مطابقة اللاحقة

اللابات تحتاج كمبيوتر

افتح هذه الصفحة من كمبيوتر أو كبر نافذة المتصفح

جار تحميل اللاب

السيناريو

الخادم يسمح بأي أصل ينتهي مضيفه بـ ravens.lab ظنا أنه يسمح لنطاقاته الفرعية فقط لكن مضيفا مثل evil-ravens.lab ينتهي أيضا بـ ravens.lab فيمر ويسجله المهاجم

ما الذي تراه أمامك

نفس صفحة اختبار CORS والخادم يسمح بأي أصل ينتهي مضيفه بـ ravens.lab. فحص اللاحقة النصي لا يفرق بين نطاق فرعي حقيقي ومضيف مسجل ينتهي بالنص

الهدف

اقرأ رد الحساب من أصل يتجاوز فحص اللاحقة

متى يعتبر محلولا

تجاوزت فحص اللاحقة وقرأت الرد

قائمة الخطوات

علم كل خطوة وأنت تمشي فيها الخطوات هي الطريقة وليست الجواب

جرب أصلا خارجيا لا ينتهي بـ ravens.lab ولاحظ المنع
لاحظ أن الفحص مطابقة لاحقة نصية
اختر مضيفا ينتهي بالنص لكنه ليس نطاقا فرعيا
تأكد أن الأصل مر وقرأت الرد

التلميحات

لم تكشف أي تلميح بعد اسأل الصقر عند الحاجة

لماذا نجح الحل

مطابقة اللاحقة تقبل evil-ravens.lab لأنه ينتهي بـ ravens.lab فالمهاجم يسجل مثل هذا النطاق ويقرأ البيانات الحل مطابقة المضيف تماما أو التحقق من أنه نطاق فرعي حقيقي بنقطة فاصلة

السبب الجذري

مطابقة لاحقة نصية بدل مطابقة مضيف تامة أو حد النطاق الفرعي بنقطة الجذر فحص نصي لا يفهم بنية النطاق

كيف يصلح الكود

طابق المضيف تماما أو تحقق من حد النطاق الفرعي بنقطة لا باللاحقة النصية

الكود المصاب

if (host.endsWith('ravens.lab')) allow(origin); // evil-ravens.lab passes

الكود الآمن

if (host === 'account.ravens.lab' || host.endsWith('.ravens.lab')) allow(origin); // dot boundary

الأثر في الواقع

فحوص اللاحقة الفضفاضة سمحت لنطاقات مهاجمة بقراءة بيانات مصادق عليها في أنظمة حقيقية

كيف يكتشفها المدافعون

المدافع يطابق الأصل تماما مع قائمة أو يتحقق من حد النطاق الفرعي بنقطة ويرصد أصولا غريبة تمر

العودة إلى الدرس