常见的web攻击

[monkindey]

模版

每一个攻击必须有

• 背景
• 原理
• 预防

WEB攻击

• CSRF

[monkindey]

BREACH

简介

利用超文本自适应压缩算法，进行浏览器侦查和信息窃取

主角

• Angelo Prado
• Neal Harris
• Yoel Gluck

原理

首先了解gzip在HTTP压缩的原理, 如果存在多个一样的字符串, 那么只会保留一个, 其他是替换成指向第一个实例位置的短引用, 来减少响应的体积。也就是说如果一个报文存在三个Breach, Breach, Breach, 后面两个只会引用第一个的短引用, 所以它的大小必然比三个Breach小。也就是需要攻击者暴力破解, 不断注入字符串到报文里, 查看压缩是否减少, 有的话证明它存在一致的token片段。

• 攻击者在它网站做了CSRF攻击, 可以让你带上cookie或者token, 访问某个网站;
• 中间人截获的请求与响应;
• 网站存在某些漏洞, 可以在请求插入参数然后响应又带过来了, 比如一个搜索功能, 你输入了一些没有搜索到信息字符串, 那么它在响应的时候带过来, 然后前端显示说xxx没有搜索对应的内容;

有了上诉的条件之后, 当用户进入攻击者的网站, 同时又被中间人监控了。攻击者网站可以发送请求给某个用户登录过的网站, 比如facebook.com, 这个时候浏览器默认是带上该用户在facebook网站的cookie的, 这个时候攻击者会监听到请求, 因为用的HTTPS, 所以中间人不知道里面是什么内容, 但是它可以猜。那么怎么猜呢? 通过注入一些报文头进去类似token字符串进去, 从响应包体积跟使用其它字符串进行搜索时的体积看看有什么变化, 如果变小了, 证明你猜对了。这样子周而复始地猜测。

预防

• 预防csrf一般就可以解决了
• 去掉HTTP压缩

参考

• HTTP压缩仍让加密连接处于风险之中
• HEIST攻击解析：从HTTPS加密数据中获取明文