Novo ataque de desvio de NAT / firewall permite que hackers acessem qualquer serviço TCP / UDP – Blog SN Informática
Uma nova pesquisa demonstrou uma técnica que permite a um invasor contornar a proteção do firewall e acessar remotamente qualquer serviço TCP/UDP na máquina da vítima.
Chamado de NAT Slipstreaming, o método envolve enviar ao alvo um link para um site malicioso (ou um site legítimo carregado com anúncios maliciosos) que, quando visitado, aciona o gateway para abrir qualquer porta TCP/UDP na vítima, evitando assim o navegador. restrições baseada em porta.
"O NAT Slipstreaming explora o navegador do usuário em conjunto com o mecanismo de rastreamento de conexão Application Level Gateway (ALG) integrado aos NATs, roteadores e firewalls ao encadear a extração de IP interno por meio de ataque de tempo ou WebRTC, MTU remoto automatizado e descoberta de fragmentação de IP, tamanho de pacote TCP, uso indevido de autenticação TURN, controle preciso de limite de pacote e confusão de protocolo por meio de abuso de navegador", disse Kamkar em uma análise.
O NAT Slipstreaming funciona aproveitando a segmentação de pacotes TCP e IP para ajustar remotamente os limites dos pacotes e usando-os para criar um pacote TCP/UDP começando com um método SIP, como REGISTER ou INVITE.
SIP (abreviação de Session Initiation Protocol) é um protocolo de comunicação usado para iniciar, manter e encerrar sessões multimídia em tempo real para aplicativos de voz, vídeo e mensagens.
Em outras palavras, uma combinação de segmentação de pacotes e interceptação de solicitações SIP em HTTP pode ser usada para enganar o NAT ALG para abrir portas arbitrárias para conexões de entrada para o cliente.
Para conseguir isso, uma grande solicitação HTTP POST é enviada com um ID e um formulário da web oculto que aponta para um servidor de ataque executando um sniffer de pacotes, que é usado para capturar o tamanho de MTU, tamanho de pacote de dados, tamanhos de cabeçalho TCP e IP, entre outros e, subsequentemente, transmitir os dados de tamanho de volta ao cliente vítima por meio de uma mensagem POST separada.
Conecte-se a TCP/UDP por meio de alteração de pacote
No próximo estágio, o endereço IP interno da vítima é extraído usando WebRTC ICE em navegadores modernos como Chrome ou Firefox ou executando um ataque de temporização em gateways comuns (192.168.*. 1, 10.0.0.1 e redes locais).
"Assim que o cliente obtém os tamanhos dos pacotes e o endereço IP interno, ele constrói um formulário da web especialmente criado que preenche os dados POST até que acreditemos que o pacote se tornará fragmentado, momento em que nosso SIP REGISTER contendo o endereço IP interno é anexado", Kamkar escreveu. "O formulário é enviado via Javascript sem consentimento da vítima."
Assim que os pacotes chegam ao servidor de ataque e é determinado que o pacote SIP não foi reescrito com o endereço IP público, uma mensagem automática é enviada de volta ao cliente, solicitando que ele ajuste o tamanho do pacote para um novo limite com base nos dados coletados anteriormente do sniffer.