新CAPEC吗?从这里开始
家>CAPEC列表> capec - 197:指数数据扩张(版本3.9)

capec - 197:指数数据扩张
攻击模式ID: 197
抽象:详细的
视图定制的信息:
+描述
敌人提交数据到目标应用程序包含嵌套的指数数据扩张产生大量输出。许多数据格式语言允许类似于宏结构的定义,可用于简化复杂结构的创建。然而,这种能力可以被滥用来创建过度要求处理器的CPU和内存。少量的嵌套的扩张会导致要求记忆的指数增长。
+替代条款

术语:十亿笑攻击

术语:XML炸弹

术语:XML实体扩张(XEE)

+攻击的可能性

高

+典型的严重性

媒介

+的关系
部分帮助此表显示了其他的攻击模式和高水平类别相关的这种攻击模式。这些关系被定义为ChildOf ParentOf,给类似的项目可能存在的洞察力在较高和较低的抽象级别。此外,关系如光束,PeerOf, CanAlsoBe定义显示类似的攻击模式,用户可能想要探索。
自然 类型 ID 的名字
ChildOf 标准的攻击模式标准的攻击模式-一个标准的级别CAPEC中攻击模式是集中在一个特定的方法或技术用于攻击。它通常被视为一个单一的完全执行攻击。标准的攻击模式是为了提供足够的细节来理解特定的技术,以及它如何试图完成预期的目标。标准水平的攻击模式是一种特定类型的一个更抽象的元级别的攻击模式。 230年 序列化数据与嵌套的有效载荷
光束 详细的攻击模式详细的攻击模式-一个详细级别攻击模式CAPEC提供了一个低水平的细节,通常利用一个特定的技术和针对特定的技术,并表达一个完整的执行流程。详细的攻击模式比元更具体的攻击模式和标准的攻击模式,通常需要一个特定的保护机制来减轻实际攻击。详细的级别攻击模式通常会利用许多不同的标准水平攻击模式链接在一起来完成一个目标。 228年 DTD注入
部分帮助此表显示了这种攻击模式的观点属于和顶级类别内的这一观点。
视图名称 顶级类别
域的攻击 软件
机制的攻击 滥用现有功能
+执行流程
探索

  1. 调查目标:敌人决定了输入数据流处理的数据解析器,它支持使用subsitituion在受害者的一边。

    技术
    使用自动化工具来记录所有实例处理请求的url。
    网站使用浏览器手动探索和分析应用程序如何处理请求。
实验

  1. 工艺恶意负载:对手工艺品恶意消息包含嵌套指数扩张,完全消耗服务器资源可用。有关详细信息,请参阅“实例”部分关于如何制作恶意负载。

利用

  1. 发送消息:恶意的消息发送到目标URL。

+先决条件
这种类型的攻击目标要求必须接受输入,但未能提供一个上限实体扩张或提供一个极限,是如此巨大,并不排除重大资源消耗。
+技能要求
(等级:低)
工艺嵌套数据扩大消息的能力。
+所需资源
没有:不需要专门的资源来执行这种类型的攻击。
+后果
部分帮助这个表指定不同的个体与攻击模式相关的后果。范围确定违反了安全属性,而影响了负面的技术影响,如果敌人成功的攻击。可能提供的信息如何可能的具体结果预计将看到列表中相对于其它后果。例如,可能有高可能性模式将被用来实现一定的影响,但较低的可能性,它将被利用来实现不同的影响。
范围 影响 可能性
可用性
不可靠的执行
资源消耗
+缓解措施
设计:使用库和模板,减少过滤输入。使用限制实体扩张和抛出异常的方法尝试实体扩张。
实现:基于XML数据——完全禁用使用内联DTD模式解析XML对象时。如果必须使用DTD,规范化、过滤和使用一个allowlist和解析的方法和程序将检测实体扩张不可信来源。
+例子,实例

这种类型的攻击的最常见的例子是“很多笑”攻击(有时称为“十亿笑”攻击)。例如:

< ?xml version = " 1.0 " ? >
< !DOCTYPE lolling [
< !实体lol“lol”>
< !实体lol2”哈哈,哈哈,哈哈,哈哈,哈哈,哈哈,哈哈,哈哈,哈哈,哈哈,”>
< !实体lol3”&lol2; &lol2; &lol2 &lol2; &lol2; &lol2; &lol2; &lol2; &lol2; &lol2; " >
< !实体lol4”&lol3; &lol3; &lol3 &lol3; &lol3; &lol3; &lol3; &lol3; &lol3; &lol3; " >
< !实体lol5”&lol4; &lol4; &lol4 &lol4; &lol4; &lol4; &lol4; &lol4; &lol4; &lol4; " >
< !实体lol6”&lol5; &lol5; &lol5 &lol5; &lol5; &lol5; &lol5; &lol5; &lol5; &lol5; " >
< !实体lol7”&lol6; &lol6; &lol6 &lol6; &lol6; &lol6; &lol6; &lol6; &lol6; &lol6”>
< !实体lol8”&lol7; &lol7; &lol7 &lol7; &lol7; &lol7; &lol7; &lol7; &lol7; &lol7; " >
< !实体lol9”&lol8; &lol8; &lol8 &lol8; &lol8; &lol8; &lol8; &lol8; &lol8; &lol8; " >

]>
< lolling > &lol9; < / lolling >

这是完整的和有效的XML DTD。每个实体实体数量增加10倍。XML包含lol9的线;扩大了指数与10 ^ 9消息实体。几个KBs大小的小消息可以很容易地扩展到几个GB的内存解析器。包括三个实体类似lol9 DTD实体在上面的代码,程序可以扩大在结核病作为现在会有10 ^ 12实体。根据目标机器的可靠性,这可能导致资源枯竭、应用程序崩溃,甚至通过缓冲区溢出执行任意代码。

这个例子是类似的,但是使用YAML。这是用来攻击Kubernetes [ref - 686]

答:和[“lol”、“lol”、“lol”,“lol”,“lol”,“lol”,“lol”,“lol”,“lol”)
b: b [*, *, *, *, *, *, *, *, *)
c:明目的功效[* b, * b, * b, b *, *, *, * b, b *, * b]
c c d:研发[*,*,*,*,*,*,*,*,* c]
e: e * d, *, * d, d *, * d, * d, d *, * d * d]
f: f [* e, * * e * e, e, e *, *, *, *, * e)
g:一些[f f f *, *, *, *, *, *, *, *, * f]
h: h (g *, *, *, *, *, *, *, *, * g)
我:我(* h, * *, * h, h, h, h, h, h, h *)
+分类法映射
有关WASC分类法映射
条目ID 条目名称
44 XML实体扩张
+引用
阿米特·克莱因(ref - 64)。“多个供应商的XML解析器(和SOAP / web服务服务器)拒绝服务攻击使用DTD。<http://www.securityfocus.com/archive/1/303509>。
皮特·林德斯特伦(ref - 65)。“进攻和防守的Web服务”。塔尖安全。2002。<http://www.webtorials.com/main/comnet/cn2003/web-service/24.pdf>。
(ref - 66) Elliotte Rusty哈罗德。“提示:为安全配置SAX解析器处理”。IBM developerWorks。IBM。2005-05-27。<http://www.ibm.com/developerworks/xml/library/x-tipcfsx.html>。
布莱恩·沙利文(ref - 67)。“XML拒绝服务攻击和防御”。<http://msdn.microsoft.com/en-us/magazine/ee335713.aspx>。
布莱恩·沙利文(ref - 67)。“XML拒绝服务攻击和防御”。<http://msdn.microsoft.com/en-us/magazine/ee335713.aspx>。
+内容的历史
提交
提交日期 提交者 组织
2014-06-23
(版本2.6)
 CAPEC内容团队 manbetx客户端首页
修改
修改日期 修饰符 组织
2017-08-04
(版本2.11)
 CAPEC内容团队 manbetx客户端首页
更新Resources_Required
2018-07-31
(版本2.12)
 CAPEC内容团队 manbetx客户端首页
更新的引用
2020-07-30
(版本3.3)
 CAPEC内容团队 manbetx客户端首页
更新的措施之一
2020-12-17
(版本3.4)
 CAPEC内容团队 manbetx客户端首页
更新Related_Attack_Patterns Taxonomy_Mappings
2021-10-21
(版本3.6)
 CAPEC内容团队 manbetx客户端首页
更新@ name, Alternate_Terms描述、Example_Instances Execution_Flow,移植,先决条件,Related_Weaknesses Skills_Required
2022-02-22
(版本3.7)
 CAPEC内容团队 manbetx客户端首页
更新Execution_Flow
2022-09-29
(版本3.8)
 CAPEC内容团队 manbetx客户端首页
更新Example_Instances
以前的条目名称
改变日期 以前的条目名称
2021-10-21
(版本3.6)
 XML实体扩张
更多的信息是可用的,请选择一个不同的过滤器。
页面最后更新或审查:2021年10月21日

使用常见的攻击模式枚举和分类(CAPEC)和相关的引用从这个网站的使用条款。CAPEC赞助的美国国土安全部(DHS)网络和基础设施安全机构(CISA)和管理的国土安全系统工程和发展研究所这是由(HSSEDI)manbetx客户端首页(斜方)。版权©2007 - 2023,斜方公司。manbetx客户端首页CAPEC和CAPEC标志是斜方公司的商标。manbetx客户端首页