搜索

[19767] 2021-06-10_「Burpsuite练兵场」如何探查并确认HTTP走私漏洞

文档创建者：s7ckTeam
浏览次数：12
最后更新：2025-01-18
2021-06-10_「Burpsuite练兵场」如何探查并确认HTTP走私漏洞 「 B u r p s u i t e 练 兵 场 」 如 何 探 查 并 确 认 H T T P 走 私 漏 洞 i 春 秋   2 0 2 1 - 0 6 - 1 0 本 文 是   i   春 秋 论 坛 作 家 「 d l l _ s 」 表 哥 分 享 的 技 术 文 章 ， 公 众 号 旨 在 为 大 家 提 供 更 多 的 学 习 方 法 与 技 能 技 巧 ， 文 章 仅 供 学 习 参 考 。 （ 文 末 有 惊 喜 福 利 ， 一 定 要 看 到 最 后 ！ ） 上 篇 文 章 介 绍 了 《 H T T P 请 求 走 私 的 基 本 原 理 请 求 走 私 的 基 本 原 理 》 ， 今 天 i 春 秋 将 深 入 讲 解 在 实 际 的 生 产 环 境 中 如 何 发 现 该 漏 洞 的 存 在 。 首 先 看 一 个 场 景 ， 有 一 台 服 务 器 提 供 了 一 个 W e b 页 面 的 访 问 ， 用 户 可 以 通 过 提 交 P O S T 请 求 在 网 页 内 容 中 添 加 评 论 ， 且 由 于 这 一 网 页 内 容 非 常 受 人 欢 迎 ， 所 以 访 问 量 很 大 。 站 长 在 这 种 情 况 下 部 署 了 S D N 服 务 ， 以 承 载 更 多 的 流 量 ， 此 时 有 一 位 攻 击 者 B o b ， B o b 试 图 使 用 所 学 的 知 识 ， 对 这 一 服 务 器 发 动 H T T P 走 私 攻 击 ， 那 么 他 需 要 先 探 查 这 个 网 络 结 构 ， 构 成 了 哪 种 漏 洞 情 形 T E . C L / C L . T E ， 而 在 这 一 探 查 的 步 骤 中 ， 一 个 关 键 点 是 如 何 不 干 扰 正 常 用 户 的 请 求 ， 同 时 测 试 结 果 又 不 会 受 到 其 他 用 户 在 同 一 时 间 发 送 请 求 的 干 扰 首 先 来 讲 解 一 下 用 于 C L . T E 的 检 测 报 文 ：
假 设 网 络 架 构 情 形 为 C L . T E ， 当 前 端 服 务 器 收 到 这 一 报 文 时 ， 由 于 C L 字 段 值 为 4 ， 所 以 仅 将 前 一 部 分 的 1 r n Z 转 发 给 后 端 服 务 器 。 而 后 端 服 务 器 接 收 后 ， 通 过 T E 字 段 判 断 该 报 文 为 分 块 报 文 ， 但 由 于 并 未 接 收 到 终 止 块 ， 所 以 会 一 直 等 待 下 一 报 文 的 到 来 而 最 终 超 时 。 那 如 果 这 一 报 文 遇 到 的 情 境 为 T E . C L 呢 ， 前 端 服 务 器 识 别 了 T E 头 ， 并 开 始 解 析 数 据 块 。 第 一 行 1 为 第 一 块 数 据 的 长 度 ， 而 最 后 一 行 由 于 使 用 了 非 法 的 数 据 块 长 度 值 Q ， 所 以 这 一 请 求 会 被 拒 绝 。 同 样 在 情 境 为 T E . T E 也 会 直 接 返 回 错 误 ， 而 当 情 境 为 C L . C L 时 则 会 成 功 接 收 请 求 。 所 以 当 这 一 检 测 报 文 发 出 后 产 生 了 超 时 结 果 ， 即 可 判 定 这 一 漏 洞 情 形 为 C L . T E 。 下 面 介 绍 一 下 T E . C L 的 检 测 报 文 ： 假 设 网 络 架 构 情 形 为 T E . C L 情 形 ， 前 端 服 务 器 收 到 请 求 后 ， 解 析 T E 头 判 断 为 分 块 报 文 ， 由 于 第 一 块 即 为 终 止 块 ， 所 以 前 端 服 务 器 并 不 会 传 输 后 面 的 数 据 内 容 。 而 后 端 服 务 器 在 接 收 到 转 发 后 ， 解 析 C L 头 判 断 数 据 块 内 容 为 6 字 节 ， 而 由 于 只 收 到 了 部 分 数 据 内 容 所 以 会 一 直 等 待 导 致 超 时 。 P O S T   / a b o u t   H T T P / 1 . 1 H o s t :   e x a m p l e . c o m T r a n s f e r - E n c o d i n g :   c h u n k e d C o n t e n t - L e n g t h :   4 1 Z Q P O S T   / a b o u t   H T T P / 1 . 1 H o s t :   e x a m p l e . c o m T r a n s f e r - E n c o d i n g :   c h u n k e d C o n t e n t - L e n g t h :   6 0 X
如 果 这 一 报 文 遇 到 的 情 境 为 C L . T E ， 前 端 服 务 器 解 析 C L 头 后 转 发 整 个 报 文 ， 而 后 端 服 务 器 接 收 到 转 发 后 ， 由 于 直 接 接 收 到 了 终 止 块 ， 所 以 会 将 后 续 的 数 据 X 留 存 在 T C P 信 道 当 中 导 致 干 扰 其 他 用 户 的 请 求 ， 所 以 我 们 应 该 在 使 用 上 一 检 测 报 文 后 再 进 行 这 一 检 测 。 而 当 情 境 为 T E . T E 时 ， 数 据 X 会 被 丢 弃 （ 由 于 攻 击 者 与 前 端 服 务 器 之 间 一 般 不 会 重 用 信 道 ） ， 当 情 境 为 C L . C L 时 ， 服 务 器 正 常 处 理 请 求 。 注 意 ： 在 使 用 包 含 终 止 数 据 块 的 检 测 报 文 中 ， 务 必 确 保 终 止 块 为 0 r n r n ， 其 对 应 的 A S C I I   H e x 码 值 为 3 0 0 d 0 a 0 d 0 a ， 不 能 在 0 后 接 空 格 或 其 他 字 符 ， 这 会 导 致 终 止 块 失 效 （ 后 续 实 验 不 再 强 调 ） 。 所 以 使 用 上 面 两 种 报 文 就 可 以 探 查 出 具 体 的 漏 洞 情 境 ， 一 些 服 务 器 可 能 会 受 到 模 糊 的 请 求 头 的 干 扰 而 产 生 异 常 ， 而 在 这 种 情 况 下 使 用 自 动 化 检 测 工 具 会 更 加 方 便 ， 这 一 内 容 会 在 文 末 介 绍 。 实 验 内 容 实 验 内 容 实 验 一 ： 确 认 实 验 一 ： 确 认 C L . T E 情 境 的 情 境 的 H T T P 请 求 走 私 漏 洞 请 求 走 私 漏 洞 实 验 提 示 ： 这 个 实 验 涉 及 到 了 两 台 服 务 器 ， 前 端 服 务 器 不 支 持 分 块 编 码 传 输 （ 即 不 支 持 T r a n s f e r - E n c o d i n g 解 析 ） 。 实 验 要 求 ： 利 用 H T T P 请 求 走 私 漏 洞 走 私 数 据 ， 使 得 其 下 一 个 正 常 请 求 会 触 发 4 0 4   N o t   F o u n d 相 应 。
同 样 先 浏 览 网 页 ， 将 请 求 发 送 到 r e p e a t e r 进 行 操 作 ， 先 将 G E T 改 为 P O S T 进 行 尝 试 。 成 功 返 回 ， 接 下 来 我 们 使 用 前 文 所 讲 的 C L . T E 测 试 报 文 ， 注 意 要 去 除 U p d a t e   C o n t e n t - L e n g t h 勾 选 。 T r a n s f e r - E n c o d i n g :   c h u n k e d C o n t e n t - L e n g t h :   4 1 Z Q
发 送 请 求 等 待 了 一 段 时 间 （ 超 时 ） 后 返 回 5 0 0   I n t e r n a l   S e r v e r   E r r o r 错 误 ， 因 此 可 以 判 断 存 在 C L . T E 情 境 下 的 H T T P 请 求 走 私 漏 洞 。 确 认 漏 洞 存 在 后 ， 我 们 就 需 要 来 构 造 走 私 数 据 了 ， 经 过 测 试 发 现 只 要 请 求 任 意 不 存 在 的 网 页 路 径 就 会 触 发 4 0 4 响 应 ， 所 以 可 以 使 用 。 注 意 在 G E T   / i n d e x   H T T P / 1 . 1 后 要 有 多 个 换 行 当 然 也 可 以 使 用 实 验 提 供 的 p a y l o a d 发 送 恶 意 请 求 T r a n s f e r - E n c o d i n g :   c h u n k e d C o n t e n t - L e n g t h :   2 8 0 G E T   / i n d e x   H T T P / 1 . 1 T r a n s f e r - E n c o d i n g :   c h u n k e d C o n t e n t - L e n g t h :   2 6 0 G E T   / i n d e x   H T T P / 1 . 1 X - I g n o r e :   X
之 后 我 们 发 送 正 常 报 文 进 行 测 试 ， 这 里 可 以 重 新 发 送 一 个 报 文 流 到 R e p e a t e r 方 便 我 们 随 实 切 换 操 作 。 发 送 正 常 报 文 ， 触 发 4 0 4 响 应 完 成 实 验 。 实 验 二 ： 确 认 实 验 二 ： 确 认 T E . C L 情 境 的 情 境 的 H T T P 请 求 走 私 漏 洞 请 求 走 私 漏 洞 实 验 提 示 ： 这 个 实 验 涉 及 到 了 两 台 服 务 器 ， 后 端 服 务 器 不 支 持 分 块 编 码 传 输 （ 即 不 支 持 T r a n s f e r - E n c o d i n g 解 析 ） 。 实 验 要 求 ： 利 用 H T T P 请 求 走 私 漏 洞 走 私 数 据 ， 使 得 其 下 一 个 正 常 请 求 会 触 发 4 0 4   N o t   F o u n d 相 应 。
将 报 文 流 发 送 到 R e p e a t e r ， 首 先 使 用 C L . T E 的 检 测 报 文 ， 注 意 不 要 勾 选 U p d a t e   C o n t e n t - L e n g t h 。 返 回 错 误 并 且 没 有 超 时 ， 说 明 不 符 。 接 下 来 使 用 T E . C L 检 测 报 文 ：
发 送 请 求 ， 等 待 一 段 时 间 后 超 时 并 返 回 了 错 误 。 因 此 可 以 判 断 漏 洞 情 境 为 T E . C L ， 开 始 构 造 走 私 报 文 。 这 里 的 分 块 长 度 1 B 比 较 难 以 计 算 ， 后 面 会 介 绍 一 下 工 具 的 使 用 ， 也 可 以 将 P O S T 替 换 为 G E T （ 这 里 的 p a y l o a d 构 造 并 不 具 备 普 遍 性 ， 就 是 可 能 在 具 体 的 生 产 环 境 中 是 不 通 用 的 ， 其 基 本 构 造 原 则 就 是 尽 量 和 正 常 请 求 相 似 ， 这 样 可 以 避 免 前 置 的 分 流 服 务 器 将 两 次 请 求 导 向 到 不 同 的 服 务 器 当 中 ， 更 多 的 还 是 侧 重 于 原 理 的 理 解 ） 。 发 送 构 造 的 恶 意 请 求 T r a n s f e r - E n c o d i n g :   c h u n k e d C o n t e n t - L e n g t h :   6 0 X C o n t e n t - L e n g t h :   4 T r a n s f e r - E n c o d i n g :   c h u n k e d B P O S T   / i n d e x   H T T P / 1 . 1 x = 1 0 C o n t e n t - L e n g t h :   4 T r a n s f e r - E n c o d i n g :   c h u n k e d A G E T   / i n d e x   H T T P / 1 . 1 x = 1 0
再 发 送 正 常 请 求 ， 成 功 触 发 4 0 4 错 误 ， 完 成 实 验 。 自 动 化 检 测 及 利 用 自 动 化 检 测 及 利 用 可 以 看 到 手 工 检 测 H T T P 走 私 漏 洞 ， 并 进 行 漏 洞 验 证 还 是 比 较 繁 琐 的 ， 接 下 来 介 绍 一 下 B u r p 的 自 动 利 用 插 件 H T T P   R e q u e s t S m u g g l e r 。 具 体 的 安 装 细 节 就 不 讲 了 ， 直 接 在 B A p p 中 搜 索 安 装 就 可 以 了 ， 注 意 ： 此 插 件 依 赖 于 T u r b o r   I n t r u d e r 插 件 ， 没 有 安 装 的 记 得 安 装 。 下 面 以 第 二 个 实 验 T E . C L 为 例 ， 右 键 点 击 需 要 检 测 的 报 文 流 ， 选 择 L a u n c h   S m u g g l e r   p r o b e 运 行 。
弹 出 了 一 个 扫 描 配 置 框 ， 一 些 具 体 的 细 节 我 也 还 不 是 很 了 解 ， 相 关 的 帮 助 文 档 也 很 少 ， 大 家 可 以 结 合 L o g g e r + + 插 件 分 析 勾 选 不 同 配 置 其 所 发 送 的 报 文 有 何 不 同 。 另 外 ， 这 里 还 有 一 个 比 较 尴 尬 的 问 题 ， 似 乎 是 由 于 插 件 本 身 问 题 ， 可 能 会 其 部 分 界 面 超 出 了 屏 幕 显 示 范 围 ， 导 致 看 不 到 任 何 按 钮 。 这 一 界 面 其 实 有 两 个 按 钮 ， 一 个 开 始 一 个 取 消 ， 所 以 直 接 按 E n t e r 即 可 开 始 检 测 ， 也 可 以 观 察 L o g g e r + + 中 的 日 志 检 查 插 件 是 否 成 功 运 行 。 像 这 样 就 是 已 经 开 始 自 动 检 测 了 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理