WPAD में भेद्यता HTTPS और VPN का उपयोग करके संरक्षित डेटा तक पहुंच की अनुमति दे सकती है

शोधकर्ता विंडोज पर WPAD को तुरंत अक्षम करने की सलाह देते हैं

वेब प्रॉक्सी ऑटो-डिस्कवरी प्रोटोकॉल (WPAD) एक प्रॉक्सी ऑटोमैटिक कॉन्फ़िगरेशन प्रोटोकॉल है जो क्लाइंट (ब्राउज़र) द्वारा डीएचसीपी और / या डीएनएस प्रौद्योगिकियों का उपयोग करके कॉन्फ़िगरेशन फ़ाइल के स्थान (URL) को निर्धारित करने के लिए उपयोग किया जाता है। अनुरोध करते समय, ब्राउज़र PAC फ़ाइल से FindProxyForURL फ़ंक्शन को कॉल करता है, जहां URL और होस्ट को स्थानांतरित किया जाता है। अपेक्षित उत्तर भविष्यवाणियों की एक सूची है जिसके माध्यम से इस पते तक पहुंच बनाई जाएगी।

WPAD विंडोज पर डिफ़ॉल्ट रूप से सक्षम है, और अन्य ऑपरेटिंग सिस्टम द्वारा समर्थित है। लेकिन यह प्रोटोकॉल कई कमजोरियों के अधीन है, जैसा कि दिखाया गया हैडेफकॉन में सूचना सुरक्षा विशेषज्ञ एलेक्स चैपमैन और पॉल स्टोन। इन भेद्यताओं का उपयोग करने वाले हमलावर HTTPS या IPS कनेक्शन के बावजूद पीड़ित डेटा (खोज इतिहास, खातों, फ़ोटो, दस्तावेज़, आदि तक पहुंच) प्राप्त कर सकते हैं। इस मामले में इस्तेमाल किए जाने वाले हमले का प्रकार मानव-मध्य है।

PAC कॉन्फ़िगरेशन फ़ाइल का स्थान डायनामिक होस्ट कॉन्फ़िगरेशन प्रोटोकॉल (DHCP), डोमेन नाम सिस्टम (DNS) या लिंक-लोकल मल्टिकास्ट नाम रिज़ॉल्यूशन (LLMNR) का उपयोग करके निर्धारित किया जा सकता है। यदि वांछित है, तो साइबर क्रिमिनल विशेष रूप से कॉन्फ़िगर की गई पीएसी फ़ाइल के स्थान को निर्दिष्ट करके WPAD में भेद्यता का शोषण कर सकते हैं जो साइबर क्रिमिनल्स द्वारा नियंत्रित प्रॉक्सी सर्वर के माध्यम से एक ब्राउज़र अनुरोध भेजेगा। यह एक राउटर या एक्सेस पॉइंट से समझौता करके या अपने स्वयं के एक्सेस पॉइंट को सभी के लिए ठीक से कॉन्फ़िगर करके ओपन वायरलेस नेटवर्क में प्राप्त किया जा सकता है।

हमला किए गए पीसी के अपने नेटवर्क से समझौता करने के लिए आवश्यक नहीं है, क्योंकि सिस्टम एक खुले वायरलेस नेटवर्क से जुड़ा होने पर प्रॉक्सी का पता लगाने के लिए WPAD का उपयोग करेगा। इसी समय, WPAD का उपयोग कॉर्पोरेट वातावरण में भी किया जाता है, यह विकल्प सभी विंडोज पीसी पर डिफ़ॉल्ट रूप से सक्षम है, जैसा कि ऊपर बताया गया है।

खुद का प्रॉक्सी सर्वर हमलावरों को अनएन्क्रिप्टेड HTTP ट्रैफिक को इंटरसेप्ट और संशोधित करने की अनुमति देता है। यह साइबर अपराधियों को बहुत अधिक नहीं देता है, क्योंकि अधिकांश साइटें अब HTTPS (HTTP सिक्योर) पर काम करती हैं। लेकिन, चूंकि पीएसी फाइलें विशिष्ट वेब पतों के लिए अलग-अलग प्रॉक्सी पते सेट करने की क्षमता प्रदान करती हैं, और आप इन पतों के लिए डीएनएस लुकअप को मजबूर कर सकते हैं, "हैटर्स" हैकर्स ने एक स्क्रिप्ट बनाई है जो आपको अपने स्वयं के सर्वर के लिए सभी संरक्षित HTTPS URL प्राप्त करने की अनुमति देती है।

पूर्ण HTTPS URL को छिपाया जाना चाहिए क्योंकि इसमें प्रमाणीकरण टोकन और अन्य निजी जानकारी होती है। लेकिन एक हमलावर पता ठीक कर सकता है। उदाहरण के लिए, example.com/login?authtoken=ABC1234 को DNS क्वेरी https.example.com.login.authtoken.ABC1234.leak का उपयोग करके पुनर्प्राप्त किया जा सकता है और साइबर सर्वर पर पुनर्प्राप्त किया जा सकता है।

इस पद्धति का उपयोग करके, हमलावर पीड़ित के खोज प्रश्नों की एक सूची प्राप्त कर सकता है या यह देख सकता है कि वर्तमान में पीड़ित किसी विशेष संसाधन के कौन से लेख पढ़ रहा है। यह सूचना सुरक्षा के मामले में बहुत अच्छा नहीं है, लेकिन यह बहुत खतरनाक नहीं है। सच है, पीड़ितों की मुसीबतें खत्म नहीं होती हैं।

शोधकर्ताओं ने एक और प्रकार का हमला विकसित किया है जिसका उपयोग किसी खुले वायरलेस एक्सेस पॉइंट के उपयोगकर्ता को एक्सेस प्वाइंट के नकली पेज पर रीडायरेक्ट करने के लिए किया जा सकता है। कई वायरलेस नेटवर्क विशेष पृष्ठों का उपयोग करके उपयोगकर्ता डेटा एकत्र करते हैं। अपने डेटा को दर्ज करने के बाद, उपयोगकर्ता को इंटरनेट तक पहुंच मिलती है (अक्सर ऐसी योजना का उपयोग वायरलेस प्रदाताओं द्वारा हवाई अड्डों पर किया जाता है)।

साइबर अपराधियों द्वारा गठित पृष्ठ, पृष्ठभूमि में उपयोगकर्ता के परिचित फेसबुक या Google को लोड करता है, और फिर अन्य URL के लिए 302 HTTP पुनर्निर्देशित करता है, बशर्ते उपयोगकर्ता प्रमाणित हो। यदि उपयोगकर्ता पहले से ही अपने खाते में लॉग इन कर चुका है, और अधिकांश लोग अपने पीसी या लैपटॉप से ​​काम करते हुए, विभिन्न संसाधनों पर अपने खाते से लॉग आउट नहीं करते हैं, तो धोखाधड़ी करने वाले को पीड़ित की पहचान मिल सकती है।


विंडोज ओएस पर, "स्वचालित रूप से सेटिंग्स का पता लगाने" का विकल्प सक्षम होने पर WPAD सक्रिय होता है। यह विकल्प डिफ़ॉल्ट रूप से सक्षम है।

यह विभिन्न संसाधनों पर खातों पर लागू होता है, और सीधे लिंक के माध्यम से हमलावर पीड़ित की व्यक्तिगत तस्वीरों के साथ-साथ अन्य डेटा तक पहुंच प्राप्त कर सकता है। हमलावर लोकप्रिय OAuth प्रोटोकॉल के लिए टोकन भी चुरा सकते हैं, जो आपको अपने फेसबुक, Google या ट्विटर खाते का उपयोग करके विभिन्न साइटों पर लॉग इन करने की अनुमति देता है।

विशेषज्ञों ने डेफकॉन पर नई पद्धति की क्षमताओं को दिखाया। अपनी तकनीक का उपयोग करते हुए, विशेषज्ञों ने पीड़ित की तस्वीर तक पहुंच प्राप्त की, इतिहास, कैलेंडर अनुस्मारक और Google खाता प्रोफ़ाइल डेटा का समन्वय किया, साथ ही साथ Google ड्राइव पर पीड़ित के सभी दस्तावेजों तक पहुंच प्राप्त की। यहां यह ध्यान देने योग्य है कि हमले HTTPS एन्क्रिप्शन को प्रभावित नहीं करता है, डेटा अभी भी संरक्षित है। लेकिन अगर WPAD को OS में शामिल किया जाता है, तो HTTPS निजी उपयोगकर्ता डेटा की सुरक्षा के मामले में पहले से ही बहुत कम प्रभावी है। और यह उन उपयोगकर्ताओं की जानकारी पर भी लागू होता है जो वीपीएन के साथ काम करते हैं। WPAD भी आपको इस डेटा का उपयोग करने की अनुमति देता है।

बात यह है कि लोकप्रिय वीपीएन क्लाइंट, जैसे ओपनवीपीएन, WPAD द्वारा निर्दिष्ट नेटवर्क सेटिंग्स को साफ़ नहीं करते हैं। इसका मतलब है कि अगर हमलावर इस पीसी पर वीपीएन कनेक्शन स्थापित होने से पहले ही पीड़ित के पीसी पर अपनी प्रॉक्सी सेटिंग्स स्थापित करने में कामयाब हो गया है, तो ट्रैफ़िक प्रॉक्सी के प्रॉक्सी सर्वर से भी गुजरेगा। यह ऊपर वर्णित सभी डेटा प्राप्त करने की संभावना को खोलता है।

अधिकांश ऑपरेटिंग सिस्टम और ब्राउज़र WPAD के साथ काम करते हैं, और इस प्रकार के हमले की चपेट में हैं। समस्या की खोज करने वाले विशेषज्ञों ने विभिन्न संवेदनशील सॉफ्टवेयर उत्पादों के डेवलपर्स को इसकी सूचना दी। OS X, iOS, Apple TV, Android, Google Chrome के लिए पैच जारी किए गए Microsoft और मोज़िला अभी भी समस्या को ठीक करने पर काम कर रहे हैं।

खुद की सुरक्षा कैसे करें?

सबसे आसान तरीका WPAD को अक्षम करना है। यदि आपको काम करने के लिए PAC फ़ाइलों की आवश्यकता है, तो WPAD को अक्षम करें और URL अपवादों को स्वयं कॉन्फ़िगर करें।

चैपमैन और स्टोन सूचना सुरक्षा के एकमात्र विशेषज्ञ नहीं हैं जिन्होंने WPAD प्रोटोकॉल की भेद्यता पर ध्यान आकर्षित किया है। कुछ दिन पहले, ब्लैक हैट सम्मेलन में इसी तरह के हमले का प्रदर्शन किया गया था। और मई में, Verisign विशेषज्ञों और मिशिगन विश्वविद्यालय की एक संयुक्त टीम ने खुलासा किया कि उपयोगकर्ताओं के लैपटॉप कॉर्पोरेट नेटवर्क से डिस्कनेक्ट होने पर हर दिन लाखों WPAD अनुरोध ऑनलाइन हो जाते हैं। ये मशीनें .global, .ads, .group, .network, .dev, .office, .prod, .hsbc, .win, .world, .wan, .sap, और .site जैसे एक्सटेंशन वाले आंतरिक WPAD डोमेन को क्वेरी करती हैं। ।

समस्या यह है कि वैश्विक नेटवर्क में ऐसे डोमेन ज़ोन पहले से मौजूद हैं, और यदि वांछित है, तो एक हमलावर उन डोमेन को पंजीकृत कर सकता है जिनके लिए एंटरप्राइज़ नेटवर्क से डिस्कनेक्ट किए गए कॉर्पोरेट मशीनों से अनुरोध भेजे जाते हैं। और यह बदले में, हमलावरों को कॉरपोरेट नेटवर्क से डिस्कनेक्ट की गई मशीनों के लिए पीएसी फाइलों को "फीड" करने की अनुमति देता है, लेकिन जो वैश्विक नेटवर्क पर उपरोक्त पते का पता लगाने के लिए WPAD अनुरोध देते हैं।

Source: https://habr.com/ru/post/hi396719/