ALPACA:新型TLS攻击可以针对安全网站发起跨协议攻击

2021-06-24 11:16:4614842人阅读

ALPACA攻击是一种可以针对安全网站发起跨协议攻击的新型TLS攻击。

TLS是确保互联网上服务器和客户端之间通信安全的互联网标准,比如web服务器、FTP服务器和邮件服务器。TLS是独立于应用层的,可以应用于不同的通信协议中。

ALPACA是一种利用实现不同协议的TLS服务器的应用层协议内容混淆攻击。攻击者可以将一个子域名的流量重定向到另一个子域名,生成有效的TLS会话。这会打破TLS认证,并可能进一步发起跨协议攻击。

研究人员对TLS跨协议攻击进行了分析,并对web服务器进行了案例研究,发现可以成功从受害者的web浏览器重定向HTTPS请求到SMTP、IMAP、POP3和FTP服务器。在真实的攻击场景中,攻击者可以提取会话cookie和其他隐私用户数据,或在有漏洞的web服务器环境下执行任意JS内容,绕过TLS和web应用安全措施。

1623331177209704.png

上图是攻击者对web服务器发起跨协议攻击,利用有漏洞的FTP和邮件服务器的三种方式——上传攻击、下载攻击和反射攻击。在上传攻击(Upload Attack)中,攻击者可以窃取认证cookie和其他隐私数据。在下载攻击(Download Attack)中,攻击者可以执行存储型XSS攻击。在反射攻击中,攻击者可以在受害者网站环境下执行反射XSS攻击。

研究人员在实验室环境对web浏览器和广泛部署的邮件和FTP服务器进行了攻击面分析,发现140万web服务器易收到跨协议攻击。其中,11.9万web服务器可以利用有漏洞的应用服务器来进行攻击。

1623331177150326.png

虽然该漏洞是条件性的,而且很难利用,但是只要对web有了解的黑客就可以利用一些配置信息。此外,研究人员还分析了其他的协议,发现存在其他类型的攻击场景。

为应对类似的攻击,研究人员提出使用应用层协议协商(Application Layer Protocol Negotiation (ALPN))和服务器名指示(Server Name Indication)扩展来预防锡类跨协议攻击。研究人员还建议管理员检查TLS实现和部署,建议服务器和客户端的应用开发者主动对所有的协议应用防护措施。

ALPACA攻击将在 Black Hat USA 2021和USENIX Security Symposium 2021大会上作展示,研究论文参见:https://alpaca-attack.com/ALPACA.pdf

相关代码参见GitHub:https://github.com/RUB-NDS/alpaca-code/

更多参见:https://alpaca-attack.com/


本文转载自:嘶吼

作者:ang010ela

原文地址:https://www.4hou.com/posts/4Vo1

本文翻译自:https://alpaca-attack.com/

0
现金券
0
兑换券
立即领取
领取成功