Исследователи из Китая нашли способ атаковать сервера их же защитой
Способ атаки типа «отказ в обслуживании» (DDoS) с использованием сетей доставки содержимого (CDN) обнаружила группа исследователей из Китая, 25 мая сообщает ZDNet.
Исследователи назвали атаку RangeAmp. Производится она с помощью специально подготовленного запроса HTTP Range. Запрос не вполне корректно отрабатывается CDN серверами, в результате чего порождаемый сетевой трафик увеличивается в сотни и тысячи раз. Если CDN разгружает какой-то веб-сайт, то вместо защиты от DDoS, порождается атака этого типа.
Сети доставки содержимого (CDN) служат для разгрузки сети. Они либо заранее хранят, либо запоминают запрашиваемое содержимое (веб-страницы, файлы, видео и т. д.). При этом пользователь направляется на ближайший к нему сервер CDN и уже от него получает запрашиваемое содержимое. Если веб-сайт на относительно слабом сервере закрыт CDN, то не так-то просто вызвать его перегрузку. Обычно.
Запросы HTTP Range выполняются при необходимости скачать лишь часть документа с веб-сайта. Например, если пользователь загружает очень большой файл и связь обрывается, то лучше продолжить с середины, чем заново.
Исследователи обнаружили две вариации RangeAmp.
Первую назвали Small Byte Range (SBR). Атакующий направляет специальный запрос на сайт, закрытый CDN. Из-за некорректной обработки запроса, CDN не уменьшает траффик, а увеличивает от 760 до 43 330 раз, в зависимости от условий. Таким образом, уже CDN атакует целевой сайт огромным количеством запросов, порождая DDoS.
Второй вариант — Overlapping Byte Ranges (OBR). В данном случае атакующий формирует некорректный запрос к сайту так, чтобы трафик прошел через два сервера CDN определенным образом. В результате целевой сайт не страдает, а между CDN порождается усиленный в 7 500 раз трафик.
Исследователи проверили работоспособность обоих видов атак на 13 крупных CDN сетях: Akamai, Alibaba Cloud, Azure, Cloudflare, CloudFront, CDNsun, CDN77, Fastly, G-Core Labs, Huawei Cloud, KeyCDN, Tencent Cloud и StackPath.
Первая атака работала на всех. Вторая на шесть из 13, кроме того, нужно было еще постараться найти целевой сайт так, чтобы выстроилось очень определенное взаимное расположение двух CDN в цепочке обмена.
Тем не менее, исследователи считают гораздо более опасным именно OBR. Несмотря на все сложности, успешная атака выводит из строя не отдельный сайт, а целый сегмент сети.
Группа обнаружила уязвимость еще в 2019 году и уже передала материалы всем крупнейшим провайдерам CDN. Но публично представит детали лишь на конференции DSN 2020 в июле. Конференция будет проведена через интернет.
