CAPEC-39:操作不透明的基于客户机的数据令牌 |
 描述
在一个应用程序包含重要数据的情况下,客户端在令牌(饼干、url、数据文件,等等),可以操纵数据。如果客户端或服务器端应用程序组件重新诠释数据作为身份验证令牌或数据(如存储项目定价或钱包信息)然后甚至不透明操作,数据可能对攻击者结出果实。在这个模式中攻击者破坏了假设客户端令牌已经充分防止篡改通过使用加密或模糊。
攻击的可能性
典型的严重性
执行流程
探索
列举信息传递给客户端:攻击者识别的参数作为令牌采取业务或安全决策的一部分
| 技术 |
| 使用WebScarab揭示隐藏字段,浏览。 |
| 使用嗅探器捕获数据包 |
| 查看源代码的网页找到隐藏字段 |
| 检查网址是否任何不透明的令牌 |
| 拆卸或反编译客户端应用程序 |
| 使用调试工具,如文件监控、注册表监控、调试器等。 |
确定保护机制不透明的令牌:攻击者决定了保护机制用于保护这些数据的机密性和完整性令牌。他们可能会混淆或全面的加密可以使用。
| 技术 |
| 寻找知名字符编码的迹象 |
| 寻找加密签名 |
| 寻找分隔符或其他指标的结构 |
实验
修改参数/令牌值:在每个参数反过来,攻击者修改值
| 技术 |
| 修改标记逻辑 |
| 修改标记用算术方法 |
| 修改标志位 |
| 修改标记的结构组件 |
| 修改参数的顺序/令牌 |
循环每个参数的值。取决于应用程序的性质,攻击者现在周期通过每个参数的值和观察的影响这一修改服务器返回的数据
| 技术 |
| 使用网络级数据包注入netcat等工具 |
| 使用应用程序级数据修改工具,如篡改数据,WebScarab, TamperIE等等。 |
| 使用修改客户端(由逆向工程修改) |
| 在客户端使用调试工具来修改数据 |
先决条件
| 攻击者已经有了一些访问系统或可以窃取客户的基础数据从另一个用户访问令牌系统。 |
| 为攻击者可行地执行这种攻击,一些数据由应用程序(稍后解释)客户端必须举行的方式可以操作没有检测。这意味着数据或令牌不是CRCd作为价值的一部分,或者通过一个单独的元数据存储在其他地方。 |
技能要求
|
(级别:中等) 如果客户的网站令牌是混淆视听。 |
|
(级别:高) 如果客户的网站令牌加密。 |
所需资源
| 攻击者不需要特殊的基于硬件的资源来进行这种攻击。软件插件,比如Firefox的篡改数据,可以帮助操作URL或基于cookie的数据。 |
后果
 这个表指定不同的个体与攻击模式相关的后果。范围确定违反了安全属性,而影响了负面的技术影响,如果敌人成功的攻击。可能提供的信息如何可能的具体结果预计将看到列表中相对于其它后果。例如,可能有高可能性模式将被用来实现一定的影响,但较低的可能性,它将被利用来实现不同的影响。
| 范围 |
影响 |
可能性 |
|
完整性 |
修改数据 |
|
|
保密
访问控制
授权 |
获得特权 |
|
缓解措施
| 对于这个问题,一个解决方案是保护与某种CRC加密数据。如果知道谁最后操纵数据是很重要的,然后使用一个密码“消息身份验证代码”(hMAC)规定。然而,这种指导不是万能药。特别是,任何值由客户端(因此加密的),这本身就是一个“恶意”价值,世界上所有的保护密码不能再“正确”的价值。简单地说,如果客户端控制的整个过程生成和编码值,然后简单地保护其完整性没有帮助。 |
| 一定要保护客户端身份验证令牌的机密性(加密)和完整性(签署了散列) |
| 确保所有会话令牌使用随机性的良好来源 |
| 在服务器端进行验证,以确保客户端数据令牌与预计相符。 |
例子,实例
| 以一定的价格看网站,总产品价格,用户可以通过任何一个供应商购买物品的产品可用性,最好的价格,或其他区别。一旦用户选择一个项目,网站必须与供应商代理购买的物品。因为供应商出售同样的产品在不同的价格,通过不同的渠道合作伙伴之间的标记交换价格看网站和销售厂商通常会包含价格信息。有一些价格看网站,操纵URL-data(加密)甚至不透明收益率满足不同价格的供应商。如果操纵价格高,攻击者可以取消购买。如果攻击者成功地操纵令牌和创建一个更低的价格,他们继续。 |
| 在成功验证用户授予一个加密的身份验证cookie的服务器和存储在客户机上。一条信息存储在身份验证cookie反映了用户的访问级别(如。用户“u”)。身份验证cookie是使用电子加密代码书(ECB)模式,天真地加密的明文块分别到每个密文块。攻击者知道饼干的结构,可以找出(加密)存储信息与用户的访问级别。攻击者修改身份验证cookie和有效替代品“u”为“a”抛一些相应的密文(试验和错误)。一旦发现了正确的“翻转”,访问系统时,攻击者是授予管理权限的系统。注意,在这种情况下,攻击者并没有找出准确的加密算法或找到密钥,而仅仅是利用固有的弱点使用欧洲央行的加密模式。 |
| 大天使Weblog 0.90.02允许远程攻击者绕过身份验证通过设置ba_admin饼干1。参见:cve - 2006 - 0944 |
 内容的历史
| 提交 |
| 提交日期 |
提交者 |
组织 |
| 2014-06-23
(版本2.6) |
CAPEC内容团队 |
manbetx客户端首页 |
|
| 修改 |
| 修改日期 |
修饰符 |
组织 |
| 2017-01-09
(版本2.9) |
CAPEC内容团队 |
manbetx客户端首页 |
| 更新Related_Attack_Patterns |
| 2019-04-04
(版本3.1) |
CAPEC内容团队 |
manbetx客户端首页 |
| 更新Related_Attack_Patterns |
| 2020-07-30
(版本3.3) |
CAPEC内容团队 |
manbetx客户端首页 |
| 更新Example_Instances |
|
描述
此表显示了其他的攻击模式和高水平类别相关的这种攻击模式。这些关系被定义为ChildOf ParentOf,给类似的项目可能存在的洞察力在较高和较低的抽象级别。此外,关系如光束,PeerOf, CanAlsoBe定义显示类似的攻击模式,用户可能想要探索。
内容的历史
