常见的攻击模式枚举和分类

1. 确定秘密测试过程:确定一个潜在的猜的秘密可能被测试。这可能是通过比较一些操纵一个已知的秘密值,使用秘密操纵一些已知的一组数据并确定结果显示特定的特征(例如,把密码电文变成明文),或通过提交的秘密一些外部权威和外部权威回应值是否正确的秘密。理想情况下,攻击者想要确定的正确性以来想独立外部权威的参与通常是慢的,可以提供一个指示的后卫蛮力攻击企图。

   技术
   是否有一种方法可以并行化攻击。大多数蛮力攻击可以利用并行技术通过将可用资源的搜索空间,从而成功的平均时间除以可用资源的数量。如果有一个瓶颈,如需要检查答案与外部权威,攻击者的立场明显退化。

2. 减少搜索空间:找到方法来减少的秘密空间。攻击者可以使空间越小,他们需要寻找秘密值,成功的机会就越大。有许多方法的搜索空间可能会减少。

   技术
   如果可能的话,确定被选的秘密。如果秘密决定算法(如由随机数字生成器)算法可能模式或依赖,减少的秘密空间的大小。如果秘密是由人类行为因素可能,如果不是完全减少空间,使某些类型的秘密比其他人更有可能。(例如,人类可能在多个地方使用相同的秘密或使用秘密看起来或听起来熟悉易于回忆。)
   如果选择算法的秘密,密码分析可以应用于算法发现模式的算法。(这是真的,即使秘密不是用于加密)。周期性、需要种子值或发电机的弱点都可能导致一个小得多的秘密空间。
   如果这个秘密被一个人,社会工程和简单的间谍活动可以在他们的秘密选择显示模式。如果旧的秘密可以学到(目标可能会觉得他们没有需要保护的秘密,已经取代)暗示,可以了解他们的选择偏好。这些可以包括字符替换目标使用,模式来源(日期、著名的短语,音乐歌词,家庭成员,等等)。一旦确定,这些模式的初始工作蛮力攻击可以集中在这些地区。
   一些算法的技术秘密选择可能离开指标检测相对容易,可以用来消除大面积搜索空间的考虑。例如,它可能是能够确定一个秘密或不从一个给定的角色在一个相对小数量的测试。或者,它可能发现秘密的长度相对容易。这些发现将大大降低搜索空间,从而增加速度攻击者发现这个秘密。

3. 扩大胜利条件:有时可能扩大胜利条件。例如,攻击者可能不需要知道确切的秘密,只是需要一个值,使用一个单向函数产生相同的结果。虽然这样做并不减少搜索空间的大小,存在多个胜利条件并减少可能的时间,攻击者需要探索太空之前找到一个可行的价值。

1. 收集信息,所以攻击可以独立执行。如果可能的话,收集必要的信息,一个成功的搜索可以确定没有咨询外部的权威。这可以通过捕获密码电文(如果目标是解码文本)或加密的密码字典(如果目标是学习密码)。

术语:会话控制

1. 探索目标网站:攻击者首先探讨了目标网站确定的功能感兴趣的(比如转账)。攻击者需要一个合法的用户帐户在目标网站。它将有助于有两个账户。

   技术
   使用web应用程序的调试工具,如WebScarab,篡改数据或TamperIE分析客户机和服务器之间交换的信息
   使用网络嗅探工具如Wireshark分析客户机和服务器之间交换的信息
   查看web页面的HTML源代码包含链接或按钮,执行操作的兴趣。

1. 创建一个链接,当点击时,将执行有趣的功能。攻击者需要创建一个链接,将执行一些有趣的功能,如转账、修改密码等。

   技术
   创建一个GET请求包含所有必需的参数(例如,https://www.somebank.com/members/transfer.asp?to=012345678901&amt=10000)
   创建一个表单,提交一个POST请求(例如<形式方法= " POST " action = " https://www.somebank.com/members/transfer.asp " > < input type = "隐藏" Name = "到" value = " 012345678901 " / > < input type = "隐藏" Name =“amt”价值= " 10000 " / > < input type = "提交" src = " clickhere.jpg " / > < /形式>

1. 说服用户点击链接:最后,攻击者需要说服用户登录到目标网站点击链接执行CSRF攻击。

   技术
   执行网络钓鱼攻击和说服他们向用户发送一封电子邮件,点击一个链接。
   执行一个存储XSS攻击的网站永久嵌入恶意链接进入网站。
   执行一个存储XSS攻击网站,XMLHTTPRequest对象将自动执行攻击一旦用户访问页面。这消除了一步让用户点击一个链接。
   包括攻击者恶意链接的网站,用户可以单击链接时,或者一个XMLHTTPRequest对象可能用户访问网站时自动执行攻击。

1. 调查申请用户可控的输入:使用浏览器或一个自动化工具,攻击者遵循所有公共和行动在一个网站的链接。他们记录所有的链接、表单、资源访问web应用程序和所有其他可能的切入点之一。

   技术
   使用搜索工具跟踪和记录所有的链接和分析网页找到入口点。特别注意任何链接,包括参数的URL。
   使用一个代理工具来记录所有的链接访问web应用程序的手册中遍历。
   网站使用浏览器手动探索和分析它是如何构建的。许多浏览器的插件可以促进分析或自动发现。

1. XSS漏洞探测识别潜在入口点:攻击者使用入口点聚集在“探索”阶段作为目标列表和注入各种常见脚本载荷可以确定一个入口点实际上代表一个脆弱和描述在多大程度上可以利用的漏洞。

   技术
   使用XSS探针字符串列表注入脚本参数已知的url。如果可能的话,探测器字符串包含一个惟一的标识符。
   使用一个代理工具记录结果XSS探针的手工输入url。
   使用XSS探针字符串列表界面输入字段注入脚本。如果可能的话,探测器字符串包含一个惟一的标识符。
   使用XSS探针的列表字符串注入脚本资源访问的应用程序。如果可能的话,探测器字符串包含一个惟一的标识符。

1. 窃取会话id,凭证、页面内容等。攻击者成功利用该漏洞,他们可以选择窃取用户的凭证,以便重用或分析。

   技术
   开发恶意JavaScript,注入通过向量确定了在实验阶段和加载受害者的浏览器和文档信息发送给攻击者。
   开发通过向量确定注入恶意JavaScript在实验阶段从攻击者的服务器和接受命令,然后导致浏览器适当地执行。

2. 有力的浏览:当攻击者的目标当前应用程序或另一个(通过CSRF漏洞),用户将被人在毫不知情的情况下完成攻击。这些攻击主要是针对应用程序逻辑缺陷,但它也可以用来创建一个广泛的攻击一个特定的网站用户的当前网络(互联网)。

   技术
   开发恶意JavaScript,注入通过向量确定在实验阶段和由受害者的浏览器加载并执行操作在同一个网站
   开发通过向量确定注入恶意JavaScript在实验阶段从攻击者的服务器和接受命令,然后导致浏览器执行请求其他网站(尤其是CSRF漏洞的web应用程序)。

3. 内容欺骗:通过操作内容,攻击者的目标用户想要的信息的网站。

   技术
   开发恶意JavaScript,注入通过向量确定了在实验阶段和加载受害者的浏览器和暴露attacker-modified无效信息用户对当前web页面。

1. 找到目标web服务:敌人必须首先找到一个需要输入数据的web服务的形式序列化XML或YAML等语言。

1. 主机上的恶意文件服务器:对手将创建一个web服务器,其中包含一个恶意文件。这个文件将会非常大,所以如果一个web服务尝试加载它,服务很可能会挂起。

2. 工艺恶意数据:使用串行化语言的web服务,它接收,对手将工艺数据,使用一个外部实体引用链接到恶意文件文件的URL。

1. 包含URI发送序列化数据:对手将特别制作的序列化数据发送到web服务。当web服务加载输入时,它将尝试下载恶意文件。根据记忆的web服务的数量,这可以崩溃服务或使它挂起,导致拒绝服务攻击。

1. 调查申请用户可控的输入:使用一个浏览器,一个自动化工具或通过检查应用程序,敌人记录所有应用程序的入口点。

   技术
   使用搜索工具跟踪和记录所有的链接和分析网页找到入口点。特别注意任何链接,包括参数的URL。
   使用一个代理工具来记录所有用户输入入口点在手工遍历web应用程序的访问。
   网站使用浏览器手动探索和分析它是如何构建的。许多浏览器的插件可以促进分析或自动发现。
   手动检查应用程序找到入口点。

1. 探针的入口点来定位漏洞:对手使用入口点聚集在“探索”阶段作为目标列表和注入后缀零字节(s)观察应用程序如何处理他们作为输入。敌人正在寻找用户输入的地方放置在中间的一个字符串,和零字节会导致应用程序停止处理用户输入的字符串结束时。

   技术
   尝试不同的编码等零\ 0或% 00

1. 删除数据后零字节(s):确定后脆弱的入口点,对手的地方空字节(s),这样就删除数据后零字节(s)的方式是有益的。

   技术
   如果输入是一个目录的文件路径,添加一个null字节(s)在给定的输入来遍历目录。

术语:十亿笑攻击

术语:XML炸弹

术语:XML实体扩张(XEE)

1. 调查目标:敌人决定了输入数据流处理的数据解析器,它支持使用subsitituion在受害者的一边。

   技术
   使用自动化工具来记录所有实例处理请求的url。
   网站使用浏览器手动探索和分析应用程序如何处理请求。

1. 工艺恶意负载:对手工艺品恶意消息包含嵌套指数扩张,完全消耗服务器资源可用。有关详细信息,请参阅“实例”部分关于如何制作恶意负载。

1. 发送消息:恶意的消息发送到目标URL。

1. 第一步是探索性意义攻击者寻找一个整数变量,他们可以控制。

1. 攻击者找到一个整型变量,他们可以写进或操作,试图得到整数的值可能的范围。

1. 被迫整数变量值的范围,其最终值设置为一个意想不到的价值。
2. 目标主机作用于数据和异常行为可能发生。

1. 蜘蛛:使用一个自动化工具,攻击者遵循所有公共网站的链接。他们发现他们记录所有的链接。

   技术
   使用搜索工具和记录所有的链接。
   使用一个代理工具来记录所有的链接访问web应用程序的手册中遍历。

1. 尝试知名或可推测的资源位置:使用一个自动化工具,攻击者请求各种知名的url对应于行政、调试或其他有用的内部行为。他们记录所有积极的来自服务器的响应。

   技术
   使用搜索工具跟踪和记录的尝试在著名的url。
   使用一个代理工具来记录所有的链接访问手册中遍历尝试在著名的url。

1. 使用未经授权的资源:通过访问不受保护的资源,攻击者利用未经授权的功能。

   技术
   访问不受保护的功能并执行。

2. 未经授权的数据视图:攻击者发现和观点不受保护的敏感数据。

   技术
   直接请求保护的页面直接访问数据库后端。(例如,列表。jsp、账户。jsp、地位。jsp等)

术语:HTTP Desync

1. 调查网络来识别目标:对手执行网络侦察监视相关流量识别的网络路径和解析HTTP消息的目标识别潜在目标。

   技术
   扫描网络指纹HTTP基础设施和监控HTTP流量识别HTTP网络路径工具等网络协议分析仪。

1. 在目标识别漏洞HTTP基础设施和技术:对手发送各种良性/模棱两可的HTTP请求来观察响应HTTP基础设施以识别差异/差异解释的HTTP请求和解析通过检查支持HTTP协议版本,消息大小和HTTP头。

2. 导致微分HTTP响应HTTP请求通过试验确定漏洞:干扰对手发送恶意的HTTP请求中介的解析和后端HTTP基础设施,其次是正常/良性的HTTP请求的对手或一个随机的用户。恶意的HTTP请求的预期后果将在HTTP基础设施应对的正常/良性的HTTP请求确认适用性识别漏洞在对手的进攻计划。

   技术
   继续监控HTTP流量。
   利用HTTP头的各种组合在一个HTTP请求,例如:内容长度和传输编码(CL, TE),传输编码&内容长度(TE; CL)或双传输编码(TE; TE),因此,额外的请求或数据嵌入在原始请求的主体是未加工的,作为后续请求的一部分目标HTTP代理。 从这些HTTP头组合敌人所观察到的任何时间延迟(通常在HTTP 404错误响应的形式)或任何其他意想不到的后果。 CL, TE和TE; CL HTTP头的组合,第一个HTTP代理,在接收HTTP请求的HTTP消息路径,优先或只处理一个头而不是其他,而第二个/最后的HTTP代理进程相反的头,允许嵌入式HTTP请求被忽略和走私到预定目标HTTP代理。 TE, TE HTTP头组合,在HTTP消息路径过程中所有HTTP代理传输编码头,然而,对手困惑(有关详细信息,请参阅移植)传输编码的头,不坚持严格的协议规范,可能会导致它被指定的未加工/忽略HTTP代理,因此允许嵌入式HTTP请求是走私。。
   构建一个非常大的HTTP请求内容长度使用多个标题的各种数据的长度,可能导致后续请求被忽略的中介HTTP代理(防火墙)和/或最终解析分别由目标HTTP代理(web服务器)。 注意,大多数现代HTTP内容长度与多个基础设施拒绝HTTP请求头。
   遵循一种不为人知的(有时一个RFC兼容)与随后的HTTP请求HTTP头,可能导致HTTP请求被忽略和解释前面的HTTP请求的一部分。

1. 执行HTTP请求走私攻击:使用知识发现在上面的实验部分中,走私消息导致的一个后果。

   技术
   利用技术在实验阶段确定。

1. 调查网络来识别目标:对手执行网络侦察监视相关流量识别的网络路径和解析HTTP消息的目标识别潜在目标。

   技术
   扫描网络指纹HTTP基础设施和监控HTTP流量识别HTTP网络路径工具等网络协议分析仪。

1. 在目标识别漏洞HTTP基础设施和技术:对手发送各种良性/模棱两可的HTTP请求来观察响应HTTP基础设施以识别差异/差异解释的HTTP请求和解析通过检查支持HTTP协议版本,HTTP头、语法检查和输入过滤。

2. 导致微分HTTP响应HTTP请求通过试验确定漏洞:对手发送恶意的HTTP请求与自定义字符串和嵌入式web脚本和对象的解析HTTP头干涉中介和后端HTTP基础设施,其次是正常/良性的HTTP请求的对手或一个随机的用户。恶意的HTTP请求的预期后果将在HTTP基础设施应对的正常/良性的HTTP请求确认适用性识别漏洞在对手的进攻计划。

   技术
   继续监控HTTP流量。
   利用不同的特殊字符序列(CR -回车,如果——换行,HT -水平选项卡中,SP -空间等。)绕过过滤和后端嵌入编码和: 额外的HTTP请求自己的头 恶意网页脚本到HTTP请求头的参数(例如,浏览器cookie set - cookie或Ajax web /浏览器对象参数如XMLHttpRequest) 对手选择编码(如utf - 7) 利用额外的特殊字符(如>和<)过滤目标HTTP代理。 请注意,某些特殊字符和字符编码可能只适用与罕见的中介和前端代理配置或不符合RFC。
   遵循一种不为人知的(有时一个RFC兼容)与随后的HTTP请求HTTP头,可能导致HTTP请求被忽略和解释前面的HTTP请求的一部分。

1. 执行HTTP请求分割攻击:使用知识发现在上面的实验部分中,走私消息导致的一个后果。

   技术
   利用技术在实验阶段确定。

术语:HTTP Desync

1. 调查网络来识别目标:对手执行网络侦察监视相关流量识别的网络路径和解析HTTP消息的目标识别潜在目标。

   技术
   扫描网络指纹HTTP基础设施和监控HTTP流量识别HTTP网络路径工具等网络协议分析仪。

1. 在目标识别漏洞HTTP基础设施和技术:对手发送各种良性/模棱两可的HTTP请求来观察响应HTTP基础设施目标以确定差异/差异解释的HTTP请求和解析通过检查支持HTTP协议版本,消息大小和HTTP头。

2. 导致微分HTTP响应HTTP响应试验确定漏洞:敌人将恶意构造的HTTP请求发送给后端HTTP基础设施将对手数据注入HTTP响应(用于中介和/或前端客户机/受害者HTTP代理与后端HTTP通信基础设施)为目的的干扰HTTP响应的解析。恶意的HTTP请求的预期结果和随后的对手注入和操纵的HTTP响应将观察到确认的适用性识别漏洞在对手的进攻计划。

   技术
   继续监控HTTP流量。
   注入额外的HTTP头利用HTTP头的各种组合在一个HTTP消息如:内容长度和传输编码(CL, TE),传输编码&内容长度(TE; CL)或双传输编码(TE; TE),因此,额外的嵌入式消息或数据在原始消息的主体是未加工的,作为后续消息的一部分目标HTTP代理。 从这些HTTP头组合敌人所观察到的任何时间延迟(通常在HTTP 404错误响应的形式)或任何其他意想不到的后果。 CL, TE和TE; CL HTTP头的组合,第一个HTTP代理,在HTTP消息路径接收HTTP消息,优先或只处理一个头而不是其他,而第二个/最后一个HTTP代理进程相反的头允许嵌入式HTTP消息被忽略和走私到预定目标HTTP代理。 TE, TE HTTP头组合,在HTTP消息路径过程中所有HTTP代理传输编码头,然而,对手困惑的传输编码的头,不坚持严格的协议规范,可能会导致它被指定的未加工/忽略HTTP代理,因此允许走私嵌入式HTTP消息。有关详细信息,请参阅措施之一。
   构建一个非常大的HTTP消息通过各种数据的多个内容长度头长度,还有可能造成后续消息中介被忽略的HTTP代理(例如,防火墙)和/或最终解析分别由目标HTTP代理。 注意,大多数现代HTTP基础设施拒绝内容长度与多个HTTP消息头。
   使用一个工具监控HTTP流量如网络协议分析仪。

1. 执行HTTP响应走私攻击:使用知识发现在上面的实验部分中,走私消息导致的一个后果。

   技术
   利用技术在实验阶段确定。