T1090.004: 域前置

摘要

攻击者可能利用内容分发网络(CDN)和其他托管多个域的服务的路由方案，来混淆 HTTPS 流量或通过 HTTPS 隧道传输的流量的预期目的地。(Citation: Fifield Blocking Resistent Communication through domain fronting 2015)域前置涉及在 TLS 标头的 SNI 字段和 HTTP 标头的 Host 字段中使用不同的域名。如果两个域都由同一 CDN 提供服务，那么在解开 TLS 标头后，CDN 可能会路由到 HTTP 标头中指定的地址。此技术的一种变体“无域”(domainless)前置利用留空的 SNI 字段；即使 CDN 尝试验证 SNI 和 HTTP Host 字段是否匹配(如果空白 SNI 字段被忽略)，这也可能使前置工作正常。 例如，如果 domain-x 和 domain-y 是同一 CDN 的客户，则可以在 TLS 标头中放置 domain-x，在 HTTP 标头中放置 domain-y。流量看起来将发往 domain-x，但 CDN 可能会将其路由到 domain-y。