最新研究表明，一种新设计的NAT Slipstreaming攻击变体可被用来入侵和暴露内部网络中的任何设备。
企业物联网安全公司Armis在一篇文章中表示，新的攻击建立在先前公开的技术之上，可绕过路由器和防火墙，从互联网到达内部网络中的任何非托管设备。
安全研究人员Samy Kamkar在2020年10月底首次公开了NAT Slipstreaming攻击方法，该攻击基于JavaScript，利用诱骗用户访问恶意网站，避开基于浏览器的端口限制，实现远程访问用户设备上的TCP/UDP服务，包括受防火墙或NAT保护的服务。
尽管Chromium，Mozilla和Apple在2020年11月11日针对该攻击变体发布了部分缓解措施，通过屏蔽端口5060或5061上的连接来阻止Chrome 87（CVE-2020-16043）、Firefox 84 （CVE-2021-23961）和Safari中的攻击，但Armis公司的研究人员Ben Seri和Gregory Vishnipolsky揭露，NAT Slipstreaming 2.0将嵌入式的非托管设备置于更大的风险之中，攻击者可利用该攻击方法将位于内部网络上的设备直接暴露到互联网上。
该攻击可造成脆弱的设备暴露，包括办公室打印机、工业控制器、IP摄像头和其他未经身份验证的接口，一旦NAT/防火墙被骗向受害设备开放网络流量，这些脆弱的设备就可能被利用。
研究人员称，利用新的NAT Slipstreaming攻击方法从互联网访问这些类型的接口，可能会导致各种攻击，包括网络损害和复杂的勒索软件威胁。
Google、Apple、Mozilla和Microsoft分别发布了Chrome、Safari、Firefox和Edge浏览器的补丁，以应对新的攻击。
利用H.323数据包实现NAT Slipstreaming攻击
简单地说，攻击者可诱骗用户访问受到恶意软件感染的网站，利用NAT Slipstreaming绕过NAT/防火墙，远程访问任何绑定受害者计算机的TCP/UDP服务。
尤其是，在受害者的浏览器上运行的恶意JavaScript代码会提取内部IP地址，并利用TCP/IP数据包分段来创建大型TCP/UDP信标，随后经由TCP端口5060在出站HTTP POST请求内走私包含内部IP地址的SIP（会话发起协议）数据包。
研究人员解释称，“这是通过仔细设置由攻击者控制的TCP连接的[Maximum Segment Size]值来实现的，该连接从受害者浏览器发送到攻击者服务器，这样一来，HTTP请求“中间”的TCP段将完全被攻击者控制。”
这会导致NAT应用层网关（ALG）打开任意端口，以便通过内部IP地址与客户端设备进行入站连接。
NAT Slipstreaming 2.0与上述攻击类似，它使用相同的方法，但依赖H.323 VoIP协议，而不是SIP，向H.323端口（1720）上的攻击者服务器发送多个获取请求，从而允许攻击者遍历IP地址和端口，并把IP地址和端口都开放到互联网上。
研究人员总结认为，持久的解决方案需要对人们已经习惯的互联网基础设施进行彻底的改造。
安全性并不是创建NAT的主要目的，而是IPv4地址可能耗尽的副产品。应用层网关（ALG）等遗留需求仍然是当今NAT设计中的一个主要主题，也是一再发现绕过攻击的主要原因。
作者：Ravie Lakshmanan
来源：The Hacker News
来源：freebuf.com 2021-01-28 17:15:26 by: 偶然路过的围观群众
请登录后发表评论
注册