WebSocket通信协议应用安全问题分析

【51CTO晃荡】8.26 带你深度懂得清华大年夜学、搜狗基于算法的IT运维实践与摸索

WebSocket协定是基于TCP协定上的自力的通信协定，在建立WebSocket通信连接前，须要应用HTTP协定进行握手，大年夜HTTP连接进级为WebSocket连接。浏览器和办事器只须要完成一次握手，两者之间就直接可以创建持久性的连接，并进行双向数据传输。

WebSocket定义了两种URI格局, “ws://“和“wss://”，类似于HTTP和HTTPS, “ws://“应用明文传输，默认端口为80，”wss://“应用TLS加密传输，默认端口为443。

ws-URI: "ws://host[:port]path[?query]"  
wss-URI: "wss://host[:port]path[?query]"

WebSocket应用安然问题分析

一次完全的握手连接如下图:

WebSocket应用安然问题分析

WebSocket应用安然问题

WebSocket是HTML5开端供给的一种浏览器与办事器间进行全双工通信的收集技巧。WebSocket通信协定于2011年被IETF定为标准RFC 6455，WebSocket API也被W3C定为标准，主流的浏览器都已经支撑WebSocket通信。

WebSocket作为一种通信协定惹人到Web应用中，并不会解决Web应用中存在的安然问题，是以WebSocket应用的安然实现是由开辟者或办事端负责。这就请求开辟者懂得WebSocket应用潜在的安然风险，以及若何做到安然开辟规避这些安然问题。

认证

WebSocket 协定没针砭定办事器在握手阶段应当若何认证客户端身份。办事器可以采取任何 HTTP 办事器的客户端身份认证机制，如 cookie认证，HTTP 基本认证，TLS 身份认证等。在WebSocket应用认证实现膳绫擎对的安然问题和传统的Web应用认证是雷同的，如： CVE-2015-0201 , Spring框架的Java SockJS客户端生成可猜测的会话ID，进击者可应用该马脚向其他会话发送消息; CVE-2015-1482 , Ansible Tower未对用户身份进行认证，长途进击者经由过程websocket连接获取敏感信息。

授权

同认证一样，WebSocket协定没有指定任何授权方法，应用法度榜样顶用户资本拜访等的授权策略由办事端或开辟者实现。WebSocket应用也会存在和传统Web应用雷同的安然风险，如：垂直权限晋升和程度权限晋升。

跨域请求

WebSocket应用安然问题分析

上图展示了跨站WebSocket劫持的过程，某个用户已经登录了WebSocket应用法度榜样，如不雅他被欺骗拜访了某个恶意网页，而恶意网页中植入了一段js代码，主动提议 WebSocket 握手请求跟目标应用建立 WebSocket 连接。留意到，Origin 和 Sec-WebSocket-Key 都是由浏览器主动生成的，浏览器再次提议请求拜访目标办事器会主动带上Cookie 等身份认证参数。如不雅办事器端没有检查 Origin头，则该请求会成功握手切换到 WebSocket 协定，恶意网页就可以成功绕过身份认证连接到 WebSocket 办事器，进而窃取到办事器端发来的信息，或者发送捏造信息到办事器端修改办事器端数据。与传统跨站请求捏造(CSRF)进击比拟，CSRF 主如果经由过程恶意网页静静提议数据修改请求，而跨站 WebSocket 捏造进击不仅可以修改办事器数据，还可以控制全部双向通信通道。也恰是因为这个原因，Christian 将这个马脚定名为劫持(Hijacking)，而不是请求捏造(Request Forgery)。

懂得了跨站WebSocket劫持进击的道理和过程，那么若何防备这种进击呢?处理也比较简单，在办事器端的代码中增长对Origin头的检查，如不雅客户端发来的 Origin 信息来自不合域，办事器端可以拒绝该请求。然则仅仅检查 Origin 仍然是不敷安然的，恶意网页可以捏造Origin头信息，绕过办事端对Origin头的检查，更完美的解决筹划可以借鉴CSRF的解决筹划-令牌机制。

拒绝办事

WebSocket设计为面向连接的协定，可被应用引起客户端和办事器端拒绝办事进击，相干案例可参考: F5 BIG-IP长途拒绝办事马脚( CVE-2016-9253 )。

1. 客户端拒绝办事

一旦办事器端返回 101 响应，即可完成 WebSocket 协定切换。办事器端可以基于雷同端口，精晓信协定大年夜 http://或 https:// 切换到 ws://或 wss://。协定切换完成后，浏览器和办事器端可以应用 WebSocket API 互相发送和收取文本和二进制消息。

WebSocket连接限制不合于HTTP连接限制，和HTTP比拟，WebSocket有一个更高的连接限制，不合的浏览器有本身特定的最大年夜连接数,如：火狐浏览器默认最大年夜连接数为200。经由过程发送恶意内容，用尽许可的所有Websocket连接耗尽浏览器资本，引起拒绝办事。

2. 办事器端拒绝办事

WebSocket建立的是持久连接，只有客户端或办事端个一一发提出封闭连接的请求，WebSocket连接才封闭，是以进击者可以向办事器提议大年夜量的申请建立WebSocket连接的请求，建立持久连接，耗尽办事器资本，激发拒绝办事。针对这种攻，可以经由过程设置单IP可建立连接的最大年夜连接数的方法防备。进击者还可以经由过程发送一个单一的宏大年夜的数据帧(如, 2^16)，或者发送一个长流的分片消息的小帧，来耗尽办事器的内存，激发拒绝办事进击, 针对这种进击，经由过程限制帧大年夜小和多个帧重组后的总消息大年夜小的方法防备。

1/2 1 2 下一页尾页

　　推荐阅读

　　已经2017年了，Android手机还需要root吗？

这几乎是大年夜多半安卓手机用户最优先推敲的工作，因为 Root 之后经由过程治理员权限可以完全控制安装在手机上的 app。无须要忍耐厂商预装的混乱无章的 app，尤其是“全家桶”类型的 app，削减储存空间和>>>详细阅读

本文标题：WebSocket通信协议应用安全问题分析

地址：http://www.17bianji.com/lsqh/36789.html

1/2 1