http请求走私

• http 1.1 (应用层)
  • 特性:
    • keepalive
      • 建立一次tcp连接后，并不会把连接关闭(完成tcp三次握手)
    • pipline
      • 可在同一个请求的head(报头)写入两个http请求包
  • HTTP协议中的Transfer-Encoding:HTTP 协议中的 Transfer-Encoding | JerryQu 的小站
  • HTTP请求走私漏洞的产生：大多数 HTTP 请求走私漏洞的出现是因为 HTTP 规范提供了两种不同的方式来指定请求的结束位置：Content-Length标头和Transfer-Encoding标头
  • 漏洞类型
    • 如何执行HTTP请求走私攻击
      • 请求走私攻击涉及将Content-Length标头和Transfer-Encoding 标头放入单个 HTTP 请求并对其进行操作，以便前端和后端服务器以不同的方式处理请求。完成此操作的确切方式取决于两个服务器的行为：
        • CL.TE：前端服务器使用Content-Length头部，后端服务器使用Transfer-Encoding头部。
        • TE.CL：前端服务器使用Transfer-Encoding头部，后端服务器使用Content-Length头部。
        • TE.TE：前端服务器和后端服务器都支持Transfer-Encoding头部，但是可以通过某种方式混淆头部来诱导其中一个服务器不处理它。
    • 基本 CL.TE 漏洞
      • 前端服务器使用Content-Length标头，后端服务器使用Transfer-Encoding标头
        • 前端服务器处理Content-Length标头并确定请求正文长度为 13 个字节，直到SMUGGLED. 该请求被转发到后端服务器。
        • 后端服务器处理Transfer-Encoding标头，因此将消息正文视为使用分块编码。它处理第一个块，它被声明为零长度，因此被视为终止请求。接下来的字节 ,SMUGGLED未处理，后端服务器会将它们视为序列中下一个请求的开始。
      • 发包时注意要有：Transfer-Encoding: chunked（定义选用的传输编码格式）
      • 使用 Burp Repeater，两次发出以下请求：

        

      • 第二个响应应该说：Unrecognized method GPOST：

        

      • 效果