DDOS防御专家-提供超强DDoS高防/CC防护/大流量清洗服务!
当前位置:主页 > WEB安全 > 正文

免备案高防cdn_免费游戏盾_超高防御

05-03 WEB安全

免备案高防cdn_免费游戏盾_超高防御

今年我第一次参加了DerbyCon V,这是一个由David Kennedy于9月底在肯塔基州路易斯维尔(Louisville)举办的年度会议。我参加的一次演讲也是在Blackhat 2015大会上进行的,"旁路手术-滥用内容交付网络,服务器端请求伪造,Flash,和DNS"的迈克布鲁克斯从主教福克斯和马修布赖恩特从优步。为了让与会者了解他们开发的相当复杂的开发链,我们覆盖了大量的背景材料。所以,被ddos攻击怎么防御,如果你发现自己被我的解释弄糊涂了,或者你想了解更多细节,你可以在YouTube上看到他们整个德比战的谈话。所涵盖的材料相当具体的一个开发链,突破cc防御,但在我的头脑中,我把材料简化为更通用的一点。为了让使用内容交付网络(CDN)的网站正常运行,它们必须信任CDN并将其包含在其同源策略中。因此,如果CDN(flash、applet等)正在缓存可执行内容,则可能会插入代码并让CDN代表攻击者从源站点检索内容。这既是一种服务器端请求伪造(SSRF)攻击,也违反了同源策略。本质上,攻击者可以使用你的CDN来对付你!Mike和Matthew给出了一个基于flash的web视频播放器FlowPlayer的具体例子。FlowPlayer团队创建了自己的URL解析器作为播放器的一部分。表面上这听起来很简单,但是解析url的规则实际上比你想象的要复杂。因为URL解析器中存在错误,他们找到了几种方法来包含任意代码。代码是从他们选择的另一个站点检索的,但看起来像是来自目标域。事实证明,FlowPlayer并没有解决这个问题的计划,因为Flash正逐渐被HTML5等技术所取代。因此,ddos攻击防御测试,继续使用基于flash的FlowPlayer的站点将继续受到攻击。在查找使用易受攻击的FlowPlayer版本的网站时,他们发现了一个主要提供商的CDN中缓存了多个版本的旧部分。这个CDN的工作方式是转换对象的url,以便请求可以直接寻址CDN上的特定对象。资源定位器的第一部分可能类似于xyz.legitbank.com网站因此,请求似乎是指向legitbank.com网站,ddos攻击与防御产品,但DNS将请求发送到CDN上的xyz主机。在利用链示例中,他们给出了:用户登录Legitbank进行银行业务并创建一个经过身份验证的会话。即使关闭了浏览器选项卡,从服务器的角度来看,会话仍然是活动的(除非用户实际注销了!)。下一步可能有点困难,因为用户必须以某种方式被指向攻击者的网站。这一步可能依赖于鱼叉式网络钓鱼、搜索引擎优化或社交媒体来引导流量。攻击者站点调用Legitbank托管应用程序的资源定位器(在本例中为FlowPlayer)。然后从CDN检索该应用程序并在Legitbank.com网站域原点空间。攻击者将外部代码注入应用程序,以便应用程序可以向Legitbank.com网站不违反同一原产地政策。这意味着它可以使用用户建立的会话。Raid银行帐户。利润。为了防止这种类型的攻击,必须确保源服务器上的同源策略尽可能具体且不使用通配符。限制由CDN缓存的内容类型,服务器安全,执行安全审核、代码复查,也许还需要对任何可缓存的可执行内容进行持久测试,现在也很重要了!

版权保护: 本文由 DDOS防御专家 原创,转载请保留链接: http://www.ddosgb.com/web/50458.html

DDoS防御专家简介孤之剑
国内资深白帽子二十人组成员,前BAT资深网络安全工程师,知名网络安全站点板块大神,每年提交Google及微软漏洞,原sina微博负载插件开发者,现在整体防御复合攻击长期接受1-4.7T攻击,CC防护自主开发指纹识别系统,可以做到99.9999%的无敌防御。
  • 文章总数
  • 6827005访问次数
  • 建站天数

    DDOS防御

    ddos防御

    cc防护

    web安全

    高防服务器

    高防cdn


    QQ客服

    400-0797-119

    X