Новая атака с подделкой HTTP-запроса угрожает пользователям браузеров

Новая атака с подделкой HTTP-запроса угрожает пользователям браузеров

Новая атака с подделкой HTTP-запроса угрожает пользователям браузеров

Специалист по кибербезопасности Джеймс Кеттл предупреждает о новом способе использования HTTP-запросов в ходе кибератак на браузеры пользователей. Ранее Кеттл уже демонстрировал метод эксплуатации обработки HTTP-запросов со стороны веб-сайтов.

Эти так называемые атаки десинхронизации используют разногласия в том, как фронтенд и бэкенд сайта с одной стороны и фронтенд сервера — с другой интерпретирует HTTP-запросы. Эксплуатация таких нестыковок может перенаправить запросы компоненту бэкенда.

В результате для атакующего открывается целый спектр вредоносных действий: кража учётных данных, вызов неожиданных ответов от приложения и т. п. Год назад Кеттл описывал этот вектор в одной из своих статей.

Новое исследование специалиста строится на том, как киберпреступник может использовать те же проблемы обработки некорректного HTTP-запроса в ходе атак на посетителей веб-ресурсов. По словам эксперта, с помощью этого метода злоумышленники могут украсть учётные данные, установить бэкдоры и в целом скомпрометировать систему условного пользователя.

Согласно описанию Кеттла, атаки десинхронизации можно провести на Amazon.com и другие сайты, использующие AWS Application Load Balancer, Cisco ASA WebVPN, Akamai, Varnish Cache и Apache HTTP Server 2.4.52 и более старые версии.

Главное отличие атак десинхронизации на стороне сервера и на стороне клиента заключается в том, что в первом случае у злоумышленника под контролем должны быть системы с обратным прокси, а во втором ему потребуется специально сформированные запросы.

Для пользователя эти атаки опасны тем, что происходят непосредственно в его браузере. Кеттл продемонстрировал proof-of-concept, с помощью которого он смог перехватить токены аутентификации случайных пользователей на сайте Amazon.

В двух видеороликах специалист также показал атаку на Pulse Secure VPN и MITM на Apache (обе на стороне клиента):

 

С подробным техническим разбором этого вектора атаки можно ознакомиться в отчёте Джеймса.

ВКонтакте ускорила веб-версию на 25% после перехода на SPA

«ВКонтакте» провела одну из самых масштабных технических модернизаций своей веб-версии за последние годы. Соцсеть перевела основные разделы сайта на архитектуру SPA (Single Page Application), благодаря чему интерфейс стал заметно быстрее, а разработчики получили возможность выпускать обновления практически в режиме конвейера.

Под изменения попали самые популярные разделы: лента, профили пользователей, сообщества, мессенджер, друзья, клипы, фотографии и маркет.

Результат оказался вполне измеримым. По данным компании, первая отрисовка страницы ускорилась на 25%, а среднее время перехода между разделами сократилось сразу в 3,5 раза.

Если раньше при открытии нового раздела браузер фактически ждал ответа сервера и только потом показывал страницу целиком, то теперь пользователи сначала видят готовый каркас интерфейса — навигацию, меню и основные элементы, а контент подгружается уже после. Проще говоря, вместо пустого экрана появляется ощущение мгновенного отклика.

Впрочем, изменения коснулись не только пользователей. Вместе с переходом на SPA команда внедрила компонентный подход, связанный с дизайн-системой «ВКонтакте». Теперь новые интерфейсы собираются из готовых элементов — кнопок, окон, меню и других компонентов. Это упрощает разработку и помогает поддерживать единый внешний вид сервиса.

Серьёзно ускорился и процесс выпуска обновлений. Если раньше развёртывание фронтенда занимало больше времени, то теперь деплой выполняется примерно за 20 секунд. При этом веб-версия получает в среднем 6–8 релизов в сутки, а ежедневно в продакшен попадает более сотни мерж-реквестов.

По словам технического директора «ВКонтакте» Юрия Кочаряна, речь идёт не просто о смене архитектуры, а о глубокой перестройке всей веб-платформы.

Интересно, что большинство пользователей, вероятно, даже не заметили самого перехода. Миграция выполнялась постепенно и без радикальных изменений интерфейса. Пока аудитория листала ленту и переписывалась в мессенджере, разработчики фактически пересобрали значительную часть веб-версии соцсети под современный подход к разработке.

RSS: Новости на портале Anti-Malware.ru