 描述
敌人的猜测、获得或“骑”信任标识符(例如会话ID、资源ID、饼干等)执行授权操作的幌子下经过身份验证的用户或服务。
扩展描述
攻击利用信任标识符通常导致对手本地网络内的横向移动,因为用户通常允许在网络验证系统/应用程序使用相同的标识符。这使得对手获得敏感数据,下载/安装恶意软件系统上,冒充合法用户,社会工程的目的,等等。
攻击信任标识符利用一些软件接受用户输入的事实没有验证其真实性。许多服务器端过程容易受到这些攻击,因为服务器到服务器通信并没有从安全的角度分析或其他系统“信任”的过程,因为他们是在防火墙后面。同样,服务器使用容易猜测或spoofable方案代表数字身份也可以很脆弱。这些系统经常使用没有加密和数字签名方案(或破碎的加密)。标识符可以猜测或获得由于随机性不足,可怜的保护(通过/存储在明确),缺少完整性(无符号),或者与访问控制策略实施点不当相关。暴露的配置和属性文件包含敏感数据可能另外给敌人提供所需的信息来获取这些标识符。敌人也可能“骑”通过恶意链接一个标识符,是在跨站请求伪造(CSRF)攻击。
无论攻击向量,成功的欺骗和模拟的可信凭证可以导致敌人打破身份验证、授权和审计控制与目标系统或应用程序。
攻击的可能性
典型的严重性
的关系
 此表显示了其他的攻击模式和高水平类别相关的这种攻击模式。这些关系被定义为ChildOf ParentOf,给类似的项目可能存在的洞察力在较高和较低的抽象级别。此外,关系如光束,PeerOf, CanAlsoBe定义显示类似的攻击模式,用户可能想要探索。
| 自然 |
类型 |
ID |
的名字 |
| ParentOf |
 标准的攻击模式-一个标准的级别CAPEC中攻击模式是集中在一个特定的方法或技术用于攻击。它通常被视为一个单一的完全执行攻击。标准的攻击模式是为了提供足够的细节来理解特定的技术,以及它如何试图完成预期的目标。标准水平的攻击模式是一种特定类型的一个更抽象的元级别的攻击模式。 |
62年 |
跨站请求伪造 |
| ParentOf |
标准的攻击模式-一个标准的级别CAPEC中攻击模式是集中在一个特定的方法或技术用于攻击。它通常被视为一个单一的完全执行攻击。标准的攻击模式是为了提供足够的细节来理解特定的技术,以及它如何试图完成预期的目标。标准水平的攻击模式是一种特定类型的一个更抽象的元级别的攻击模式。 |
196年 |
通过建立会话证书造假 |
| ParentOf |
标准的攻击模式-一个标准的级别CAPEC中攻击模式是集中在一个特定的方法或技术用于攻击。它通常被视为一个单一的完全执行攻击。标准的攻击模式是为了提供足够的细节来理解特定的技术,以及它如何试图完成预期的目标。标准水平的攻击模式是一种特定类型的一个更抽象的元级别的攻击模式。 |
510年 |
SaaS用户请求伪造 |
| ParentOf |
标准的攻击模式-一个标准的级别CAPEC中攻击模式是集中在一个特定的方法或技术用于攻击。它通常被视为一个单一的完全执行攻击。标准的攻击模式是为了提供足够的细节来理解特定的技术,以及它如何试图完成预期的目标。标准水平的攻击模式是一种特定类型的一个更抽象的元级别的攻击模式。 |
593年 |
会话劫持 |
| PeerOf |
标准的攻击模式-一个标准的级别CAPEC中攻击模式是集中在一个特定的方法或技术用于攻击。它通常被视为一个单一的完全执行攻击。标准的攻击模式是为了提供足够的细节来理解特定的技术,以及它如何试图完成预期的目标。标准水平的攻击模式是一种特定类型的一个更抽象的元级别的攻击模式。 |
12 |
选择消息标识符 |
此表显示了这种攻击模式的观点属于和顶级类别内的这一观点。
执行流程
探索
调查申请指标的敏感性:使用各种方法,直到找到一个适用于目标,饼干的对手探针,会话令牌,或者干脆绕过标识符的入口点。
| 技术 |
| 蜘蛛所有可用的页面 |
| 已知攻击糟糕的接口 |
| 搜索面朝外的配置和属性文件标识符。 |
实验
获取样本:敌人获取许多样品的标识符。这可能是通过合法的访问(登录、合法连接等)或通过系统的调查。
| 技术 |
| 敌人让许多匿名连接会话id分配和记录。 |
| 敌人使授权连接和会话令牌记录或凭证。 |
| 敌人获得访问(合法或非法)附近的一个系统(例如,在相同的业务网络,DMZ,或本地网络)和连接,试图获得可信的系统一样的特权。 |
利用
模拟:敌人可以使用成功的实验或认证来模拟一个授权的用户或系统或横向移动在一个系统或应用程序 欺骗:恶意数据可以注入到目标系统或用户系统的受害者的对手。敌人也可以冒充合法用户执行社会工程攻击。 数据漏出:敌人可以获得敏感数据包含在系统或应用程序。
先决条件
| 服务器软件必须依靠弱标识符证明和/或验证方案。 |
| 标识符必须长寿命和潜在的可重用性。 |
| 服务器软件必须允许并发会话存在。 |
技能要求
|
(等级:低) 实现与薄弱或不存在的服务器直接连接会话的访问控制,并作为授权用户 |
所需资源
| 网络上部署软件的能力。 |
| 沟通能力与服务器同步或异步。 |
后果
这个表指定不同的个体与攻击模式相关的后果。范围确定违反了安全属性,而影响了负面的技术影响,如果敌人成功的攻击。可能提供的信息如何可能的具体结果预计将看到列表中相对于其它后果。例如,可能有高可能性模式将被用来实现一定的影响,但较低的可能性,它将被利用来实现不同的影响。
| 范围 |
影响 |
可能性 |
|
保密
访问控制
身份验证 |
获得特权 |
|
|
保密 |
读取数据 |
|
|
完整性 |
修改数据 |
|
缓解措施
| 设计:利用强大的联合身份如加密和签名SAML身份令牌在运输途中。 |
| 实现:使用行业标准会话密钥生成机制,利用熵的大量生成会话密钥。许多标准的web服务器和应用服务器将代表你执行这个任务。 |
| 实现:如果用于身份验证的标识符,如所谓的单点登录用例,然后确保保护保证相同级别的身份验证令牌。 |
| 实现:如果网络或应用程序服务器支持它,然后加密和/或签名的标识符(比如饼干)可以保护如果拦截的ID。 |
| 设计:使用强大的会话标识符,在运输过程中受到保护,在休息。 |
| 实现:使用所有会话的会话超时,例如20分钟。如果用户没有明确注销,服务器终止他们的会议在这静止期。如果用户日志然后生成一个新的会话密钥。 |
| 实现:在运行时验证真实性的标识符。 |
例子,实例
瘦客户机应用程序(如web应用程序特别容易受到攻击会话ID。由于服务器很少控制客户端,但仍必须跟踪会话、数据和对象在服务器端,饼干和其他机制被用来传递的关键客户端和服务器之间的会话数据。当这些会话密钥被泄露是微不足道的敌人来模拟用户的会话实际上,作为授权用户具有相同的功能。一个对手的方法主要有两种利用会话id。 蛮力攻击包括敌人多次试图与欺骗会话查询系统在HTTP请求头。web服务器,它使用一个简短的会话ID很容易欺骗通过许多可能的组合参数会话ID = 1234几乎没有可能的组合,和一个对手可以重试几百或几千请求他们这方面没有问题。 第二种方法是拦截,等工具wireshark用于嗅丝和完成任何未受保护的会话标识符。敌人可以使用这些变量和访问应用程序。 |
| 例如,在一个消息队列系统,允许服务请求者通过公开渠道发布消息的队列(例如匿名FTP),授权是通过检查组或角色从属关系包含在发布消息。然而,没有证据证明消息本身,消息中的信息(组或角色从属关系),或写了消息队列的过程是真实的和被授权这样做。 |
分类法映射
CAPEC映射ATT&CK技术利用一个继承模型简化和减少直接CAPEC / ATT&CK映射。继承的映射表示文本说明父CAPEC有相关ATT&CK映射。注意,ATT&CK企业框架不使用一个继承模型的一部分映射到CAPEC。
相关ATT&CK分类法映射
引用
|
[REF-1] g·霍格伦德和g·麦格劳。“利用软件:如何打破代码”。addison - wesley。2004 - 02。 |
 内容的历史
| 提交 |
| 提交日期 |
提交者 |
组织 |
| 2014-06-23
(版本2.6) |
CAPEC内容团队 |
manbetx客户端首页 |
|
| 修改 |
| 修改日期 |
修饰符 |
组织 |
| 2015-11-09
(版本2.7) |
CAPEC内容团队 |
manbetx客户端首页 |
| 更新Related_Attack_Patterns |
| 2020-07-30
(版本3.3) |
CAPEC内容团队 |
manbetx客户端首页 |
| 更新@ name, @Status后果、描述Example_Instances, Execution_Flow,移植,先决条件,Resources_Required Taxonomy_Mappings |
| 2020-12-17
(版本3.4) |
CAPEC内容团队 |
manbetx客户端首页 |
| 更新描述,Example_Instances |
| 2021-06-24
(版本3.5) |
CAPEC内容团队 |
manbetx客户端首页 |
| 更新Taxonomy_Mappings |
| 2022-02-22
(版本3.7) |
CAPEC内容团队 |
manbetx客户端首页 |
| 更新描述,Extended_Description |
| 2022-09-29
(版本3.8) |
CAPEC内容团队 |
manbetx客户端首页 |
| 更新Taxonomy_Mappings |
| 以前的条目名称 |
| 改变日期 |
以前的条目名称 |
| 2015-11-09
(版本2.7) |
会话变量,开发资源id和其他可信凭证 |
|
| 2020-07-30
(版本3.3) |
利用可信凭证 |
|
|
描述
此表显示了其他的攻击模式和高水平类别相关的这种攻击模式。这些关系被定义为ChildOf ParentOf,给类似的项目可能存在的洞察力在较高和较低的抽象级别。此外,关系如光束,PeerOf, CanAlsoBe定义显示类似的攻击模式,用户可能想要探索。
内容的历史
