WAFFLED: Exploiting Parsing Discrepancies to Bypass Web Application Firewalls
Die Studie „WAFFLED" zeigt, wie sich durch die Ausnutzung von Parsing-Unterschieden in HTTP-Anfragen Web Application Firewalls umgehen lassen, und stellt mit HTTP-Normalizer ein Werkzeug zur Behebung dieser Sicherheitslücken vor.
Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen
🛡️ WAFFLED: Wie Hacker die „Sicherheits-Türsteher" des Internets austricksen
Stellen Sie sich das Internet wie eine riesige Stadt vor. Jede Webseite ist ein Geschäft, und die Web Application Firewalls (WAFs) sind die strengen Türsteher vor dem Eingang. Ihre Aufgabe ist es, jeden Besucher zu prüfen, um sicherzustellen, dass niemand mit einer Waffe (einem Hack) oder einer gefälschten Ausweiskarte (einem bösartigen Code) hereinkommt.
Die Forscher von „WAFFLED" haben jedoch entdeckt, dass diese Türsteher nicht alle gleich gut hören oder sehen können. Sie haben einen neuen Weg gefunden, wie Hacker trotzdem reinkommen können, ohne dass der Türsteher es merkt.
1. Das Problem: Zwei verschiedene Sprachen (Die „Parsing"-Diskrepanz)
Stellen Sie sich vor, Sie schicken einen Brief an ein Geschäft.
- Der Türsteher (WAF) liest den Brief und entscheidet: „Das sieht harmlos aus, ich lasse ihn durch."
- Der Empfänger im Geschäft (die Web-App) liest denselben Brief und denkt: „Oh, da ist eine Bombe drin!"
Warum passiert das? Weil der Türsteher und der Empfänger den Brief unterschiedlich lesen.
In der IT-Welt nennt man das „Parsing". Wenn ein Computer einen Datenstrom (wie eine E-Mail oder einen Formular-Abschluss) liest, muss er entscheiden, wo ein Wort aufhört und das nächste beginnt. Die Forscher haben herausgefunden, dass verschiedene Computerprogramme (die WAFs und die Webseiten dahinter) bei bestimmten Sonderzeichen, Leerzeichen oder Zeilenumbrüchen unterschiedliche Regeln anwenden.
Die Analogie:
Stellen Sie sich vor, Sie schreiben: Hallo-Welt.
- Der Türsteher sieht das Bindestrich und denkt: „Das ist ein Name."
- Der Empfänger im Geschäft ignoriert das Bindestrich und denkt: „Ah, das sind zwei Wörter: Hallo und Welt."
Wenn der Türsteher denkt, es sei harmlos, aber der Empfänger denkt, es sei gefährlich, ist das System gebrochen.
2. Die Methode: Der „Verwirrungs-Trick" (Fuzzing)
Die Forscher haben keine neuen, super-bösen Hacker-Tools gebaut. Stattdessen haben sie einen cleveren Trick angewendet: Sie haben die Briefe so verformt, dass der Türsteher verwirrt ist, der Empfänger im Geschäft aber immer noch versteht, was gemeint ist.
Sie haben einen automatisierten Roboter (einen „Fuzzer") eingesetzt, der Millionen von Variationen von Briefen geschrieben hat. Sie haben Dinge wie:
- Leerzeichen an seltsame Stellen gesetzt.
- Buchstaben in Groß- und Kleinschreibung gemischt.
- Unsichtbare Zeichen (wie Nullen) eingefügt.
- Die Trennlinien zwischen Datenabschnitten verschoben.
Das Ergebnis:
Der Roboter hat 1.207 verschiedene Wege gefunden, wie man durch die Türsteher (WAFs) von großen Firmen wie Cloudflare, AWS, Microsoft Azure und Google kommt, ohne dass diese es merken. Die Webseiten dahinter (wie Flask, Spring Boot oder Laravel) haben die versteckten Angriffe trotzdem verstanden und ausgeführt.
3. Die drei Haupt-Opfer (Datenformate)
Die Forscher haben sich auf drei gängige Arten konzentriert, wie Daten im Internet verschickt werden:
- Multipart (Der Paket-Karton): Wenn Sie eine Datei hochladen, wird sie in viele kleine Kärtchen zerlegt. Die Forscher haben die Etiketten auf diesen Kärtchen so manipuliert, dass der Türsteher denkt, es sei nur ein leeres Kärtchen, während der Empfänger im Inneren eine Bombe findet.
- XML (Der Baukasten): Daten werden hier wie ein Baukasten mit Klammern aufgebaut. Die Forscher haben die Klammern so verschoben, dass der Türsteher den Baukasten nicht mehr erkennt, aber der Empfänger ihn trotzdem zusammenbaut.
- JSON (Die Liste): Das ist wie eine Einkaufsliste. Die Forscher haben die Kommas und Anführungszeichen so verändert, dass der Türsteher die Liste falsch liest, aber der Empfänger sie trotzdem versteht.
4. Wie gefährlich ist das wirklich?
Die Forscher haben 100 echte, beliebte Webseiten getestet (z. B. „Passwort vergessen"-Seiten).
- Ergebnis: Über 90 % dieser Seiten akzeptieren beide Datenformate (die normale Form und die manipulierte Form) gleich gut.
- Bedeutung: Das bedeutet, dass diese Lücke nicht nur in Laboren existiert, sondern überall im echten Internet. Ein Hacker könnte fast jede beliebige Seite angreifen.
5. Die Lösung: Der „Übersetzer" (HTTP-Normalizer)
Wie kann man das reparieren? Die Forscher haben ein Werkzeug namens HTTP-Normalizer entwickelt.
Die Analogie:
Stellen Sie sich den Normalizer als einen strengen Dolmetscher vor, der zwischen dem Türsteher und dem Empfänger steht.
- Bevor der Brief den Türsteher passiert, nimmt der Dolmetscher ihn.
- Er schaut genau hin: „Hier ist ein unsichtbares Zeichen, das nicht erlaubt ist. Ich entferne es."
- Er richtet die Buchstaben aus: „Hier ist ein Leerzeichen zu viel. Ich mache es weg."
- Er stellt sicher, dass alles genau nach den offiziellen Regeln (den RFC-Standards) aussieht.
Erst wenn der Brief „sauber" und perfekt ist, gibt er ihn an den Türsteher weiter. Da der Brief jetzt perfekt ist, kann der Türsteher ihn richtig lesen und den Angriff sofort erkennen und stoppen.
Fazit
Die Studie zeigt, dass viele Sicherheits-Türsteher im Internet nicht perfekt sind, weil sie Daten manchmal „falsch" lesen. Hacker können diese kleinen Missverständnisse ausnutzen. Aber die gute Nachricht ist: Es gibt eine einfache Lösung. Wenn wir sicherstellen, dass alle Daten vor dem Türsteher „gereinigt" und standardisiert werden, können wir diese Lücken schließen und das Internet sicherer machen.
Kurz gesagt: Die Forscher haben gezeigt, wie man die Sicherheits-Türsteher verwirrt, und gleichzeitig einen Weg gefunden, wie man sie wieder schlau macht, damit sie ihre Arbeit endlich richtig machen können.
Ertrinken Sie in Arbeiten in Ihrem Fachgebiet?
Erhalten Sie tägliche Digests der neuesten Arbeiten passend zu Ihren Forschungsbegriffen — mit technischen Zusammenfassungen, in Ihrer Sprache.