ايتنا - راه اندازی حملات انكار سرویس توزیع شده با سوء استفاده از رخنه XSS

با توجه به یافته های محققان از شركت امنیتی Incapsula، مهاجمان از یك آسیب پذیری در سایت محبوب اشتراك گذاری ویدئو سوء استفاده كردند تا مرورگرهای كاربران را برای استفاده در حملات انكار سرویس توزیع شده در حجم بالا ارتباط ربایی نمایند.

به گزارش ایتنا از مرکز ماهر، روز چهارشنبه این حملات به علت وجود یك آسیب پذیری اسكریپت بین سایتی در این وب سایت به وقوع پیوسته است. این شركت امنیتی از ذكر نام این وب سایت محبوب امتناع كرد.

رخنه های XSS به علت فیلتر نامناسب ورودی های كاربر به وجود می آید و می تواند به مهاجم اجازه دهد تا كد اسكریپت غیرمجاز را به صفحات وب سایت تزریق نماید.
اگر این كد به صورت دائمی بر روی سرور ذخیره شود و برای تمامی كاربرانی كه سایت آلوده را مشاهده می كنند، ارسال شود در نتیجه این حملات به صورت حملات ماندگار در نظر گرفته می شوند.

كاربران این وب سایت اشتراك گذاری ویدئو می توانند فایل هایی را ایجاد نمایند و توضیحاتی را ارائه دهند و این رخنه XSS به مهاجمان اجازه می دهد تا حساب كاربری جدیدی ایجاد نمایند و كد جاوا اسكریپت جعلی را به تگ img عكس پروفایل خود تزریق نمایند.

در نتیجه هر زمان كه این عكس در یكی از صفحات سایت مورد استفاده قرار گرفت، كد مخرب تعبیه شده در این عكس پس از مشاهده اجرا می شود.

كد جعلی یك iframe را تولید می كند كه یك اسكریپت DDoS را از یك سرور كنترل و فرمان به مرورگر مشاهده كننده عكس بارگذاری می كند و در نتیجه كنترل مرورگر ها را دراختیار گرفته و آن ها را مجبور می كند تا درخواست هایی را به سایت های دیگر ارسال نمایند.

نتیجه این حملات علیه سایت های مورد هدف شامل ۲۰ میلیون درخواست GET می باشد كه توسط ۲۲۰۰۰ مرورگر دریافت می شود و این سایت ها در هر ثانیه حدود ۲۰۰۰۰ درخواست را دریافت می كنند.

سوء استفاده از آسیب پذیری XSS برای راه اندازی حملات انكار سرویس توزیع شده، روش جدیدی نیست.
این روش سالیان سال شناخته شده است اما به ندرت از آن استفاده می شود زیرا نیازمند آسیب پذیری در وب سایت هایی است كه ترافیك بالایی دارند.