Pingback - Pingback

А пингбэк один из четырех типов обратная ссылка методы для Интернет авторы запрашивают уведомление, когда кто-то ссылки к одному из своих документов. Это позволяет авторам отслеживать, кто ссылается на их статьи или ссылается на них. Немного блог программное обеспечение и системы управления контентом, Такие как WordPress, Подвижный Тип, Интуиция, и Telligent Сообщество, поддерживают автоматические пингбеки, где все ссылки в опубликованной статье могут быть пингуется при публикации статьи. Другие системы управления контентом, такие как Drupal и Joomla, поддерживайте пингбеки с помощью надстроек или расширений.

По сути, пингбэк - это XML-RPC запрос (не путать с ICMP пинг ) отправляется с сайта A на сайт B, когда автор блога на сайте A пишет сообщение, которое ссылается на сайт B. Запрос включает URI страницы со ссылками. Когда сайт B получает сигнал уведомления, он автоматически возвращается к сайту A, проверяя наличие действующей входящей ссылки. Если эта ссылка существует, пингбэк записывается успешно. Это делает пингбеки менее склонными к спам чем трекбэки. Ресурсы с поддержкой Pingback должны либо использовать X-Pingback заголовок или содержать <link> в скрипт XML-RPC.

Эксплойты

В марте 2014 г. Акамай опубликовал отчет о широко известной эксплойте Pingback, нацеленной на уязвимые WordPress места.[1] Этот эксплойт привел к массовому злоупотреблению законными блогами и веб-сайтами и превратил их в не желающих участников DDoS атака.[2] Подробная информация об этой уязвимости публикуется с 2012 года.[3]

Атаки pingback состоят из «отражения» и «усиления»: злоумышленник отправляет pingback-ответ в законный блог A, но предоставляет информацию о законном блоге B (выдача себя за другое лицо ).[4] Затем блог A должен проверить блог B на наличие информированной ссылки, поскольку именно так работает протокол pingback, и, таким образом, он загружает страницу с сервера блога B, вызывая отражение.[4] Если целевая страница большая, это усиливает атака, потому что небольшой запрос, отправленный в блог A, заставляет его сделать большой запрос в блог B.[4] Это может привести к 10-кратному, 20-кратному и даже большему усилению (DoS ).[4] Можно даже использовать несколько отражателей, чтобы предотвратить исчерпание каждого из них, и использовать объединенную мощность усиления каждого для исчерпания целевого блога B за счет перегрузки полосы пропускания или ЦП сервера (DDoS ).[4]

Wordpress немного изменил принцип работы функции pingback, чтобы смягчить этот вид уязвимости: IP-адрес, с которого был получен pingback (адрес злоумышленника), начал записываться и, таким образом, отображаться в журнале.[5] Тем не менее, в 2016 году атаки pingback продолжали существовать, предположительно из-за того, что владельцы веб-сайтов не проверяли журналы пользовательских агентов, которые имеют реальные IP-адреса.[5][4] Следует отметить, что если атакующий более чем сценарий kiddie, он будет знать, как предотвратить запись своего IP-адреса, например, отправив запрос с другой машины / сайта, чтобы вместо этого был записан IP-адрес этого компьютера / сайта, и тогда регистрация IP станет менее полезной.[6] Таким образом, по-прежнему рекомендуется отключать пингбеки, чтобы предотвратить атаки на другие сайты (хотя это не мешает стать целью атак).[5]

Смотрите также

  • Webmention, современная повторная реализация PingBack с использованием данных POST с кодировкой HTTP и x-www-urlencoded.
  • Linkback, набор протоколов, который позволяет веб-сайтам вручную и автоматически связываться друг с другом.
  • Refback, аналогичный протокол, но проще, чем Pingbacks, так как сайт, на котором создается ссылка, не должен иметь возможность отправлять Pingback
  • Трекбэк, аналогичный протокол, но более подверженный спаму.
  • Поисковая оптимизация

Рекомендации

  1. ^ Бреннер, Билл. "Анатомия Wordpress XML-RPC Pingback-атак". Блог Akamai, 31 марта 2014 г., 5:42. Получено 7 июля, 2014.
  2. ^ Сид, Даниэль. «Более 162 000 сайтов WordPress используются для распределенной атаки типа« отказ в обслуживании »». Блог Sucuri, 10 марта 2014 г.. Получено 7 июля, 2014.
  3. ^ Калин, Богдан. «Уязвимость WordPress Pingback». Accunetix, 17 декабря 2012 г. - 13:17. Получено 7 июля, 2014.
  4. ^ а б c d е ж Краси Цветанов (4 мая 2016 г.). "WordPress pingback-атака". Сети A10. Получено 2 февраля 2017. Эта проблема возникает из-за того, что злоумышленник A может выдать себя за блог T, подключившись к блогу R и отправив уведомление о ссылке, в котором блог T указан как источник уведомления. В этот момент K автоматически попытается подключиться к T, чтобы загрузить сообщение в блоге. Это называется отражением. Если бы злоумышленник осторожно выбрал URL-адрес, содержащий много информации, это вызвало бы усиление. Другими словами, для относительно небольшого запроса от злоумышленника (A) к отражателю отражатель (R) подключится к цели (T) и вызовет большой объем трафика. [...] На стороне отражателя для 200-байтового запроса ответ может легко составлять тысячи байтов - в результате умножение начинается с 10x, 20x и более. [...] Чтобы избежать перегрузки отражателя, можно использовать несколько отражателей для увеличения масштаба. Таким образом, у цели будет исчерпана исходящая пропускная способность и, возможно, вычислительные ресурсы. [...] Еще один момент, который следует учитывать, - это вычислительные ресурсы, привязанные к целевой стороне. Если рассматривать страницу, создание которой требует больших вычислительных ресурсов, для злоумышленника может быть более эффективным перегрузка ЦП системы по сравнению с пропускной способностью соединения. [...] Это не первый раз, когда CMS, и в частности WordPress, используется для DDoS или другой вредоносной деятельности. В значительной степени это связано с тем, что WordPress привлекает пользователей, у которых нет ресурсов для управления своими веб-сайтами, и они часто используют WordPress, чтобы облегчить свою работу. В результате многие пользователи не имеют адекватной программы управления исправлениями или надлежащего мониторинга, позволяющего отслеживать нарушения в своем трафике.
  5. ^ а б c Дэниел Сид (17 февраля 2016 г.). «Сайты WordPress, используемые в DDoS-кампаниях 7-го уровня». Сукури. Получено 2 февраля 2017. Начиная с версии 3.9, WordPress начал записывать IP-адрес, с которого исходил запрос pingback. Это уменьшило ценность использования WordPress как части атаки; платформа теперь будет записывать исходный IP-адрес злоумышленников, и он будет отображаться в журнале пользовательского агента. [...] Несмотря на потенциальное снижение ценности регистрации IP-адресов, злоумышленники все еще используют эту технику. Вероятно, потому что владельцы веб-сайтов редко проверяют журналы пользовательских агентов, чтобы узнать реальный IP-адрес посетителей. [...] Хотя это замечательно, что WordPress регистрирует IP-адрес злоумышленника в новых выпусках, мы все же рекомендуем отключить пингбеки на своем сайте. Это не защитит вас от атак, но остановит ваш сайт от атак других.
  6. ^ Тим Батлер (25 ноября 2016 г.). «Анализ DDOS-атаки Pingback на WordPress». Conetix. Получено 2 февраля 2017. Одно улучшение WordPress добавил к пингбэкам в версии 3.7, которое, по крайней мере, отслеживало исходный IP-адрес запроса. Хотя это не решает проблемы, но, по крайней мере, позволяет отслеживать, откуда поступают звонки. Однако, если злоумышленник не очень и очень наивен, этот IP-адрес просто отследит другой зараженный компьютер или сайт. Обычно эти системы запросов являются частью ботнета для маскировки и распространения запросов. [...] Инструмент pingback в WordPress по-прежнему остается уязвимой системой для любого сайта WordPress, который не остановил его явным образом. С точки зрения веб-хостинга, это довольно неприятно.

внешняя ссылка