Axborot texnologiyalari, tarmoqlar va telekommunikatsiyalar

Jabrlanuvchining xatti-harakati 
Xavfsizlik modelimiz doirasida jabrlanuvchi oʻzi xohlagan yoki yoʻnaltirilgan 
har bir ochiq web-ilovaga tashrif buyurishi mumkin (masalan, jabrlanuvchiga 
tajovuzkor tomonidan boshqariladigan web-ilovaga havola yuborish orqali). 
Jabrlanuvchi tomonidan qilingan bunday so‘rovlar ichidagi HTTP parametrlari aql- 
idrok yoki haqiqiylik uchun tekshirilmaydi. Fishing urinishlari, masalan, ma’lum 
web-saytni rekonstruksiya qilish, jabrlanuvchi tomonidan topiladi va shuning 
uchun uning maxfiy ma’lumotlarini oshkor qilishga olib kelmaydi[1,3]. 
Server tomonida soxtalashtirish (SSRF) 
Server tomonidagi so‘rovlarni soxtalashtirish (SSRF) hujumi tajovuzkorning 
zaif web-ilovadan ilovaning Intranet va Internetga so‘rovlar yaratish qobiliyatini 
tavsiflaydi. Odatda, SSRF xavfsizlik devori orqasida joylashgan va Internetdan 
kirish imkoni bo‘lmagan ichki xizmatlarga hujum qilish uchun ishlatiladi. 
Acunetix ma’lumotlariga ko‘ra, SSRF jiddiylik darajasi 3 zaiflikdir. OpenID 
Connect kontekstida zararli Discovery xizmatidan mijozning 
intranet 
infratuzilmasi haqida maʼlumot toʻplash va hujum vektorlarini tarqatish maqsadida 
bunday hujumlarni boshlash uchun foydalanish mumkin. Sozlash. Buzg‘unchi 
zararli Discovery xizmatini o‘rnatadi va protokol oqimi davomida mijoz 
tomonidan chaqirilgan so‘nggi nuqtalarni qaytaradi. So‘nggi nuqtalar protokol 
(http(lar), ftp, smb va boshqalar), port, yo‘l va parametrlarni ko‘rsatuvchi URL 
manzillardir. URL manzillar bilan bog‘liq hech qanday cheklovlar yo‘qligi sababli, 
ular Mijozning Intranet infratuzilmasini ko‘rsatishi mumkin. Mijoz ushbu URL 
manzillardan foydalanadi va ular bo‘yicha HTTP GET so‘rovlarini bajaradi. Shu 

---

International scientific conference "INFORMATION TECHNOLOGIES, NETWORKS AND 
TELECOMMUNICATIONS" ITN&T-2022 Urgench, 2022y April 29-30 
538 
tarzda, Mijoz, masalan, REST-ga asoslangan ichki web-xizmatlarni ishga 
tushirishga majburlanishi mumkin. Buzg‘unchining bu qobiliyati tajovuzkor 
modeli tomonidan ko‘rib chiqiladi, chunki tajovuzkor o‘zining UA-dan 
foydalanishi va har bir ochiq domenga o‘zboshimchalik bilan HTTP so‘rovlarini 
yuborishi mumkin.[2] Shunday qilib, u Mijozni zararli Discovery xizmati bilan 
aloqa o‘rnatishiga sabab bo‘lishi mumkin. Hujum tavsifi. Malicious Endpoint 
hujumi bilan solishtirganda, endi tajovuzkor o‘z identifikatorini (masalan, OS) 
kiritish orqali mijozda OpenID Connect autentifikatsiyasini boshlaydi.