HTTP 参数污染 (HPP) 和 HTTP 参数碎片 (HPF)

目录

前言：

（一）HTTP 参数污染

Demo:

（二）HTTP 参数分片

2.1 问题陈述

2.2 要求

2.3 攻击

(三）Demo

注意:

---

前言：

在这篇文章中，将介绍绕过WAF技术，它们是 HTTP 参数污染 (HPP) 和 HTTP 参数碎片 (HPF)。虽然 HPP 是一种众所周知的技术，但它在 WAF 中的检测能力也很强。虽然检测 HPF 很困难，但它的先决条件更难被发现，这使得这种攻击成为一种罕见的发现。在这篇文章中，将首先介绍如何使用 HPP 绕过 WAF，然后我们将深入挖掘 HPF 技术的利用。

（一）HTTP 参数污染

---

首先让我们介绍一下 HTTP 参数污染 (HPP) 的基础知识。当我们向服务器发送请求时，通常有两个独立的组件在处理请求——WAF 和 Web 服务器。WAF 正在尝试分析请求内容，以识别已知攻击的特征。如果没有签名匹配，则允许请求并继续到网络服务器。如果 WAF 处理请求内容的方式和 Web 服务器处理请求内容的方式存在差异，那么我们作为攻击者可以利用这种差异来绕过 WAF 的限制。

Demo:

<