Samy kamkar (USB telefon şarj cihazındaki keylogger gibi çeşitli karmaşık saldırı cihazları oluşturmasıyla tanınan ünlü bir güvenlik araştırmacısı) "NAT slipstreaming" adlı yeni bir saldırı tekniği getirmiştir.
Saldırı tarayıcıda bir sayfa açarken saldırganın sunucusundan bir bağlantı kurulmasına izin verir adres çeviricisinin arkasındaki kullanıcının sistemindeki herhangi bir UDP veya TCP bağlantı noktasına. Saldırı Araç Seti GitHub'da yayınlandı.
Yöntem ALG bağlantı izleme mekanizmasını kandırmaya dayanır (Uygulama Seviyesi Ağ Geçitleri) adres çeviricilerinde veya güvenlik duvarlarında, SIP gibi birden çok ağ bağlantı noktasını (biri veri, diğeri kontrol için) kullanan protokollerin NAT iletimini düzenlemek için kullanılır. H323, IRC DCC ve FTP.
Saldırı, ağa bağlanan kullanıcılar için geçerlidir intranet aralığındaki (192.168.xx, 10.xxx) dahili adreslerin kullanılması ve herhangi bir verinin herhangi bir bağlantı noktasına gönderilmesine izin verir (HTTP üstbilgileri olmadan).
Bir saldırı gerçekleştirmek için, kurbanın saldırgan tarafından hazırlanan JavaScript kodunu çalıştırması yeterlidirÖrneğin, saldırganın web sitesinde bir sayfa açarak veya yasal bir web sitesinde kötü amaçlı bir reklamı görüntüleyerek.
İlk aşamada, saldırgan, kullanıcının dahili adresi hakkında bilgi alır, Bu, WebRTC ile veya WebRTC devre dışı bırakılmışsa, gizli bir görüntü talep edilirken yanıt süresi ölçümlü kaba kuvvet saldırıları ile belirlenebilir (mevcut ana bilgisayarlar için, bir görüntü isteme girişimi, mevcut olmayanlardan daha hızlıdır TCP RST yanıtını döndürmeden önce zaman aşımı).
İkinci aşamada JavaScript kodu kurbanın tarayıcısında idam edildi büyük bir HTTP POST isteği oluşturur (bir pakete sığmayan) saldırganın sunucusuna, kurbanın TCP yığınındaki TCP parçalanma parametrelerinin ve MTU boyutunun ayarlanmasını başlatmak için standart olmayan bir ağ bağlantı noktası numarası kullanarak.
Cevap olarak, saldırganın sunucusu MSS seçeneğiyle bir TCP paketi döndürür Alınan paketin maksimum boyutunu belirleyen (Maksimum segment boyutu). UDP durumunda, manipülasyon benzerdir, ancak IP düzeyinde parçalanmayı tetiklemek için büyük bir WebRTC TURN isteği göndermeye dayanır.
«NAT Slipstreaming, kullanıcının tarayıcısını, NAT, yönlendiriciler ve güvenlik duvarlarında yerleşik olan Uygulama Seviyesi Ağ Geçidi (ALG) bağlantı izleme mekanizması ile bağlantılı olarak, dahili IP çıkarma işlemini bir zaman saldırısı veya WebRTC, parçalama keşfi yoluyla zincirleyerek kullanır. Otomatik uzaktan IP ve MTU, TCP paket boyutu masajı, TURN kimlik doğrulamasının kötüye kullanımı, paket sınırlarının hassas kontrolü ve tarayıcının kötüye kullanımından kaynaklanan protokol karışıklığı, "dedi Kamkar bir analizde.
Ana fikir parçalanma parametrelerini bilmek, kuyruğu ikinci pakete düşecek olan büyük bir HTTP isteği gönder. Aynı zamanda, ikinci pakete giren kuyruk, HTTP üstbilgilerini içermeyecek şekilde seçilir ve NAT geçişinin desteklendiği başka bir protokole tam olarak karşılık gelen verilerde kesilir.
Üçüncü aşamada, yukarıdaki manipülasyonu kullanarak JavaScript kodu, özel olarak seçilmiş bir HTTP isteği (veya UDP için TURN) üretir ve saldırganın sunucusunun 5060 numaralı TCP bağlantı noktasına gönderir ve bu, parçalanma sonrasında iki pakete bölünür: a HTTP üstbilgilerine sahip paket ve verilerin bir kısmı ve kurbanın dahili IP'si ile geçerli bir SIP paketi.
Bağlantıları izleme sistemi ağ yığınında bu paketi bir SIP oturumunun başlangıcı olarak kabul edecek ve bu bağlantı noktasının veri iletimi için kullanıldığını varsayarak saldırgan tarafından seçilen herhangi bir bağlantı noktası için paket iletilmesine izin verecektir.
Saldırı, kullanılan tarayıcıdan bağımsız olarak gerçekleştirilebilir. Sorunu çözmek için Mozilla geliştiricileri, SIP protokolüyle ilişkili ağ bağlantı noktaları 5060 ve 5061'e HTTP istekleri gönderme yeteneğinin engellenmesini önerdiler.
Chromium, Blink ve WebKit motorlarının geliştiricileri de benzer bir koruma önlemi uygulamayı planlıyor.
kaynak: https://samy.pl