最近，Imperva的研究人员发现称为超链接审计或ping的HTML函数正被用于在各种站点上执行DDoS攻击。网站通常使用此功能来跟踪链接点击次数，但现在发现攻击者滥用此功能向网站发送大量网络请求以使其脱机。
DDoS攻击
对于那些不熟悉超链接审核的人来说，这是一个HTML功能，允许网站跟踪链接点击。要创建超链接审核URL或ping，只需创建一个包含ping=“[url]”变量的普通超链接HTML标记，如下所示。
Superlink审计Ping执行DDoS攻击
Ping HTML链接
在上面的示例中，当用户单击链接时，他们的浏览器将首先通过POST请求连接到https://www.bleepingcomputer [。] com/pong [。] php，然后将浏览器定向到Google。当您单击单个链接时，这将导致您的浏览器连接到两个不同的站点。
接收ping的网页可以检查POST请求标头以查看Ping-From标头和Ping-To标头。
虽然不如JS和重定向跟踪那么常见，但Google搜索结果中使用了此功能，Google可以跟踪其链接的点击次数。
Ping被滥用于执行DDoS攻击
在Imperva的新研究中，研究人员发现攻击者使用HTML ping在各种站点上执行分布式拒绝服务攻击。在攻击期间，Imperva检测到4,000个IP地址，涉及在4小时内发送的大约7000万个请求。该攻击每秒最多有7,500个请求。 2016年类似的基于Android的移动DDoS攻击从27,000个独特IP中实现了每秒400个请求的峰值。
Superlink审计Ping执行DDoS攻击
峰值7,500每秒请求（RPS）
奇怪的是，Imperva观察到的所有PING请求都显示Ping-To和Ping-Fromt标头值来自http：//booc.gz.bcebos [。] com/yo.js？version=cc000001。奇怪的是链接URL通常不同于点击链接的URL。您可以在下面看到此攻击的POST ping请求示例。
Superlink审计Ping执行DDoS攻击
示例Ping请求
从Ping-To和Ping-From标题中检查you.html页面时，Imperva能够理解发生了什么。 you.html页面（如下所示）加载了两个可以执行HTML ping DDoS攻击的JS文件。
Superlink审计Ping执行DDoS攻击
you.html页面上的脚本
ou.js文件（如下所示）包含一系列针对DDoS攻击的网站。 Imperva表示，大多数目标网站都针对游戏公司。
Superlink审计Ping执行DDoS攻击
一系列DDoS目标（OU.jsg）
如下所示，yo.js脚本将随机选择上述站点之一并创建用作ping目标的HTML ping URL。然后以编程方式单击链接，如link.click（）命令所示。
Superlink审计Ping执行DDoS攻击
生成一个链接并单击其功能（yo.js）
然后，JavaScript将创建一个新的HTML ping URL，并且每秒点击一次。因此，用户在访问此页面时将生成最大点击次数。
我们可以注意到请求中的User-Agent与中文聊天应用程序WeChat相关联。微信使用默认的移动浏览器打开邮件中的链接。 QQ浏览器在中国非常流行，属于腾讯。许多用户会选择它作为智能手机的默认浏览器。
Imperva的理论是攻击者使用社交工程和恶意广告将用户引导到托管这些脚本的页面。欺骗一个毫无戒心的微信用户打开浏览器是一种可能的情况：
1.攻击者将恶意广告注入合法网站。
2，使用iframe中的恶意广告链接将合法网站发布到大型微信群聊
3.合法用户通过恶意广告访问网站
4，执行JavaScript代码，创建一个包含用户点击“ping”属性的链接
5，生成HTTP ping请求并将其从合法用户的浏览器发送到目标域
浏览器阻止您禁用HTML ping
好消息是，如上所述，通过禁用浏览器中的超链接审计，很容易防止大多数浏览器被用于超链接审计ping攻击。
不幸的是，除Firefox和Brave外，Chrome，Edge，Safari和Opera浏览器默认启用超链接审核，大多数允许您禁用它。但是这些浏览器的未来版本可能不再允许用户根本禁用超链接审核。无法禁用超链接审查不仅是一种隐私风险，而且也是许多人关注的一个问题，但这项新研究显示它远比以前所理解的要糟糕。现在我们知道此功能正在分布式攻击中使用，用户比以往更有能力禁用此功能。目前唯一默认禁用超链接审查并继续提供禁用方法的浏览器是Firefox和Brave。

• 上一篇: 蓝盟IT外包，元宇宙：四梁八柱是什么
  下一篇: IDC，CDN和云服务提供商如何升级和升级IPv6？

• 分享到：