Berbicara di Black Hat USA kemarin (10 Agustus), James Kettle meluncurkan penelitian yang membuka batas baru dalam penyelundupan permintaan HTTP – serangan desinkronisasi yang didukung browser.
Pengarahan dan buku-putihnya, berjudul ‘Serangan Desinkronisasi Bertenaga Browser: Perbatasan Baru dalam Penyelundupan Permintaan HTTP’, didasarkan pada penelitian Kettle sebelumnya tentang serangan desinkronisasi.
Serangan desync tradisional meracuni koneksi antara server front-end dan back-end dan oleh karena itu tidak mungkin dilakukan di situs web yang tidak menggunakan arsitektur front-end/back-end.
Namun teknik baru ini menyebabkan desinkronisasi antara front-end dan browser, yang memungkinkan penyerang untuk “membuat eksploit dengan tingkat keparahan tinggi tanpa bergantung pada permintaan cacat yang tidak akan pernah dikirim oleh browser”, kata Kettle.
Ini dapat mengekspos berbagai situs web baru ke penyelundupan permintaan sisi server dan memungkinkan penyerang untuk melakukan variasi sisi klien dari serangan ini dengan mendorong browser korban untuk meracuni koneksinya sendiri ke server web yang rentan.
Kettle mendemonstrasikan bagaimana dia dapat mengubah browser web korban menjadi platform pengiriman desinkronisasi, menggeser batas penyelundupan permintaan dengan mengekspos situs web server tunggal dan jaringan internal.
Dia mampu menggabungkan permintaan lintas-domain dengan kelemahan server untuk meracuni kumpulan koneksi browser, menginstal backdoors, dan melepaskan worm desync – yang pada gilirannya membahayakan target termasuk Amazon, Apache, Akamai, Varnish, dan beberapa VPN web.
Sumber: PortSwigger
