您当前所在位置: > 爆料站 > 有深度

CPDoS攻击会毒害CDN

时间:2019-11-18 02:17:45  来源:  作者:网络

原标题:CPDoS 攻击会毒害 CDN

CloudFront、Cloudflare、Fastly、Akamai及其他CDN服务提供商都受到新的CPDoS Web缓存中毒攻击的影响。

科隆工业大学(TH Koln)的两位学者本周披露了一种新型的Web攻击,这种攻击可以毒害内容分发网络(CDN),从而缓存并生成错误页面而非合法网站。

这种新攻击被称为CPDoS(缓存中毒的拒绝服务),它有三种变体,被认为在实际环境下切实可行(这与大多数其他Web缓存攻击不同)。

CPDoS攻击是如何实施的?

CPDoS攻击针对现代Web的两个组成部分:(1)Web服务器和(2)内容分发网络。

Web服务器存储原始网站及其内容,而CDN存储网站的缓存副本,该副本仅按特定的时间间隔来刷新。

尽管CDN扮演的角色很简单,却是现代互联网的重要组成部分,因为它们可以减轻Web服务器的负担。CDN可以为一些入站用户提供网站副本,直到CDN以新版本更新自己为止,而不是Web服务器一再计算相同的用户请求。

CDN被广泛使用。针对CDN系统的任何攻击都可能对网站的可用性造成严重破坏,因而对盈利能力造成严重破坏。

在这种情况下,CPDoS的工作方式具有如下特点:

  • 攻击者连接到网站,直到他的请求是生成新CDN条目的请求。
  • 攻击者的请求含有恶意、尺寸超大的HTTP头。
  • CDN允许该头传递到合法网站,以便可以对其进行处理,并为CDN生成要缓存的网页。
  • 尺寸超大的HTTP头导致Web服务器崩溃。
  • 服务器生成错误页面(“400 Bad Request”错误)。
  • 错误页面缓存在CDN上
  • 访问该网站的其他用户将获得错误页面,而不是实际网站。
  • 缓存的错误会传播到CDN网络的其他节点,从而在合法网站造成虚假故障。

图片来源:Nguyen等人

据研究团队声称,CPDoS攻击有三种变体,这取决于攻击者决定使用的HTTP头类型:

  • HTTP Header Oversize(HHO)
  • HTTP元字符(HMC)
  • HTTP方法重载(HMO)

我们不会讨论每种攻击的技术差异,因为这不在本文的讨论范围之内。想了解更多详细信息和演示,请访问该网站(https://cpdos.org/),或阅读研究人员的CPDoS白皮书(https://cpdos.org/paper/Your_Cache_Has_Fallen__Cache_Poisoned_Denial_of_Service_Attack__Preprint_.pdf)。

CPDOS攻击被认为切实可行

TH Koln团队在研究CPDoS攻击的实际可行性期间表示,他们设法对托管在多家CDN提供商的网络上的一个测试网站进行了广泛的缓存中毒攻击。

比如说,下图显示了攻击者(危险符号)对合法网站的CDN服务器(蓝色标记)发动攻击,然后将缓存的错误页面传播到其他CDN服务器(红色标记),毒害CDN提供商网络的大部分。

诸如上述攻击之类的攻击会导致合法网站的停机时间延长,给网站所有者造成经济损失。

好消息是,并非所有的Web服务器(HTTP协议实现)和CDN网络都易受攻击。

据研究人员的测试显示,下表显示了哪些服务器+ CDN组合易受攻击。

有缓解措施

幸好,目前有对付CPDoS攻击的缓解措施。最简单的解决办法是,网站所有者配置其CDN服务,以便默认情况下不缓存HTTP错误页面。

许多CDN服务提供商在仪表板中含有此类设置,因此采取这个措施并不难。

如果网站所有者在CDN Web仪表板中没有控件来禁用错误页面的缓存,可以通过为每种错误页面类型添加“Cache-Control: no-store”HTTP头,从服务器的配置文件内部禁用该功能。

对付CPDoS攻击的更复杂解决方案在于CDN提供商本身,提供商可能需要改动产品的工作方式。

据研究团队声称,一些CDN提供商之所以容易受到CPDoS攻击,是由于它们并没有遵循互联网缓存协议。

研究团队说:“Web缓存标准仅允许[CDN]缓存错误代码404 Not Found、405 Method Not Allowed、410 Gone和501 Not Implemented。”他指出CDN不应该缓存CPDoS攻击生成的“400 Bad Request”错误页面。

他们说:“因此,按照HTTP标准的策略来缓存错误页面是避免CPDoS攻击的第一步。

采用这种方法较为复杂,需要在许多CDN提供商的后端做一些工作。在此之前,第一个对策比较容易实施。

由于CPDoS攻击实际上确有可能,稍微花点力量,大多数网站所有者应该能够保护其服务器免受任何可能的滥用现象。

研究人员警告网站管理员切莫忽视这个问题。据他们的测试显示,30%的Alexa Top 500网站、10%的美国国防部域名以及从谷歌Big Query存档获得的3.65亿个URL样本中16%的URL可能容易受到CPDoS攻击。游戏网

相关下载

玩家评论

日媒公开PS5主机硬件信息:8核心16线程CPU

  日媒Fami通今天在其官网确认,PS5主机使用的CPU是x86-64-AMD Ryzen“Zen 2”,这是一款8核心/16线程的CPU。另外,PS5还搭载了超高速定制SSD,GPU方面使用的是AMD RDN详情>>

阅读: 5
日期: 2019-10-10
她这是准备跟所有合作男嘉宾炒cp?

原标题:她这是准备跟所有合作男嘉宾炒cp? 好久没“合体”的欧阳娜娜跟王源今天终于整整齐齐上热搜了! 点开一看,原来是伯克利国际招生办的老师在INS详情>>

阅读: 3
日期: 2019-10-10
难怪当年我打不过电脑,原来《街头霸王2》CPU会各种作弊

原标题:难怪当年我打不过电脑,原来《街头霸王2》CPU会各种作弊 博士在七月底的时候和大家分享了文章《<街头霸王>中展现左右互搏之术,海外高手可详情>>

阅读: 13
日期: 2019-09-27
街霸2的CPU是怎么对玩家作弊的?

原标题:街霸2的CPU是怎么对玩家作弊的? 实锤了! 《街头霸王2》是无数玩家心中的经典游戏,也曾让不少玩家叫苦不迭。 游戏中的CPU经常不按常理详情>>

阅读: 47
日期: 2019-09-24
「回收cpu」什么cpu性价比高,如何选择适合自己的cpu

原标题:「回收cpu」什么cpu性价比高,如何选择适合自己的cpu 「回收cpu」什么cpu性价比高,如何选择适合自己的cpu,目前的CPU市场,主要还是Intel和AMD详情>>

阅读: 11
日期: 2019-09-23
不是错觉!逐帧分析显示《街霸2》的CPU真的会作弊

不少热爱《街霸》系列,在旧时接机或者PC移植上玩过经典《街霸2》的普通玩家,一开始可能都会产生一种错觉:这电脑在开挂。一些不讲道理的防御、反击和控制能够打详情>>

阅读: 21
日期: 2019-09-22
拯救CPU!

原标题:拯救 CPU! 在过去的10-20年间,硬件技术取得了惊人的进步,但在高性能数据中心和高度受限的移动环境中却仍然不能“奢求”廉价的性能。很多人认详情>>

阅读: 7
日期: 2019-09-08
2019年最佳CPU推荐酷睿i9-9900K/锐龙93900X亮了

原标题:2019年最佳CPU推荐 酷睿i9-9900K/锐龙9 3900X亮了 每次装机或者升级,如何选择CPU都是DIY玩家要面对的第一关,因为CPU处理器基本决定了整机的详情>>

阅读: 4
日期: 2019-09-03
这群热搜怪真能作妖_cp

原标题:这群热搜怪真能作妖 Vol.1922 大家知道,娱乐圈有个好东西。 怎么个好法呢? 十八线小演员,可以在24小时内热度赶超巨星。 国民度实力派,瞬详情>>

阅读: 12
日期: 2019-07-18
同代笔记本电脑CPU和桌面级CPU的差距在哪里?

原标题:同代笔记本电脑CPU和桌面级CPU的差距在哪里? 很多刚接触硬件的玩家对于参数的概念可能是模棱两可的,又 详情>>

阅读: 3
日期: 2019-04-28
同代笔记本电脑CPU和桌面级CPU的差距在哪里?

原标题:同代笔记本电脑CPU和桌面级CPU的差距在哪里? 很多刚接触硬件的玩家对于参数的概念可能是模棱两可的,又 详情>>

阅读: 2
日期: 2019-04-27
同代笔记本电脑CPU和桌面级CPU的差距在哪里?

原标题:同代笔记本电脑CPU和桌面级CPU的差距在哪里? 很多刚接触硬件的玩家对于参数的概念可能是模棱两可的,又 详情>>

阅读: 3
日期: 2019-04-27
CPU-V

CPU-V补丁类型:其他更新时间:2014/01/0311:21:31补丁大小:1.1MBLeoMoonCPU-V是在互联网上唯一的应用程序,这将帮助你检测,如果你的CPU支持支持32位和详情>>

阅读: 6
日期: 2019-03-20
《APEX英雄》CPUdoesnothavePOPCNT是怎么回事 解决方法分享

《Apex英雄》是一款大逃杀风格的科幻射击游戏,最近有部分玩家在登录游戏时会出现错误提示CPUdoesnothavePOPCNT的情况,那么出现CPUdoesnothave详情>>

阅读: 34
日期: 2019-02-26
“新兰”CP再发糖?《名侦探柯南 绀青之拳》最新预告解禁!

  《柯南》剧场版系列最新作,M23《名侦探柯南绀青之拳》今天公开了最新预告片,这次的故事将在新加坡展开,围绕着世界上最大的“深蓝宝石”柯南、基德、京极真三位同时出战!【游侠网】剧场版《名侦探详情>>

阅读: 14
日期: 2019-02-22
2018全球买量报告:哪些地方CPI最贵?

  在众多的营销成本中,按下载量付费可能是很多人都听说过的一种,这种计算成本的方式被称为CPI(全称是CostPerInstall,即每安装成本)。  虽然表面上看起来计算方式很简单,实际上详情>>

阅读: 5
日期: 2019-02-21
看海贼王经典CP甜蜜虐狗 《海贼王启航》情人节有爱福利!

  又到了一年一度的虐狗节,海贼王正版手游《航海王启航》帮你填满爱的回忆,原来“爱”也可以有多种意义:草帽团之间的爱是羁绊与友情;海米对OP的爱是梦想与信仰;而玩家对详情>>

阅读: 8
日期: 2019-02-15
看海贼王经典CP甜蜜虐狗 《海贼王启航》情人节有爱福利!

又到了一年一度的虐狗节,海贼王正版手游《航海王启航》帮你填满爱的回忆,原来“爱”也可以有多种意义:草帽团之间的爱是羁绊与友情;海米对OP的爱是梦想与信仰;而玩家对启航的爱是坚持与陪伴!又到了一年一度的详情>>

阅读: 1
日期: 2019-02-14
看海贼王经典CP甜蜜虐狗《航海王启航》情人节有爱福利!

看海贼王经典CP甜蜜虐狗《航海王启航》情人节有爱福利!又到了一年一度的虐狗节,海贼王正版手游《航海王启航》帮你填满爱的回忆,原来“爱”也可以有多种意义:草帽团之间的爱是羁绊与详情>>

阅读: 0
日期: 2019-02-14
经典CP甜蜜虐狗 《航海王启航》情人节有爱福利!

[摘要]又到了一年一度的虐狗节,《航海王启航》帮你填满爱的回忆,原来“爱”也可以有多种意义:草帽团之间的爱是羁绊与友情;海米对OP的爱是梦想与信仰;而玩家对启航的爱是坚持与陪伴!又到了一年一度的虐狗节详情>>

阅读: 0
日期: 2019-02-14
看海贼王经典CP甜蜜虐狗 《航海王启航》情人节有爱福利!

又到了一年一度的虐狗节,海贼王正版手游《航海王启航》帮你填满爱的回忆,原来“爱”也可以有多种意义:草帽团之间的爱是羁绊与友情;海米对OP的爱是梦想与信仰;而玩家对启航的详情>>

阅读: 4
日期: 2019-02-14
《火影忍者》手游新春CP集结暖心登场 为新春添彩

新春佳节,是游子归乡,思念已久的团聚时刻!在2019年新春佳节期间,《火影忍者》手游也围绕“思念重逢”为所有的忍者学员推出了全新新春忍者。新春佳节,是游子归乡,思念已久的团聚时刻!在2019年新春佳节详情>>

阅读: 4
日期: 2019-02-13
《火影忍者》手游新春CP集结登场为新春添彩

17173新闻导语新春佳节,是游子归乡,思念已久的团聚时刻!在2019年新春佳节期间,《火影忍者》手游也围绕“思念重逢”为所有的忍者学员推出了全新新春忍者;四代目火影详情>>

阅读: 0
日期: 2019-02-13
梦幻模拟战CP点有什么用

  梦幻模拟战CP点有什么用?在梦幻模拟战情人详情>>

阅读: 16
日期: 2019-02-13
《梦幻模拟战》手游CP点有什么用

在梦幻模拟战手游中CP点到底有什么用呢?接下来就让小编来为大家讲解下梦幻模拟战手游CP点作用详解介绍吧,感兴趣的小伙伴们速来围观吧~~~梦幻模拟战手游CP点作用详解:小编推荐:梦幻模拟战手游201详情>>

阅读: 0
日期: 2019-02-12
《王者荣耀》盘古cp是谁

  下载>>>>小7手游APP,搜索想玩的游戏,充值折扣低至4折!今日折扣游戏:点击下载>>>>列王的纷争<<详情>>

阅读: 4
日期: 2019-02-12
噩梦重临!《SCP-087 VR Survivor》Steam版发售

好吧,能看懂这个标题的,这部VR体验的主题是啥应该不用介绍了。总之,倘若诸位对SCP基金会这个概念不陌生,读过那篇“在深不见底的黑暗楼梯间不断向下探索”详情>>

阅读: 4
日期: 2019-02-04
《乱世王者》即战力最强的cp是谁?这些兵种搭配值得一看

一个好汉三个帮,要有搭档才能成事,古往今来概莫如是。在浩渺的历史长河中,各种各样的孤胆英雄形形色色,但也有很多人,需要遇上对的人才能将自己的能力发挥到极详情>>

阅读: 4
日期: 2019-02-02
最新D加密被攻陷 CPY宣布破解《生化危机2:重制版》

  卡普空新发售的《生化危机2:重制版》可谓是广受好评,虽然这款游戏的PC版中使用了最新的额Denuvo防篡改技术,但据最新报道,这款游戏已经被国详情>>

阅读: 9
日期: 2019-02-02
国外破解小组CPY宣称已破解《生化危机2:重制版》

  卡普空在近期发售的《生化危机2:重制版》PC版中依然使用了D加密作为防止游戏被破解的工具。但今晚,在游戏发售一周刚过之后,国外著名破解小组CPY就宣详情>>

阅读: 17
日期: 2019-02-01
CPU温度很高怎么办,cpu温度过高的原因

 夏天就要来了,各位的电脑估计又要面临CPU温度高这个每年都要抗争的问题了吧,有没有什么好的办法,能够有效的降低CPU温度呢?要解决CPU温度高的问题,首先就得弄清楚详情>>

阅读: 3
日期: 2019-02-01
CCP公司CEO新春祝福 EVE国服多活动进行中

2019年新春佳节即将来临,在新的一年里,冰岛CCP将与网易游戏一同携手努力,为大家带来更多值得期待的EVEOnline最新内容。目前EVE世界巡回行程已正式公布,国服多个活动也正在火热进行中,精彩详情>>

阅读: 0
日期: 2019-01-31
CCP公司CEO新春祝福视频曝光,EVE国服多活动进行中

2019年新春佳节即将来临,在新的一年里,冰岛CCP将与网易游戏一同携手努力,为大家带来更多值得期待的EVEOnline最新内容。目前EVE世界巡回行程已正式公布,国服多个活动也正在火热进行中,精彩详情>>

阅读: 7
日期: 2019-01-31
CCP新春祝福曝光 EVE国服活动进行中

  导语:2019年新春佳节即将来临,在新的一年里,冰岛CCP将与网易游戏一同携手努力,为大家带来更多值得期待的EVEOnline最新内容。目前EVE世界巡回行程已正式公布,国服多个活动也正在详情>>

阅读: 1
日期: 2019-01-31
干了这碗毒花CP狗粮! 天刀精品手绘赏

  迷上了毒花花。详情>>

阅读: 3
日期: 2019-01-29
王者峡谷有爱cp那么多,他们的故事你知道吗?(下)

王者官方发糖的步伐从不停下,又双叒要到二月份了,又双叒要到情人节啦,露娜跟孙悟空的大话西游系列cp皮“大圣娶亲”原画海报也已经曝光。王者世界已经有的官方情侣皮肤即将变成详情>>

阅读: 0
日期: 2019-01-27
王者荣耀CP英雄有哪些 这些CP英雄你都知道吗

王者荣耀CP英雄在游戏当中还是有许多的,这些英雄每对都有着自己比较精彩的故事,在让我们感觉到惊叹的同时,更能够感受到这其中所包含的独特魅力详情>>

阅读: 2
日期: 2019-01-22
猪八戒背景故事揭晓CP不是嫦娥而是孙悟空 官方设定天克盘古?

各位小伙伴们大家好~我是超级无敌可爱迷人的婷不胖,一点也不胖哦~王者荣耀新英雄嫦娥已经随着新版本一起到来了,不知道大家用嫦娥上分效率如何呢?今天不胖要给大家介绍的是与嫦娥一起发布的另一个英雄——猪八戒详情>>

阅读: 9
日期: 2019-01-22
为什么会有的人在网上卖坏的CPU和坏显卡?

价格也不是很低?由网友IT数码大排档提供的观点:我说说我知道的吧。1,CPU小维修,显卡改头换面。这有点拗口,CPU完全维修当然不可能,不然英特尔和AMD吃什么。主要是外部微故障,比如掉电容、断针详情>>

阅读: 5
日期: 2019-01-20
《FateGo》确认参展CP21,CP21现场公布重大事件

  《FGO》确定参展CP21,并有重大消息将在CP21现场公布,微博里提示玩家们在页面中能发现答案吗,显然已经有详情>>

阅读: 0
日期: 2018-06-27
阴阳师cp22漫展鬼王在哪 上海cp22漫展鬼王坐标

阴阳师将参加阴阳师cp22漫展活动,并开放阴阳师cp22漫展鬼王车,刷漫展鬼王本可获得奖励。阴阳师cp22漫展鬼王在哪上海cp22漫展鬼王坐标?分享下阴阳师cp22漫展鬼王时间地点。阴阳师cp22漫详情>>

阅读: 5
日期: 2018-05-16
西位辉实上海 CP22 签售会详情公开 - CP22 第 2 日(5 月 20 日),我们等你来!

作者:Anitama/Anitama封面来源:西位辉实上海CP22签售会为TV动画《回转详情>>

阅读: 1
日期: 2018-05-16
精彩推荐
精品推荐
换一换