Analisi dell'architettura WEB del sito Caruso, Flamini, Giammusso, Rossi

Transcript

1 Analisi dell'architettura WEB del sito Caruso, Flamini, Giammusso, Rossi

2 Strumenti Uso dello strumento whois per analizzare il range di indirizzi ip pubblici utilizzati e l'autonomous system di appartenenza. Cattura e studio dei pacchetti scambiati tra client e server(s) attraverso lo sniffer Wireshark. Uso dei servizi del sito per apprendere informazioni sull'autonomous system. Uso dei servizi del sito per localizzare i server CDN del sito. Uso dello strumento dig (Domain Information Groper) per interrogare i name servers e per reperire informazioni circa la distribuzione del sito. Analisi dei cookies. Uso di alcuni addons per Firefox per facilitare l'analisi (pulizia e disabilitazione della cache, visualizzazione cookies, ecc.), per testare il sito con diverse impostazioni Locale e per visualizzare le richieste HTTP. Addons di Firefox: FireBug + FireCookie; ShowIp; Web Developer; Live HTTP HEADERS; Quick Locale Switcher.

3 Whois facebook? Le presentazioni sono sempre il primo passo. Whois facebook.com? Utilizzando lo strumento whois è stato possibile reperire utili ed interessanti informazioni, rappresentate qui a lato. Oltre le informazioni che esulano dall'analisi tecnica, quali la localizzazione fisica dell'organizzazione Thefacebook.com, ce ne sono altre due che riscuotono un elevato grado d'interesse: Possiamo vedere subito il range di ip pubblici utilizzati da facebook, sintetizzati nel prefisso /20 attraverso la tecnica CIDR. L'autonomous system di appartenenza risulta essere l'as Facendo un'ulteriore analisi e utilizzando i servizi offerti da possiamo affermare che l'insieme delle macchine targate facebook operino in un autonomous system tutto loro.

4 Wireshark HTTP REDIRECTION Il secondo passo dell'analisi è stato quello di catturare i pacchetti scambiati tra il client e il server, utilizzando Wireshark. A questo scopo è stato utile disabilitare la fase di caching per riuscire a catturare tutte le richieste DNS. Lo screenshot qui a lato mostra i primi pacchetti ricevuti. Si noti la presenza di una HTTP REDIRECT. Pacchetti 1-6: richiesta DNS per il nome (risposta: ). Pacchetti 7-9: Primo HIT sull'ip apertura connessione TCP. Pacchetto 12: HTTP REDIRECT HTTP/ Found. Il campo Location mostra dove verrà effettuato il redirect. In questo caso viene utilizzato l'alias it-it.facebook.com per il CNAME

5 Analisi dei GET HTTP Utilità della Http Redirect Analizzando più approfonditamente questo aspetto, ci si accorge di come il redirect http venga utilizzato per l'internazionalizzazione del sito. Per dimostrare questa ipotesi è stato eseguito il seguente test che ha portato ai risultati rappresentati qui a fianco: GET HTTP da telnet. Senza informazioni addizionali. Impostazione Locale del Browser: Impostazione Locale del Browser: I. Reset dei cookies. II. Impostazione Locale settata a it-it. III. Richiesta di IV. Reset dei cookies. V. Impostazione Locale settata su de-de. VI. Richiesta di VII. GET HTTP utilizzando telnet. I risultati dimostrano che, durante il primo GET, la logica del sito viene a conoscenza dell'impostazione Locale e dipendentemente da questa, definisce una redirect http impostando nel campo Location la giusta URL necessaria per la corretta traduzione del sito. Dopo, attraverso il server Akamai (prossima diapositiva) static.ak.fbcdn.net, verrà scaricato il dizionario delle frasi corrispondente alla lingua impostata.

6 Wireshark CDN Procedendo con l'analisi dei pacchetti catturati, è stata notata la comunicazione con delle macchine aventi indirizzi ip non appartenenti al prefisso /20 di facebook. Qui di seguito viene riportata una sintesi delle richieste DNS per tali macchine: Query Query Response static.ak.fbcdn.net CNAME static.ak.facebook.com.edgesuite.net CNAME a749.g.akamai.net A [...] profile.ak.fbcdn.net CNAME profile.ak.facebook.com.edgesuite.net CNAME a1725.l.akamai.net A [...] photos-c.ak.fbcdn.net Standard query response CNAME photos-c.ak.facebook.com.edgesuite.net CNAME a997.mm1.akamai.net A [...] photos-b.ll.facebook.com Standard query response CNAME facebook.vo.llnwd.net A [...] vthumb.ak.facebook.com CNAME vthumb.facebook.com.edgesuite.net CNAME a591.da2.akamai.net A [...] creative.ak.facebook.com CNAME creative.ak.facebook.com.edgesuite.net CNAME a75.g.akamai.net A [...] Altre queries con pattern: *.ak.fbcdn.net *.ak.facebook.com Risposte con pattern: *.facebook.com.edgesuite.net Ogni risposta differisce per i numeri ip e per il numero cliente AKAMAI. I risultati dimostrano come facebook faccia un largo uso di server CDN per la gestione della reperibilità dei contenuti. I contenuti reperibili attraverso server CDN sono di vario di tipo: foto, thumbs, e script (ad esempio da static.ak.fbcdn.net vengono scaricati gli script per l'internazionalizzazione del sito). Con un'analisi un po' più accurata è stato possibile definire quali società CDN offrissero il proprio servizio a facebook: Akamai e Limelight Networks. La prossima diapositiva invece, ha lo scopo di mostrare la locazione fisica dei server CDN, riguardo sempre ai pacchetti sniffati presi in analisi. NB: le scritte in rosso fanno riferimento ai codici che Akamai utilizza per identificare i clienti.

7 Ip2location.com Allo scopo di avere una maggiore chiarezza sulla disposizione dei server CDN utilizzati, si è scelto di utilizzare i servizi offerti dal sito Di seguito sono riportati i risultati ottenuti. N.B.: Le locazioni sono relativa ad una session proveniente dall'italia. creative.ak.fbcdn.net static.ak.fbcdn.net profile.ak.fbcdn.net photos-c.ak.fbcdn.net photos-b.ll.facebook.com vthumb.ak.facebook.com

8 Esempio CDN a749.g.akamai.net IP Location AUSTRALIA MESSICO SUD AFRICA USA Questo esempio mostra varie interrogazioni DNS per a749.g.akamai.net, effettuate a name server in diverse località. I risultati mostrano come le risposte contengano indirizzi ip appartenenti alla nazione del name server e non al dominio di facebook.com. I risultati sono stati ottenuti grazie allo strumento DIG e ai servizi di

9 DIG Distribuzione Globale Nella terza fase dell'analisi si è usato dig per investigare sulla distribuzione del sito. Qui a fianco è rappresentata la funzione principale dello script bash servito per automatizzare il processo di 10 queries dns distanziate di un minuto, eseguite su 6 name servers diversi, ciascuno dei quali posizionato in una nazione diversa. La seconda immagine mostra l'output dello script per soli due name servers, visto che vegono riscontrati solamente questi due comportamenti in tutto il processo. Risultati Deduzioni Presenza di più ip nella risoluzione dns dell'hostname. Distribuzione Globale Le richieste dns provenienti da Australia, Afghanistan e USA hanno come risposta degli ip compresi in /24 oppure compresi in /24. Le richieste dns provenienti da Brasile, Sud Africa, Messico, Italia, Germania e Colombia, hanno come risposta degli ip compresi in /24. Presenza di un primo livello di scheduling DNS basato sulla nazione di provenienza della richiesta.

10 Analisi dei Cookies WEB Cluster Distribuiti La quarta e ultima fase dell'investigazione è stata volta all'analisi dei cookies. Questo step è stato di fondamentale importanza per riuscire a comprendere il tipo di distribuzione globale e, in caso di cluster distribuiti, la presenza di web switch e il livello di questi. Tra i vari cookies analizzati, ne esiste uno di particolare rilevanza: BIGipServer[poolname] (in figura sopra). BIGipServer[poolname] è un cookie che prova la presenza di prodotti della famiglia BIG-IP appartenenti all'azienda f5 ( Questi prodotti sono utilizzati per praticare web switching basati su vari tipi di scheduling, in particolare, l'uso di questo cookie viene spesso utilizzato quando si utilizza il product module LTM (Local Transfer Manager) di f5. Obiettivo di LTM Load Balancing in un web cluster. Risultati Deduzioni Presenza di LTM ed esistenza di vari ip (diapositive precedenti). Architettura WEB basata su web cluster distribuiti. Presenza di BigipServer[poolname] nei cookies. Presenza di un web switch content-aware di livello 7.

11 Riepilogo facebook.com /20 AS32934 HTTP REDIRECTION Internazionalizzazione Distribuzione Globale CDN Akamai LimeLight Networks DNS Scheduling Nazione di provenienza Web Cluster Distribuiti F5 BIG-IP LTM Load Balancing Cookies L7 Web Switches