 描述
攻击者发起跨域HTTP / GET请求和时间服务器响应。这些反应的时机可能泄露重要信息在服务器上发生了什么。浏览器的同源策略阻止攻击者直接读取服务器响应(在没有任何其他的弱点),但并不阻止攻击者时间响应要求攻击者发出了跨域。
扩展描述
为GET请求例如攻击者可以利用“img标记结合" onload () / onerror () javascript事件。POST请求,攻击者可以利用“iframe元素和利用“onload()”活动。没有在当前浏览器的安全模型,可以防止攻击者使用这些方法,对攻击者的跨域请求。这些反应的时机泄漏信息。例如,如果有一个活跃的受害者会话与他们在线电子邮件帐户,攻击者可以在受害者的邮箱发出搜索请求。当攻击者不能查看反应,根据反应的时间,攻击者可以问是/否的问题,受害者的电子邮件的内容,那些受害者邮件,,等等。这只是一个例子;还有其他的场景中,攻击者可能推断出敏感信息跨域请求通过时间响应泄漏信息的同时提出正确的问题。
典型的严重性
执行流程
探索
确定服务跨域请求发送到:敌人首先确定哪些服务他们将发送请求
实验
发送时间和各种跨域请求:敌人将各种跨域请求发送到目标,定时时间目标作出回应。虽然他们无法读取响应,对手可以利用这段时间来推断信息服务做了什么在接收请求。
| 技术 |
| 使用GET请求,利用“img标记结合" onload () / onerror () javascript事件响应 |
| 使用POST请求,利用“iframe元素和使用onload()”事件回应 |
利用
推断的信息响应时间:获得各种各样的请求响应时间后,对手会比较这些时间和推断潜在的敏感信息。一个例子可能是要求服务检索信息和随机用户名。如果一个请求花费的时间来处理,很可能用户使用该用户名存在,敌人可能是有用的知识。
| 技术 |
| 比较不同请求的时机来推断潜在的敏感目标服务的信息 |
先决条件
| 能力发出GET / POST请求交叉domainJava启用脚本在受害者的browserThe受害者的网站有一个活跃的会话攻击者想要获得informationThe受害者的网站并不保护搜索功能与跨站请求伪造(CSRF)保护 |
技能要求
所需资源
后果
 这个表指定不同的个体与攻击模式相关的后果。范围确定违反了安全属性,而影响了负面的技术影响,如果敌人成功的攻击。可能提供的信息如何可能的具体结果预计将看到列表中相对于其它后果。例如,可能有高可能性模式将被用来实现一定的影响,但较低的可能性,它将被利用来实现不同的影响。
缓解措施
| 设计:受害者的网站可能保护所有敏感的功能(如搜索功能)与跨站请求伪造(CSRF)代表伪造保护和不执行任何工作的请求 |
| 设计:浏览器的安全模型可以固定不泄漏计时信息跨域请求 |
引用
 内容的历史
| 提交 |
| 提交日期 |
提交者 |
组织 |
| 2014-06-23
(版本2.6) |
CAPEC内容团队 |
manbetx客户端首页 |
|
| 修改 |
| 修改日期 |
修饰符 |
组织 |
| 2015-11-09
(版本2.7) |
CAPEC内容团队 |
manbetx客户端首页 |
| 更新Related_Attack_Patterns |
| 2017-01-09
(版本2.9) |
CAPEC内容团队 |
manbetx客户端首页 |
| 更新Related_Attack_Patterns |
| 2020-07-30
(版本3.3) |
CAPEC内容团队 |
manbetx客户端首页 |
| 更新后的后果 |
| 2020-12-17
(版本3.4) |
CAPEC内容团队 |
manbetx客户端首页 |
| 更新的措施之一 |
| 2021-10-21
(版本3.6) |
CAPEC内容团队 |
manbetx客户端首页 |
| 更新Execution_Flow |
| 2022-02-22
(版本3.7) |
CAPEC内容团队 |
manbetx客户端首页 |
| 更新描述,Extended_Description |
|
描述
此表显示了其他的攻击模式和高水平类别相关的这种攻击模式。这些关系被定义为ChildOf ParentOf,给类似的项目可能存在的洞察力在较高和较低的抽象级别。此外,关系如光束,PeerOf, CanAlsoBe定义显示类似的攻击模式,用户可能想要探索。
内容的历史
