Izlet na Islandijo
Z družino smo se poleti 2025 odpravili na Islandijo. Namen imam potopis beležiti v tole objavo.
oss-security
priletelo pismo, ki opisuje novo metodo tihotapljenja zahtev. O tej vrsti napada na računalniške sisteme sem pisal že v prejšnji objavi, le da sem se omejil na HTTP.
SMTP protokol za izmenjavo elektronske pošte deluje tako, da lahko na isti TCP povezavi po samem sporočilu nadaljujemo z ukazi SMTP strežniku in po možnosti pošljemo še več sporočil. Poraja pa se vprašanje, kdaj je sporočilo res zaključeno. Če je kdo že na roke poslal kakšno pismo, ve, da strežnik navadno odgovori z "End data with CRLF.CRLF" oziroma nečim podobnim. Ker pa je SMTP izdelan tako, da ga lahko pišemo na roke, bodo nekatere implementacije namesto točno CRLF.CRLF
kot konec sporočila prepoznale tudi druge podobne stvari, denimo LF.LF
. Spet smo pri problemu, kako veliko je sporočilo, ki ga je ustvaril uporabnik, in kdaj se spet nadaljujejo ukazi (https://en.wikipedia.org/wiki/In-band_signaling). Če en SMTP strežnik LF.LF
ne prepozna kot konec sporočila, drugi pa, bo sporočilo, ki ga prvi strežnik posreduje drugemu, lahko vsebovalo pretihotapljene SMTP ukaze. ...