الخميس 2 أبريل ، الساعة 03:02
منزل أمن هجوم CPDoS يؤثر على CDN لتوزيع صفحات الخطأ

هجوم CPDoS يؤثر على CDN لتوزيع صفحات الخطأ

CPDoS

نوع جديد من الهجمات التي تؤثر على شبكات تسليم المحتوى (كندي) لتوزيع صفحات الخطأ بدلاً من صفحات الخطأ مواقع، التي حددها اثنين من الأكاديميين في الجامعة التقنية في كولونيا (TH Köln).

تم تسمية الهجوم CPDoS (رفض خدمة مخبأ للتسمم) ولديه ثلاثة أنواع.

كيف يعمل؟

هجمات CPDoS تستهدف عنصرين شبكة، خوادم الويب و CDNs.

خوادم الويب تخزن الموقع الأصلي ومحتوياته ، بينما تخزّن CDNs نسخة من الموقع ، والتي يتم تحديثها فقط في أوقات محددة.

ومع ذلك ، على الرغم من دورهم البسيط ، فإن شبكات CDN جزء مهم من التكنولوجيا الحديثة. الإنترنت، حيث يمكنهم تخفيف الحمل على خوادم الويب ، حيث يساعدون في التأكد من أن خوادم الويب لا يتعين عليها معالجة طلب المستخدم نفسه مرارًا وتكرارًا ، مما يوفر لبعض المستخدمين نسخة من الموقع حتى يتم تحديثه.

كما يتم استخدام CDNs على نطاق واسع ، واحد هجوم قد تكون هذه الشبكة كارثية على توفر موقع ويب وبالتالي على أرباحها.

يتضمن هجوم CPDoS الخطوات التالية:

  • يرتبط متسلل إلى موقع حتى يطلب منه إنشاء إدخال CDN جديد
  • يحتوي طلب الدخيل على رأس HTTP كبير للغاية
  • يسمح CDN لهذا الرأس بالانتقال إلى الموقع الشرعي حتى يتمكن من تحرير وإنشاء موقع ويب لتخزين CDN
  • تعطل رأس المتضخم خادم الويب
  • ينشئ الخادم صفحة خطأ ("خطأ 400")
  • يتم تخزين صفحة الخطأ في ذاكرة التخزين المؤقت على CDN
  • يتلقى المستخدمون الآخرون الذين يصلون إلى الموقع صفحة الخطأ بدلاً من الموقع الفعلي
  • ينتشر الخطأ المشفر إلى العقد الأخرى على شبكة CDN ، مما يؤدي إلى انقطاع مزيف على موقع شرعي

المتغيرات الثلاثة التي اكتشفها فريق البحث هي:

  • المتشعب رأس HTTP (HHO)
  • حرف تعريف HTTP (HMC)
  • طريقة تجاوز HTTP (HMO)

كم هو سهل لأداء هجوم CPDoS

أثناء التحقيق في التطبيق العملي لهجمات CPDoS ، قال فريق TH Koln إنه قادر على تنفيذ هجمات واسعة النطاق تؤثر على الذاكرة. مخبأ من المواقع التي جربت شبكة CDN.

مثل هذه الهجمات يمكن أن تسبب تعطلًا طويلًا للمواقع الشرعية ، مما يسبب خسائر مالية لمالكيها.

والخبر السار هو أنه ليست كل خوادم الويب وشبكات CDN عرضة لهذا الهجوم.

لحسن الحظ ، هناك بعض الاعتدال ضد هجمات CPDoS. إن أبسط الحلول هو قيام مالكي المواقع بتكوين خدمة CDN بحيث لا يقوموا بتخزين صفحات خطأ HTTP بشكل مؤقت. يقوم العديد من مزودي خدمة CDN بتضمين مثل هذه الإعدادات في لوحات المعلومات الخاصة بهم ، لذلك ليس من الصعب.

إذا لم يكن لدى مالكي الموقع هذه الميزة ، فيمكنهم إيقاف تشغيلها من ملفات الإعدادات الخاصة بهم الخادم بإضافة رأس HTTP "Cache-Control: no-store" إلى كل نوع صفحة خطأ.

يتم توفير الحل الأكثر تعقيدًا للتعامل مع هجمات CPDoS من قِبل موفري CDN ، الذين قد يحتاجون إلى تعديل طريقة عمل منتجاتهم.

اعتماد هذا النهج يتطلب بعض الإجراءات على خلفية العديد من مزودي CDN. إلى أن يتم ذلك ، يُقترح استخدام أبسط التدابير القابلة للتطبيق.

نظرًا لأن هجمات CPDoS ممكنة من الناحية العملية ، يجب أن يكون معظم مالكي مواقع الويب قادرين على حماية خوادمهم من إساءة الاستخدام.

الباحثون يحذرون من تجاهل المشكلة. وفقًا لاختباراتهم ، 30٪ من مواقع Alexa Top 500 و 11٪ من نطاقات وزارة الدفاع و 16٪ من العناوين URL من عينة من 365 مليون URL تم الحصول عليها من ملف Google Big Query ، من المحتمل أن تكون عرضة لهجمات CPDoS.

غائبة ميا
غائبة مياhttps://www.secnews.gr
أن تكون نفسك ، في عالم يحاول باستمرار تغييرك ، هو أعظم إنجاز لك

اترك الإجابة

الرجاء إدخال تعليقك!
الرجاء إدخال اسمك هنا

أخبار مباشرة

Italy Coronavirus: هجوم القرصنة على موقع المكافأة لمرة واحدة

إيطاليا Coronavirus: هجوم القرصنة على موقع خدمات الطوارئ - تم قبول هجوم القرصنة من قبل موقع الرعاية الاجتماعية الإيطالي ، ...

WinRAR: تم إصدار الإصدار 5.90 لأنظمة التشغيل Windows و Linux و Mac و c

WinRAR: الإصدار 5.90 لأنظمة التشغيل Windows و Linux و Mac و Android: إصدار WinRAR 5.90 النهائي مع ...

LimeRAT Trojan: ينتشر عن طريق تقنية تشفير ملفات Excel

تنشر حملة جديدة برنامج LimeRAT Remote Access Trojan باستخدام تقنية تشفير ملف Excel قديمة. LimeRAT هو حصان طروادة بسيط ...

لا يعرف البنتاغون أين يرسل الغطس!

وفقا لكبير ضباط اللوجستيات في البنتاغون ، على الرغم من التزامه بإرسال ...

تحذير: حتى MFA يمكن "اختراق"!

وفقًا لخبير أمان ، تعد المصادقة متعددة العوامل (MFA) طريقة جيدة لحماية الحسابات عبر الإنترنت دون ...

كيفية رقمنة أهم الوثائق الخاصة بك

في حين أن هذا الأسبوع هو اليوم العالمي للنسخ الاحتياطي ، إلا أنه يتم الاحتفال به عادةً من قبل صانعي الأقراص الصلبة وخدمات تخزين البيانات ، من المفترض ...

Linux Mint 20 “Ulyana”: يأتي بدون توزيعات 32 بت

في الأسبوع الماضي ، تم إصدار توزيع جديد لـ Linux Mint Debian Edition 4 (LMDE 4). كما نفهم من ...

لجنة الاتصالات الفدرالية: من 2021 مستخدمًا سيتم التحقق من صحة المكالمات

أعلنت اليوم لجنة الاتصالات الفدرالية (مجتمع الاتصالات الفيدرالية) أن جميع مزودي الهواتف المحمولة وكذلك أصحاب ...

Microsoft: تأخير COLID-19 TLS تعطيل البروتوكولات

أعلنت مايكروسوفت أمس أنها ستؤخر تعطيل بروتوكولات أمان طبقة النقل (TLS) غير الآمنة ...

من المرجح أن يتم إصدار iPhone 9 من Apple في 15 أبريل

إن وصول iPhone 9 من Apple هو شيء ينتظره العديد من مؤيدي الشركة. لكن ليس ...