正文
早在2005年时, Watchfire就已经发现这个漏洞。危害程度:重要!不过,HTTP 走私技术要求对处理 HTTP 消息的各种代理相当熟悉,否则无法发动这种攻击。接下来我们一起了走进请求走私世界
核心概念
自HTTP / 1.1以来,广泛支持通过单个底层TCP或SSL / TLS套接字发送多个HTTP请求。该协议只需将HTTP请求背靠背放置,服务器就会解析标头,以确定每个请求的结束位置和下一个开始的位置。在默认情况下,HTTP协议中每个传输层只能承载一个HTTP请求和响应,浏览器收到上一个请求响应后,才开始下一个请求。这种多层体系结构接收来自多个不同用户的HTTP请求,并通过单个TCP / TLS连接进行路由:
这就意味着,在很短的时间里,前后端请求信息要求一致是很重要的。否则,攻击者可能发送一条含糊不清的消息,对HTTP请求进行污染,该信息就会被后端解释为两个不同的HTTP请求:
这使攻击者能够在下一个合法用户请求开始时预先添加任意内容。在本文中,被走私的内容将被称为“前缀”,并以橙色突出显示。
走私攻击
- CL.TE:前端服务器使用Content-Length头,后端服务器使用Transfer-Encoding头
- TE.CL:前端服务器使用Transfer-Encoding标头,后端服务器使用Content-Length标头。
- TE.TE:前端和后端服务器都支持Transfer-Encoding标头,但是可以通过以某种方式模糊标头来诱导其中一个服务器不处理它。
接下来用几个实例来说明HTTP走私攻击
<span id = "CLTE"> CL.TE</span>
POST / HTTP/1.1
Host: vulnerable-website.com
Content-Length: 13
Transfer-Encoding: chunked
0
SMUGGLED
前端服务器处理Content-Length头并确定请求主体长度为13个字节,直到SMUGGLED结束。此请求将转发到后端服务器。
后端服务器处理Transfer-Encoding标头,因此将消息体视为使用分块编码。它处理第一个块,它被称为零长度,因此被视为终止请求。以下字节SMUGGLED未经处理,后端服务器将这些字节视为序列中下一个请求的开始。
接下来看一个例子:
初始请求:
更改请求:
- 把GET请求改为POST请求
- 添加Content-Length头以及POST请求数据
更改完后,对数据包连续请求两次:
<span id = "TECL"> TE.CL</span>
Host: vulnerable-website.com
Content-Length: 3
Transfer-Encoding: chunked
8
SMUGGLED
0
前端服务器处理Transfer-Encoding头,因此将消息体视为使用分块编码,处理第一块时,有八个字节,直到SMUGGLED到最后一个字节。开始处理第二个块,第二块是0个字节,视为终止请求。此时把请求转发到后端
接下来看一个例子:
初始请求:
更改请求:
- 改为POST请求
- 把Repeater的Update Content-length关掉
- 添加Content-length和Transfer-Encoding
- 根据上面的解释进行传递POST数据
S.P: 0后面一定要多加两个
更改完后,对数据包连续请求两次:
<span id = "TETE"> TE.TE</span>
Transfer-Encoding: xchunked
Transfer-Encoding : chunked
Transfer-Encoding: chunked
Transfer-Encoding: x
Transfer-Encoding:[tab]chunked
[space]Transfer-Encoding: chunked
X: X[
]Transfer-Encoding: chunked
Transfer-Encoding
: chunked
这些技术中的每一种都涉及到与HTTP规范的细微偏离。实现协议规范的实际代码难以十分精准体现,并且不同的实现通常包含不同变化。要发现TE.TE漏洞,有必要找到Transfer-Encoding标头的一些变体,以便只有一个前端或后端服务器处理它,而另一个服务器忽略它。
接下来看一个例子:
初始请求:
更改请求包:
- GET改为POST
- 把Repeater的Update Content-length关掉
- 添加多个Transfer-Encoding
S.P: 0后面一定要多加两个
更改完后,对数据包连续请求两次:
References:https://xz.aliyun.com/t/6299
https://portswigger.net/blog/http-desync-attacks-request-smuggling-reborn
https://portswigger.net/web-security/request-smuggling