अनुकूली फ़िंगरप्रिंटिंग: ग्रैनुलर सर्वर विभेदन के लिए HTTP-Basma की बहु-चरणीय प्रोबिंग

HTTP-Basma https://httpbasma.netomize.ca/ पर लाइव है

परिचय

साइबर सुरक्षा के क्षेत्र में, वेब सर्वरों की सटीक पहचान और विशेषता-निर्धारण खतरों का पता लगाने, भेद्यता आकलन और नेटवर्क मैपिंग के लिए महत्वपूर्ण है। हम HTTP-Basma प्रस्तुत करते हैं, एक नया सक्रिय फ़िंगरप्रिंटिंग एल्गोरिदम जो बहु-स्तरीय दृष्टिकोण के माध्यम से अद्वितीय सर्वर प्रोफ़ाइलों को उजागर करता है, और इस प्रकार इस चुनौती का समाधान करता है।

मुख्य विशेषताएँ: तैयार किए गए अनुरोध, प्रकट करने वाली प्रतिक्रियाएँ: HTTP-Basma 8 सावधानीपूर्वक डिज़ाइन किए गए HTTP प्रोब भेजता है, जो सर्वर कॉन्फ़िगरेशन को प्रतिबिंबित करने वाली विशिष्ट प्रतिक्रियाएँ उत्पन्न करते हैं। बहुमुखी प्रतिभा के लिए दोहरी हैशिंग। एल्गोरिदम दो हैश उत्पन्न करता है:

• एक 38-बाइट फ़ज़ी हैश, "verbosus", जो प्रतिवर्तीता प्रदान करता है
• एक 16-बाइट एकतरफ़ा हैश, "pacto", जो verbosus से व्युत्पन्न है, जिससे गोपनीयता और सुरक्षा बढ़ती है

क्लस्टरिंग और हंटिंग: ये हैश सर्वर क्लस्टरिंग, अद्वितीय और समान सर्वरों की पहचान, और बढ़े हुए विश्वास के साथ दुर्भावनापूर्ण अभिनेताओं का पीछा करने को सशक्त बनाते हैं।

विस्तार के लिए मॉड्यूलर डिज़ाइन: एल्गोरिदम की संरचना नए हैशिंग वेरिएंट जोड़ने को प्रोत्साहित करती है, जिससे सहयोग और अनुकूलनशीलता को बढ़ावा मिलता है।

इस पेपर में, हम पहले HTTP फ़िंगरप्रिंटिंग पर उल्लेखनीय मौजूदा कार्यों का सर्वेक्षण करते हैं और फिर एल्गोरिदम की कार्यक्षमता, डिज़ाइन, संरचना और परिणामों का पता लगाते हैं। इसके अतिरिक्त, हम शीर्ष 1 मिलियन Majestic वेबसाइटों को स्कैन करने से प्राप्त आकर्षक निष्कर्षों को प्रदर्शित करेंगे, जिसमें विभिन्न मैलवेयर परिवारों के लिए C&C HTTP सर्वरों की पहचान और क्लस्टरिंग शामिल है।

HTTP-Basma के एल्गोरिदम का मूल विचार 8 विशेष रूप से तैयार किए गए HTTP अनुरोध भेजने पर केंद्रित है, जिनमें अलग-अलग आवश्यकताएँ होती हैं ताकि सर्वर से भिन्न प्रतिक्रियाएँ प्राप्त की जा सकें। सर्वर प्रतिक्रिया प्राप्त होने के बाद, HTTP स्टेटस लाइन को सभी तत्वों के लिए सर्जिकल रूप से विच्छेदित किया जाता है और इष्टतम रूप से एन्कोड किया जाता है। इसके अतिरिक्त, सर्वर प्रतिक्रिया से चुनिंदा हेडरों को भी एन्कोडिंग के लिए जाँचा जाता है।

यह जो अनुरोध भेजता है वे इन प्रकारों के होते हैं:

1. P1 - GET सामान्य - वैध अनुरोध
2. P2 - GET अवैध HTTP संस्करण अनुरोध
3. P3 - GET यादृच्छिक संसाधन अनुरोध
4. P4 - यादृच्छिक क्रिया अनुरोध
5. P5 - get लोअरकेस क्रिया
6. P6 - GET अनुरोध - Accept-Encoding - पूर्ण
7. P7 - GET अनुरोध - Accept-Encoding - कम
8. P8 - OPTIONS अनुरोध

प्रत्येक अनुरोध के बाद, विशिष्ट हेडरों और उनके मानों को निकालने के लिए सर्वर की प्रतिक्रिया का विश्लेषण किया जाता है। यह निकाला गया डेटा आगे की प्रक्रिया से गुज़रता है, जिसमें विच्छेदन और एन्कोडिंग शामिल है, ताकि एक प्रतिवर्ती फ़िंगरप्रिंट उत्पन्न किया जा सके।

एल्गोरिदम कैसे काम करता है इसका पूरा तकनीकी विवरण संलग्न पेपर में है।

यह मॉड्यूलर डिज़ाइन दर्शन प्रत्येक अनुरोध फ़िंगरप्रिंट को एक निर्माण खंड के रूप में मानता है, जो सुरुचिपूर्ण रिफैक्टरिंग की अनुमति देता है, साथ ही किसी भी अनुरोध के फ़िंगरप्रिंट को जोड़ने और घटाने की संभावना के साथ।

फ़िंगरप्रिंट के नमूने:

CobaltStrike

  - verbosus fp: 011420958a0014514bd5221420958a221420958a221420958a2200001420958a22000000001f
  - pacto fp: 02464ae8b7d86f82c9918e2c2b9d6b91
  - note: false-positive rate (72/986,910)

Havoc

  - verbosus fp: 01142494d60914514bd522142494d6221420958a701420958a220000140e04922032c37f1609
  - pacto fp: 020769322f3d94ac2f258ddf5ce08502
  - note-1: false-positive rate 0
  - note-2: tevedadav.site/43.209.165.126:443 (TLS)
    - sample-(sha-256): 9aa1dec8dd12f8adc7fc1274e1958f3613450109ee8b4ec6442a0fcf06df0972

BruteRatel

  - verbosus fp: 01140a85e40014512f3612140a85e422140a85e422140a85e4220000140a85e4220000000001
  - pacto fp: 0207292309a7a7e798e417d69df5f2a5
  - note: false-positive rate (73/986,910)

Google

  - verbosus fp: 01140a85e4001320958a22142494d62214254c5e2214254c5e22080014254c5e220000000000
  - pacto fp: 0202be780e1eaae0eaa6184e20c909b6
  - note: false-positive rate (4/986,910)

YouTube

  - verbosus fp: 01140a85e4011320958a22142494d67214254c5e2214254c5e22080014254c5e220000000000
  - pacto fp: 02cc5be6d05192e17de041538508bc22
  - note: false-positive rate (38/986,910)

X

  - verbosus fp: 01140a85e40914514bd522140a85e4721420958a701420958a220800140a85e4720000001609
  - pacto fp: 0221b4e46bbd0e5c037f5a852ca3fdc0
  - note: false-positive rate (6/986,910)

HTTP-Basma टूल

HTTP-Basma एक C++ टूल है जिसे मैंने इस एल्गोरिदम की व्यावहारिकता और उपयोगिता को प्रदर्शित करने के लिए विकसित किया है। यह सभी HTTP सॉकेट इंटरैक्शन के लिए Chilkat की लाइब्रेरी का उपयोग करता है और लाइब्रेरी के भीतर अन्य सहायक क्लासेस का उपयोग करता है। इसके अतिरिक्त, टूल में एक demangler सुविधा शामिल है जो verbosus fuzzy-hash को विश्लेषित और उलट सकती है, एक व्यापक JSON ऑब्जेक्ट आउटपुट करती है, और एक comparator फ़ंक्शन जो दो verbosus फ़िंगरप्रिंट के बीच अंतर आउटपुट करता है।

ध्यान रखें कि टूल का कुछ आउटपुट थोड़े भिन्न प्रोब नंबरों का उपयोग कर सकता है, लेकिन अंतर्निहित क्रम सुसंगत रहता है: P1->P1, P2->P2, P3->P3, P4->P4, P->P5, P6->P6F, P7->P6L, P8->P7a।

टूल के विकल्प

Usage:
  HTTP-Basma [OPTION...]