美國服務器CPDoS攻擊是之前德國的網(wǎng)絡安全研究人員發(fā)現(xiàn)的一種針對網(wǎng)絡緩存系統(tǒng)的緩存攻擊，攻擊者可以利用這種攻擊迫使目標網(wǎng)站向大多數(shù)訪問者提供錯誤的頁面，而不是合法的內(nèi)容或資源。美國服務器CPDoS攻擊會影響到Varnish等反向代理緩存系統(tǒng)，以及一些廣泛使用的內(nèi)容分發(fā)網(wǎng)絡CDN服務。

內(nèi)容分發(fā)網(wǎng)絡CDN服務是一組地理上分布的服務器，它們位于搭建網(wǎng)站的美國服務器主機和訪問者之間，以優(yōu)化網(wǎng)站的性能。CDN服務只是簡單地存儲/緩存來自源美國服務器主機的靜態(tài)文件，包括HTML頁面、java文件、樣式表、圖像和視頻等，并更快地將數(shù)據(jù)交付給訪問者，而無需一次又一次地返回到源服務器。

通常，在定義時間或手動清除之后，CDN服務器通過從原始服務器檢索每個WEB頁面的新更新副本來刷新緩存，并將數(shù)據(jù)存儲起來以備將來的請求。而導致CDN中間服務器被錯誤配置為緩存WEB資源或頁面，其中包含原始服務器返回的錯誤響應的攻擊，就稱之為CPDoS攻擊，是緩存中毒拒絕服務的縮寫。

根據(jù)三位德國學者的說法，CPDoS攻擊僅通過發(fā)送一個包含格式錯誤的標頭的HTTP請求，就刻意威脅到網(wǎng)站W(wǎng)EB資源的可用性，原文：“當攻擊者可以為可緩存的資源生成HTTP請求時，問題就出現(xiàn)了，其中的請求包含不準確的字段，這些字段被緩存系統(tǒng)忽略，但是在原始服務器處理時引發(fā)錯誤。”

美國服務器CPDoS攻擊的工作原理:

遠程攻擊者通過發(fā)送包含格式錯誤的標頭的HTTP請求來請求目標網(wǎng)站的WEB頁面。如果中間的CDN服務器沒有所請求資源的副本，它將把請求轉(zhuǎn)發(fā)給源WEB服務器，而源WEB服務器將由于格式錯誤而崩潰。

因此，原始服務器隨后返回一個錯誤頁面，該錯誤頁面最終由緩存服務器存儲，而不是由請求的資源存儲。現(xiàn)在，每當合法的訪問者試圖獲取目標資源時，他們將獲得緩存的錯誤頁面，而不是原始內(nèi)容。CDN服務器也會將相同的錯誤頁面?zhèn)鞑サ紺DN網(wǎng)絡的其他邊緣節(jié)點，導致受害者網(wǎng)站的目標資源不可用。

值得注意的是，一個簡單的請求就足以用一個錯誤頁面替換緩存中的真實內(nèi)容。這意味著這樣的請求仍然低于WEB應用程序防火墻WAFs和DDoS保護的檢測閾值，特別是當它們掃描大量不規(guī)則網(wǎng)絡流量時。

此外，可以利用CPDoS攻擊來阻止通過緩存分發(fā)的補丁或固件更新，從而防止設備和軟件中的漏洞被修復，攻擊者還可以禁用美國服務器關(guān)鍵任務網(wǎng)站，如網(wǎng)上銀行或官方網(wǎng)站上的重要安全警報或消息。

要對CDN執(zhí)行這種緩存中毒攻擊，有三種類型的HTTP請求：

1）HTTP頭文件大小過大/HHO：在WEB應用程序使用比原始服務器接受更大的頭文件大小限制的緩存的情況下，包含超大頭文件的HTTP請求。

2）HTTP元字符/HMC：這種攻擊不發(fā)送過大的報頭，而是嘗試使用包含有害元字符的請求報頭繞過緩存。

3）HTTP方法覆蓋/HMO：使用HTTP覆蓋頭繞過禁止刪除請求的安全策略。

以上就是關(guān)于美國服務器CPDoS攻擊原理介紹，希望能夠幫助美國服務器用戶更好的了解這種網(wǎng)絡攻擊的工作原理。

美聯(lián)科技已與全球多個國家的頂級數(shù)據(jù)中心達成戰(zhàn)略合作關(guān)系，為互聯(lián)網(wǎng)外貿(mào)行業(yè)、金融行業(yè)、IOT行業(yè)、游戲行業(yè)、直播行業(yè)、電商行業(yè)等企業(yè)客戶等提供一站式安全解決方案。關(guān)注美聯(lián)科技，了解更多IDC資訊！