描述
敌人搜索并调用接口或功能,目标系统设计师不打算公开。如果接口失败进行身份验证请求,攻击者可以不授权调用功能。
扩展描述
敌人也可以搜索非法在硬件设备上,俗称“鸡”。这些位用于启用/禁用某些功能,但不发表。对手可以反向工程固件来识别隐藏的特性和改变这些部分在运行时实现恶意行为。
攻击的可能性
典型的严重性
执行流程
探索
识别服务: 发现服务感兴趣的探索服务注册上市或连接在一个已知端口或一些类似的意思。
技术
通过网络搜索,出版服务。
使用自动化工具来扫描端口识别互联网服务。
把代码从芯片然后执行逆向工程分析代码。
验证服务: 身份验证服务,如果需要,为了探索它。
技术
使用出版的凭证访问系统。
发现未发表的凭证来访问服务。
使用其他攻击模式或弱点绕过身份验证。
识别所有接口: 确定暴露接口通过查询注册表以及可能嗅公开接口,并不显式地列出。
技术
对于任何出版服务,决定公开接口通过文档提供的。
对于发现的任何服务,使用错误消息从差形成了服务调用来确定有效的接口。在某些情况下,与有效的电话服务将如何应对不佳形成的。
实验
试图发现未公开函数: 使用人工或自动手段,发现未发表或无证函数公开的服务。
技术
手动尝试调用服务使用一个受过教育的猜测方法,包括使用诸如“测试”、“调试”、“删除”等。
使用自动化工具来扫描服务尝试逆向接触,但无证,特性。
利用
利用未公开函数: 使用信息决定通过实验,利用未公开服务的功能。
技术
执行功能不能使用一般的系统用户。
工艺恶意调用功能不能使用通用的系统用户,利用安全漏洞中发现的功能。
先决条件
架构下的攻击必须发布或提供服务,客户端可以连接到,在未经过身份验证的方式,或取得身份验证令牌。服务不需要‘发现’,但如果它不是必须被攻击者发现。这可能包括监听一个著名的港口。最后,利用的可能性取决于弱势群体服务的可发现性。
技能要求
(等级:低)
许多web服务挖掘工具是免费帮助发现暴露web服务及其接口。如果web服务不是上市,攻击者不需要知道更多除了web服务消息的格式,他们可以嗅/监控。
所需资源
没有:不需要专门的资源来执行这种类型的攻击。Web服务挖掘工具可能是有益的。
后果
这个表指定不同的个体与攻击模式相关的后果。范围确定违反了安全属性,而影响了负面的技术影响,如果敌人成功的攻击。可能提供的信息如何可能的具体结果预计将看到列表中相对于其它后果。例如,可能有高可能性模式将被用来实现一定的影响,但较低的可能性,它将被利用来实现不同的影响。
范围
影响
可能性
保密
读取数据
保密
访问控制
授权
获得特权
缓解措施
身份验证服务和他们的发现和保护,身份验证机制简单地修复这个问题的大部分。保护认证涉及的标准方法,包括:1)保护的通道进行身份验证,2)防止盗窃、伪造、或预测的身份验证凭证或生成的令牌,或3)subversion的密码重置等。
例子,实例
在某种程度上,谷歌服务(如谷歌地图)都是著名的例子。调用这些服务,或将他们自己的(可能非常不同的)目的一样容易知道它们的存在。他们的公共使用,然而,谷歌的商业模式是一个有目的的方面。然而,大多数组织都没有相同的商业模式。组织发布服务通常依靠思想攻击者“不知道服务的存在”,“即使他们做了,他们不能够访问他们,因为他们不是在本地局域网。”Simple threat modeling exercises usually uncovers simple attack vectors that can invalidate these assumptions.
内容的历史
提交
提交日期
提交者
组织
2014-06-23
(版本2.6)
CAPEC内容团队
manbetx客户端首页
修改
修改日期
修饰符
组织
2015-12-07
(版本2.8)
CAPEC内容团队
manbetx客户端首页
更新Attack_Phases Attack_Prerequisites,总结描述
2017-08-04
(版本2.11)
CAPEC内容团队
manbetx客户端首页
更新Attack_Phases Resources_Required
2020-07-30
(版本3.3)
CAPEC内容团队
manbetx客户端首页
更新@ name、描述Execution_Flow、Related_Attack_Patterns Related_Weaknesses Skills_Required
2022-09-29
(版本3.8)
CAPEC内容团队
manbetx客户端首页
@ name更新,描述、Execution_Flow Extended_Description Related_Attack_Patterns
以前的条目名称
改变日期
以前的条目名称
2015-12-07
(版本2.8)
使用未公开的Web服务api
2020-07-30
(版本3.3)
使用未发表的api
2022-09-29
(版本3.8)
使用未发表的接口
描述
此表显示了其他的攻击模式和高水平类别相关的这种攻击模式。这些关系被定义为ChildOf ParentOf,给类似的项目可能存在的洞察力在较高和较低的抽象级别。此外,关系如光束,PeerOf, CanAlsoBe定义显示类似的攻击模式,用户可能想要探索。
内容的历史
