả năng xử lý các cuộc tấn công HTTP Request Smuggling.

“ModSecurity (kết hợp với CRS) quả thực là một dự án mã nguồn mở, nhưng nếu xét về độ mạnh và tính tổng quát, thì ModSecurity còn tồn tại một số nhược điểm. Nó không thể bảo vệ hệ thống hoàn toàn trước các cuộc tấn công HTTP Request Smuggling và nó chỉ khả dụng cho Apache, IIS và nginx,” Klein cho biết.

Để giải quyết vấn đề này, Klein đã cho công bố một thư viện dựa trên C++ trên GitHub. Thư viện này giúp đảm bảo tất cả các yêu cầu HTTP gửi đến là hoàn toàn hợp lệ và được xác định rõ ràng bằng cách yêu cầu nó phải tuân thủ nghiêm ngặt các quy tắc về định dạng tiêu đề HTTP và định dạng dòng yêu cầu.

Theo An toàn Thông tin

Bình luận

Tối thiểu 10 chữ Tiếng việt có dấu Không chứa liên kết

Gửi bình luận

Tin cùng chuyên mục

Keysight hoàn thành đánh giá Chứng nhận PSA cấp 4 cho sản phẩm SiXG301 SoC của Silicon Labs

Keysight hoàn thành đánh giá Chứng nhận PSA cấp 4 cho sản phẩm SiXG301 SoC của Silicon Labs

Hệ sinh thái VNPT Cyber Immunity 'tiến vào' thị trường Nhật Bản

Hệ sinh thái VNPT Cyber Immunity 'tiến vào' thị trường Nhật Bản

Synology ra mắt bản nâng cấp AI cho Office Suite

Synology ra mắt bản nâng cấp AI cho Office Suite

Thấy gì từ vụ thiết bị gây nhiễu smart key làm 'tê liệt' xe máy tại Kim Mã

Thấy gì từ vụ thiết bị gây nhiễu smart key làm 'tê liệt' xe máy tại Kim Mã

VietChain Talents 2025: 1.000 lập trình viên trẻ tham gia, tổng giải thưởng 3,5 tỷ đồng

VietChain Talents 2025: 1.000 lập trình viên trẻ tham gia, tổng giải thưởng 3,5 tỷ đồng

Microsoft hạn chế quyền truy cập của công ty Trung Quốc sau nghi vấn tấn công SharePoint

Microsoft hạn chế quyền truy cập của công ty Trung Quốc sau nghi vấn tấn công SharePoint

FPT tiên phong đưa Internet 10Gbps đến tay người dùng Việt

FPT tiên phong đưa Internet 10Gbps đến tay người dùng Việt

Internet công nghiệp, chìa khóa để doanh nghiệp bứt phá

Internet công nghiệp, chìa khóa để doanh nghiệp bứt phá

VNPT sẵn sàng hạ tầng viễn thông cho Đại lễ

VNPT sẵn sàng hạ tầng viễn thông cho Đại lễ

Malaysia giải quyết 'cơn khát' năng lượng và nước của các trung tâm dữ liệu AI

Malaysia giải quyết 'cơn khát' năng lượng và nước của các trung tâm dữ liệu AI

Chuyển đổi số CRM: Doanh nghiệp Việt đang hướng về No-code/AI

Chuyển đổi số CRM: Doanh nghiệp Việt đang hướng về No-code/AI

Trung Quốc tung robot giá rẻ gấp 10 lần Tesla, dự báo bùng nổ nhà máy trong 2-4 năm tới

Trung Quốc tung robot giá rẻ gấp 10 lần Tesla, dự báo bùng nổ nhà máy trong 2-4 năm tới

Tin mới cập nhật

Cục Tần số xuất quân đảm bảo thông tin vô tuyến điện phục vụ Quốc khánh 2/9

Cục Tần số xuất quân đảm bảo thông tin vô tuyến điện phục vụ Quốc khánh 2/9

Mercedes-Benz Việt Nam tặng 60 triệu đồng khi mua xe điện tháng 9

Mercedes-Benz Việt Nam tặng 60 triệu đồng khi mua xe điện tháng 9

Ưu tiên đầu tư cho phát triển, ứng dụng năng lượng nguyên tử

Ưu tiên đầu tư cho phát triển, ứng dụng năng lượng nguyên tử

Mercedes EQB 250+ phiên bản nâng cấp ra mắt Việt Nam, giá 2 tỷ 309 triệu đồng

Mercedes EQB 250+ phiên bản nâng cấp ra mắt Việt Nam, giá 2 tỷ 309 triệu đồng

Keysight hoàn thành đánh giá Chứng nhận PSA cấp 4 cho sản phẩm SiXG301 SoC của Silicon Labs

Keysight hoàn thành đánh giá Chứng nhận PSA cấp 4 cho sản phẩm SiXG301 SoC của Silicon Labs

Nhìn lại khoảnh khắc Khối đứng A80 di chuyển trước Lễ Sơ duyệt 27/8

Nhìn lại khoảnh khắc Khối đứng A80 di chuyển trước Lễ Sơ duyệt 27/8

Tesla lao dốc tại Châu Âu, BYD và xe điện Trung Quốc vươn lên mạnh mẽ

Tesla lao dốc tại Châu Âu, BYD và xe điện Trung Quốc vươn lên mạnh mẽ

Cục Tần số phạt tiền hơn 70 tổ chức, cá nhân sử dụng micro không dây sai quy định

Cục Tần số phạt tiền hơn 70 tổ chức, cá nhân sử dụng micro không dây sai quy định

Lan toả tinh thần yêu nước, khát vọng vươn mình qua Triển lãm Thành tựu đất nước

Lan toả tinh thần yêu nước, khát vọng vươn mình qua Triển lãm Thành tựu đất nước

Bosch Rexroth ‘trình diễn’ nhà máy thông minh tại Automation World Vietnam

Bosch Rexroth ‘trình diễn’ nhà máy thông minh tại Automation World Vietnam

Hệ sinh thái VNPT Cyber Immunity 'tiến vào' thị trường Nhật Bản

Hệ sinh thái VNPT Cyber Immunity 'tiến vào' thị trường Nhật Bản

Hoàn thiện dải sản phẩm laptop AI, ASUS tung ra 4 mẫu laptop Vivobook trước thềm năm học mới

Hoàn thiện dải sản phẩm laptop AI, ASUS tung ra 4 mẫu laptop Vivobook trước thềm năm học mới

Tin đọc nhiều

Hệ sinh thái VNPT Cyber Immunity 'tiến vào' thị trường Nhật Bản

Hệ sinh thái VNPT Cyber Immunity 'tiến vào' thị trường Nhật Bản

Synology ra mắt bản nâng cấp AI cho Office Suite

Synology ra mắt bản nâng cấp AI cho Office Suite

Thấy gì từ vụ thiết bị gây nhiễu smart key làm 'tê liệt' xe máy tại Kim Mã

Thấy gì từ vụ thiết bị gây nhiễu smart key làm 'tê liệt' xe máy tại Kim Mã

VietChain Talents 2025: 1.000 lập trình viên trẻ tham gia, tổng giải thưởng 3,5 tỷ đồng

VietChain Talents 2025: 1.000 lập trình viên trẻ tham gia, tổng giải thưởng 3,5 tỷ đồng

Microsoft hạn chế quyền truy cập của công ty Trung Quốc sau nghi vấn tấn công SharePoint

Microsoft hạn chế quyền truy cập của công ty Trung Quốc sau nghi vấn tấn công SharePoint

FPT tiên phong đưa Internet 10Gbps đến tay người dùng Việt

FPT tiên phong đưa Internet 10Gbps đến tay người dùng Việt

Internet công nghiệp, chìa khóa để doanh nghiệp bứt phá

Internet công nghiệp, chìa khóa để doanh nghiệp bứt phá

Công bố 6 sản phẩm dữ liệu lõi 'Make in Vietnam'

Công bố 6 sản phẩm dữ liệu lõi 'Make in Vietnam'

Hàng loạt Macbook M1 tự dưng vỡ màn hình, Apple có đồng ý bảo hành?

Hàng loạt Macbook M1 tự dưng vỡ màn hình, Apple có đồng ý bảo hành?

ITU Digital World 2020: Doanh nghiệp kỳ vọng vào các cơ hội mới

ITU Digital World 2020: Doanh nghiệp kỳ vọng vào các cơ hội mới

Video xem nhiều

Ford F-150 Lightning 2022 ra mắt: Bán tải chạy điện giá khởi điểm chưa đến 40 nghìn USD

Ford F-150 Lightning 2022 ra mắt: Bán tải chạy điện giá khởi điểm chưa đến 40 nghìn USD

Isuzu Mu-X 2021 hoàn toàn mới: Thiết kế hiện đại và đầy công nghệ

Isuzu Mu-X 2021 hoàn toàn mới: Thiết kế hiện đại và đầy công nghệ

Honda MSX 125 Grom 2021 mẫu xe côn tay phiên bản đường đua

Honda MSX 125 Grom 2021 mẫu xe côn tay phiên bản đường đua

Geneva Motor Show 2020: Bentley hé lộ siêu xe Bacalar triệu đô

Geneva Motor Show 2020: Bentley hé lộ siêu xe Bacalar triệu đô

Lộ diện siêu xe hypercar Czinger 21C tăng tốc 0-100km/h chưa tới 2 giây

Lộ diện siêu xe hypercar Czinger 21C tăng tốc 0-100km/h chưa tới 2 giây

Xe máy điện VinFast được CNN chọn là 1 trong 5 biểu tượng mới của Hà Nội

Xe máy điện VinFast được CNN chọn là 1 trong 5 biểu tượng mới của Hà Nội

Một ngày trải nghiệm giấc mơ trở thành tay đua F1 chuyên nghiệp ở Nhật Bản

Một ngày trải nghiệm giấc mơ trở thành tay đua F1 chuyên nghiệp ở Nhật Bản

Bắc Sơn mây hát

Bắc Sơn mây hát

Trực tiếp: Apple ra mắt Iphone 11 tại Cupertino, California, Mỹ

Trực tiếp: Apple ra mắt Iphone 11 tại Cupertino, California, Mỹ

Sếp nhà bán lẻ làm lộ ngày bán iPhone 11

Sếp nhà bán lẻ làm lộ ngày bán iPhone 11

Chiếc điều hòa cá nhân này của Sony là tất cả những gì bạn cần để sống sót qua mùa hè nóng nực

Chiếc điều hòa cá nhân này của Sony là tất cả những gì bạn cần để sống sót qua mùa hè nóng nực

5G thay đổi tương lai của bạn như thế nào?

5G thay đổi tương lai của bạn như thế nào?

Bàn về tầm nhìn và các trụ cột của công nghệ thông tin di động 6G
04/03/2022
Chip xử lý A15 Bionic của Apple có gì mới
15/09/2021
Sex Education mùa 3 được Netflix công chiếu vào 17/9
14/09/2021
iPhone 13 không thay đổi nhiều về ngoại hình, camera được nâng cấp mạnh
13/09/2021
Cách xem trực tiếp sự kiện ra mắt iPhone 13 và Apple Watch 7
10/09/2021
VNEID của Bộ Công an khác các ứng dụng đang được vận hành?
10/09/2021
'Cái tôi' thời 4.0 và tính hai mặt của mạng xã hội
04/09/2021
'Muôn màu' cảm xúc của trẻ trong ngày khai giảng online
24/08/2021
Chủ tịch Chu Ngọc Anh giải toả 'ách tắc' về Giấy đi đường cho người dân Thủ đô
10/08/2021
Hàng loạt Macbook M1 tự dưng vỡ màn hình, Apple có đồng ý bảo hành?
02/08/2021
6 bộ phim hay nhất để xem trên VieON
29/01/2021
Bắc Ninh: Không ký kết triển khai dự án Owifi 5G với CSE Singapore
27/06/2020
Bị World Bank cấm dự thầu 7 năm, công ty Sao Bắc Đẩu thừa nhận sai sót
27/06/2020
Wefinex - Mô hình hoạt động đa cấp "đội lốt" đầu tài chính trên mạng internet
10/06/2020
Khai trừ MISA khỏi Câu lạc bộ Chữ ký số và Giao dịch điện tử Việt Nam
27/05/2020
Chuyển đổi số - Nên hiểu như thế nào cho đúng
25/05/2020
Chống thất thu thuế là thách thức lớn đối với nền kinh tế số
29/04/2020
Cách chuyển tập tin sang máy tính mới
10/11/2019
VNPT, MobiFone, VTC sẽ hoàn thành cổ phần hóa trước năm 2021
20/08/2019
5G thay đổi tương lai của bạn như thế nào?
26/07/2019
Nhận diện hành vi lừa đảo trên không gian mạng
25/07/2019
Truyền hình OTT - Hướng đi mới của các “nhà Đài”
24/07/2019