jofpin/ifaPoC che espone una vulnerabilità critica di IndexedDB che consente un attacco di flooding del disco sfruttando la mancanza di restrizioni.
IFA è una Prova di Concetto (PoC) che dimostra come un attaccante possa sfruttare l'API IndexedDB nei browser web più diffusi per effettuare un attacco di inondazione del disco. Questo attacco sfrutta in particolare la mancanza di restrizioni in IndexedDB, consentendo al browser di memorizzare dati senza limiti effettivi, consumando rapidamente lo spazio su disco dell'utente iniettando centinaia di MB al secondo. Ciò può portare a un grave degrado delle prestazioni del sistema, all'esaurimento della memoria e, nei casi estremi, al crash completo del sistema.
In un mondo in cui ci affidiamo sempre più alle applicazioni web per produttività e intrattenimento, una vulnerabilità che può rendere il tuo dispositivo inutilizzabile in pochi minuti è una minaccia seria. IFA rivela come la mancanza di restrizioni in IndexedDB possa essere sfruttata per creare uno scenario in cui un utente perde il controllo del proprio sistema a causa di un semplice script.
L'esecuzione di IFA può avere i seguenti effetti devastanti:
Degrado Massiccio delle Prestazioni: La memorizzazione massiccia e continua di dati in IndexedDB satura le operazioni di input/output del disco, portando a una significativa riduzione della velocità del sistema. Gli utenti sperimenteranno tempi di risposta estremamente lenti, rendendo difficile l'uso normale dei loro dispositivi.
Esaurimento Rapido dello Spazio di Archiviazione: In pochi minuti, l'attacco può consumare gigabyte di spazio su disco. Una volta esaurita la memoria, il sistema diventa incapace di eseguire operazioni di base come salvare documenti, installare aggiornamenti o persino aprire nuove applicazioni.
Instabilità e Crash del Sistema: Quando il disco è completamente pieno, il sistema operativo può diventare instabile o addirittura bloccarsi, causando la perdita di dati non salvati e potenzialmente danneggiando file di sistema critici. Gli utenti colpiti potrebbero dover ripristinare il sistema o persino eseguire una reinstallazione completa del sistema operativo.
IFA colpisce un'ampia gamma di browser:
IFA utilizza una strategia attentamente progettata per sfruttare la mancanza di restrizioni nell'API IndexedDB, massimizzando l'impatto dell'attacco mentre impedisce al browser di crashare prematuramente:
Generazione di Identificatori Univoci: Lo script genera più database con nomi casuali, assicurando nessun conflitto e che ogni database possa memorizzare grandi quantità di dati.
Iniezione di Blob da 8 MB: IFA utilizza blob (frammenti di dati di grandi dimensioni) di 8 MB composti da testo ripetitivo e dati immagine. Questa scelta di dimensione è cruciale poiché consente di memorizzare grandi volumi di dati in modo efficiente senza causare un crash immediato del browser. Utilizzando blob di una dimensione specifica, IFA può inondare il disco dell'utente in modo coerente e persistente, eludendo i meccanismi di sicurezza basati sul buffer di memoria della scheda del browser che potrebbero fermare l'attacco se vengono rilevate operazioni di scrittura eccessive o troppo rapide.
Cicli di Memorizzazione dei Dati: I blob da 8 MB vengono memorizzati ripetutamente nell'oggetto IndexedDB, creando un flusso continuo di dati che riempie rapidamente lo spazio su disco. IFA inietta centinaia di MB al secondo, assicurando un rapido consumo dello spazio di archiviazione dell'utente mentre evita crash immediati del browser.
Saturazione del Disco: Il processo continua indefinitamente, memorizzando dati fino all'esaurimento dello spazio su disco, portando a una serie di problemi che possono paralizzare il sistema.
L'exploit IFA dimostra come una grave vulnerabilità nell'API IndexedDB possa essere trasformata in un'arma. Ecco alcuni scenari in cui un attaccante potrebbe sfruttare questa PoC per causare danni significativi:
Sfruttamento tramite Cross-Site Scripting (XSS): Se un attaccante scopre una vulnerabilità XSS su un sito web legittimo, potrebbe iniettare lo script IFA nel sito. Quando gli utenti visitano la pagina compromessa, lo script verrebbe eseguito automaticamente nei loro browser, riempiendo rapidamente lo spazio su disco. Ciò potrebbe portare a un significativo rallentamento del sistema o addirittura a un crash, specialmente per gli utenti che non sono a conoscenza dell'attacco.
Librerie JavaScript di Terze Parti Compromesse: Molti siti web e applicazioni web si affidano a librerie JavaScript di terze parti. Se un attaccante compromettesse una di queste librerie iniettando lo script IFA, qualsiasi sito web che utilizza la libreria interessata potrebbe diventare inconsapevolmente un vettore per l'attacco. Ciò comporterebbe un'inondazione diffusa del disco su qualsiasi dispositivo utente che carica lo script compromesso.
Estensioni del Browser Dannose: Gli attaccanti potrebbero sviluppare o compromettere estensioni del browser per includere lo script IFA. Una volta installata, l'estensione potrebbe eseguire lo script silenziosamente in background, inondando lo spazio su disco dell'utente ogni volta che apre il browser. Questo scenario è particolarmente pericoloso poiché le estensioni del browser hanno spesso permessi estesi.
Annunci Web Infetti: Un attaccante potrebbe inserire un annuncio pubblicitario dannoso contenente lo script IFA su un sito web legittimo. Quando gli utenti caricano la pagina con l'annuncio infetto, lo script verrebbe eseguito e inizierebbe a consumare lo spazio su disco. Questo metodo potrebbe colpire un gran numero di utenti, specialmente su siti web ad alto traffico.
Campagne di Phishing: Gli attaccanti potrebbero inviare email di phishing che indirizzano le vittime a un sito web che ospita lo script IFA. Una volta che il bersaglio visita il sito web dannoso, lo script verrebbe eseguito e inizierebbe a riempire lo spazio su disco. Questo metodo potrebbe essere particolarmente efficace in attacchi mirati contro individui o organizzazioni.
Per aiutarti a comprendere meglio l'impatto di IFA, ho creato una dimostrazione su un sito web dedicato. Questa demo web è progettata per permetterti di vedere facilmente l'exploit in azione e comprenderne i potenziali effetti.
Esplora la Demo Live: Visita https://ifa.run per interagire con la demo live. Questo ti permetterà di sperimentare in prima persona come questo attacco possa influenzare il tuo browser e sistema. Ho creato questa demo per garantire che chiunque possa testare e vedere facilmente le conseguenze dell'exploit. Ricorda di eseguire questo test con cautela e in un ambiente controllato.
Demo di Iniezione Nascosta: Per una dimostrazione più sottile, visita https://ifa.run/hidden.html. Questa versione opera in modo invisibile, eseguendo direttamente l'iniezione senza alcuna grafica visibile o interfaccia utente come nella demo principale.
Guarda il Video della PoC: Se preferisci una spiegazione guidata, ho creato anche un video dimostrativo. Nel video, ti accompagno nell'esecuzione di IFA e ti mostro gli effetti che può causare: Video della PoC.
