 描述
敌人利用不当输入验证通过提交恶意的输入到一个目标应用程序运行在一个服务器上,目标是迫使服务器请求要么本身,web服务运行在服务器的内部网络,或外部第三方。如果成功,对手的请求将由服务器的权限级别,绕过身份验证控件。这最终让对手访问敏感数据,执行命令在服务器上的网络,使外部请求与服务器的身份被盗。服务器端请求伪造攻击不同于跨站请求伪造攻击,他们目标服务器本身,而CSRF攻击利用一个不安全的用户身份验证机制来代表用户执行未经授权的操作。
攻击的可能性
典型的严重性
的关系
 此表显示了其他的攻击模式和高水平类别相关的这种攻击模式。这些关系被定义为ChildOf ParentOf,给类似的项目可能存在的洞察力在较高和较低的抽象级别。此外,关系如光束,PeerOf, CanAlsoBe定义显示类似的攻击模式,用户可能想要探索。
| 自然 |
类型 |
ID |
的名字 |
| ChildOf |
 元在CAPEC攻击模式——元级别攻击模式的量化无疑是一个抽象的描述一个特定的方法或技术用于攻击。元攻击模式往往是空虚的一个特定的技术或实现,旨在提供一个高水平的理解方法。元级攻击模式是一个泛化的攻击模式相关的标准水平。元级攻击模式尤其适用于架构和设计水平的威胁建模练习。 |
115年 |
认证绕过 |
| 光束 |
元在CAPEC攻击模式——元级别攻击模式的量化无疑是一个抽象的描述一个特定的方法或技术用于攻击。元攻击模式往往是空虚的一个特定的技术或实现,旨在提供一个高水平的理解方法。元级攻击模式是一个泛化的攻击模式相关的标准水平。元级攻击模式尤其适用于架构和设计水平的威胁建模练习。 |
122年 |
滥用特权 |
| 光束 |
 标准的攻击模式-一个标准的级别CAPEC中攻击模式是集中在一个特定的方法或技术用于攻击。它通常被视为一个单一的完全执行攻击。标准的攻击模式是为了提供足够的细节来理解特定的技术,以及它如何试图完成预期的目标。标准水平的攻击模式是一种特定类型的一个更抽象的元级别的攻击模式。 |
126年 |
路径遍历 |
| 光束 |
元在CAPEC攻击模式——元级别攻击模式的量化无疑是一个抽象的描述一个特定的方法或技术用于攻击。元攻击模式往往是空虚的一个特定的技术或实现,旨在提供一个高水平的理解方法。元级攻击模式是一个泛化的攻击模式相关的标准水平。元级攻击模式尤其适用于架构和设计水平的威胁建模练习。 |
161年 |
基础设施的操作 |
| 光束 |
标准的攻击模式-一个标准的级别CAPEC中攻击模式是集中在一个特定的方法或技术用于攻击。它通常被视为一个单一的完全执行攻击。标准的攻击模式是为了提供足够的细节来理解特定的技术,以及它如何试图完成预期的目标。标准水平的攻击模式是一种特定类型的一个更抽象的元级别的攻击模式。 |
253年 |
远程代码内容 |
| 光束 |
标准的攻击模式-一个标准的级别CAPEC中攻击模式是集中在一个特定的方法或技术用于攻击。它通常被视为一个单一的完全执行攻击。标准的攻击模式是为了提供足够的细节来理解特定的技术,以及它如何试图完成预期的目标。标准水平的攻击模式是一种特定类型的一个更抽象的元级别的攻击模式。 |
309年 |
网络拓扑映射 |
此表显示了这种攻击模式的观点属于和顶级类别内的这一观点。
执行流程
探索
找到目标应用程序:找到目标web应用程序接受用户输入,从服务器检索数据
实验
检查现有的应用程序请求:检查HTTP / GET请求来查看URL查询格式。对手测试是否这种类型的攻击是可能的在应用程序的弱点保护服务器端请求伪造
| 技术 |
| 尝试操作URL检索一个错误响应/从服务器代码来确定URL /请求验证完成。 |
| 使用XSS探针字符串指定的列表作为参数已知的url。如果可能的话,使用探针与惟一标识符字符串。 |
| 与常见的服务器创建一个GET请求/ etc / passwd文件路径等作为参数,检查输出。 |
利用
恶意的要求:对手工艺品恶意URL请求假定的特权级别服务器查询内部或外部网络服务并将请求发送给应用程序
先决条件
| 服务器必须运行一个web应用程序处理HTTP请求。 |
技能要求
|
(级别:中等) 敌人必须检测漏洞通过一个中介服务或指定恶意url和分析服务器响应。 |
|
(级别:高) 敌人将需要访问内部资源,提取信息,或利用服务运行在服务器上执行未经授权的操作如遍历本地网络或路由反射TCP DDoS。 |
所需资源
后果
这个表指定不同的个体与攻击模式相关的后果。范围确定违反了安全属性,而影响了负面的技术影响,如果敌人成功的攻击。可能提供的信息如何可能的具体结果预计将看到列表中相对于其它后果。例如,可能有高可能性模式将被用来实现一定的影响,但较低的可能性,它将被利用来实现不同的影响。
| 范围 |
影响 |
可能性 |
|
完整性
保密
可用性 |
修改数据 |
|
|
保密 |
读取数据 |
|
|
可用性 |
资源消耗 |
|
缓解措施
| 安全地处理传入请求的第一行是行动来减轻这个漏洞。这可以通过URL来完成验证。 |
| 进一步的流程流,检查按预期的响应和验证之前发送另一种安全的服务器。 |
| Allowlist的DNS名称或IP地址,每个服务web应用程序需要访问是另一种有效的安全措施。这样可以确保服务器不能让外部任意服务的请求。 |
| 为本地服务添加了一层安全性要求身份验证和对手之间的内部服务运行在服务器上。通过执行本地认证,敌人不会获得所有内部服务只有访问服务器。 |
| 执行相关的URL模式的使用。通过限制请求只有通过HTTP或HTTPS,例如,攻击通过不安全的模式,如文件:/ / ftp://等是可以预防的。 |
例子,实例
一个电子商务的网站允许客户通过特定类别过滤结果。当客户选择的类别选择,网络商店查询后端服务来检索请求的产品。请求可能看起来像:
恶意用户可以修改请求URL看起来像这样:
POST HTTP / 1.0 /产品/类别
内容类型:应用程序/ x-www-form-urlencoded
内容长度:200
vulnerableService = http://localhost/server-status
或
vulnerableService =文件:/ / / etc / passwd
或
vulnerableService = dict类型:/ / localhost: 12345 /信息
如果开发成功,服务器可能会返回所请求的数据的对手
根:!:0时::/:/ usr / bin / ksh
守护进程:!:1:1::/ etc:
本:!:2:2::/ bin:
sys: !:三3::/ usr / sys:
adm !: 4:4:: / var / adm:
uucp !: 5:: / usr / lib / uucp:
客人:!:100:100::/ home /客人:
没有人:!:4294967294:4294967294::/:
lpd !: 9:4294967294:: /:
lp: *: 11:: / var / spool / lp: / bin /假的
invscout: *: 200:1:: / var / adm / invscout: / usr / bin / ksh
nuucp: *: 6:5: uucp登录用户:/ var / spool / uucppublic: / usr / sbin / uucp / uucico
保罗:!:201:1::/ home /保罗:/ usr / bin / ksh
jdoe: *: 202:1:我的名字:/ home /的名字:/ usr / bin / ksh
|
SSRF CallStranger攻击是一个观察到的例子。它专门针对“(通用即插即用)协议所使用的各种网络设备和游戏控制台。执行攻击,敌人执行扫描局域网的发现“启用设备,随后他们使用“服务的列表。一旦列出了“服务端点,脆弱的“协议是用来发送这些端点加密验证服务器通过“回调方法。因为加密是在客户端完成,服务器将返回一个加密列表的服务是在客户端进行解密。对手然后运行服务的列表“脆弱的协议,而对手可以利用欺骗的请求。(ref - 646] |
分类法映射
CAPEC映射ATT&CK技术利用一个继承模型简化和减少直接CAPEC / ATT&CK映射。继承的映射表示文本说明父CAPEC有相关ATT&CK映射。注意,ATT&CK企业框架不使用一个继承模型的一部分映射到CAPEC。
引用
 内容的历史
| 提交 |
| 提交日期 |
提交者 |
组织 |
| 2021-06-24
(版本3.5) |
CAPEC内容团队 |
manbetx客户端首页 |
|
| 修改 |
| 修改日期 |
修饰符 |
组织 |
| 2021-10-21
(版本3.6) |
CAPEC内容团队 |
manbetx客户端首页 |
| 更新Execution_Flow |
| 2022-09-29
(版本3.8) |
CAPEC内容团队 |
manbetx客户端首页 |
| 更新Example_Instances |
|
描述
此表显示了其他的攻击模式和高水平类别相关的这种攻击模式。这些关系被定义为ChildOf ParentOf,给类似的项目可能存在的洞察力在较高和较低的抽象级别。此外,关系如光束,PeerOf, CanAlsoBe定义显示类似的攻击模式,用户可能想要探索。
内容的历史
