搜索

[26968] 2020-04-24_赏金猎人技能-http走私漏洞学习

文档创建者：s7ckTeam
浏览次数：11
最后更新：2025-01-19
2020-04-24_赏金猎人技能-http走私漏洞学习 赏 金 猎 人 技 能 - h t t p 走 私 漏 洞 学 习 恩 格 尔   M s 0 8 0 6 7 安 全 实 验 室   2 0 2 0 - 0 4 - 2 4 赏 金 猎 人 技 能 - h t t p 走 私 漏 洞 学 习 S a f e   b l e a c h i n g   p o w d e r 昨 天 大 家 默 哀 了 吗 ？ 为 表 达 对 抗 击 新 冠 肺 炎 疫 情 斗 争 牺 牲 烈 士 和 逝 世 同 胞 的 深 切 哀 悼 时 常 听 到 一 些 人 吐 槽 国 家 哪 里 哪 里 不 好 但 是 到 生 死 关 头 你 日 常 吐 槽 的 国 家 和 身 上 挂 着 五 星 红 旗 的 人 是 不 是 会 像 你 爸 妈 一 样 狠 狠 拉 你 一 把 我 们 应 该 为 生 在 这 样 强 大 团 结 的 祖 国 感 到 骄 傲 ！
学 习 简 介 ： 学 习 简 介 ： 今 天 我 们 来 学 习 一 下 h t t p 请 求 走 私 漏 洞 ， 也 是 h a c k o n e 平 台 上 经 常 给 白 帽 挖 到 的 一 个 漏 洞 ， 然 后 我 很 好 奇 这 个 漏 洞 的 挖 掘 并 研 究 了 一 下 ， 然 后 写 下 这 篇 总 结 给 大 家 ， 希 望 大 家 看 完 后 能 有 所 收 获 ！ 这 个 漏 洞 最 早 记 录 在 2 0 0 5 年 使 用 工 具 ： 使 用 工 具 ： B U R P 2 0 2 0 火 狐 t o o l s 渗 透 版 p o r t s w i g g e r 实 验 室 靶 场 科 学 上 网 的 代 理 漏 洞 产 生 的 原 理 ： 漏 洞 产 生 的 原 理 ： 为 什 么 写 下 原 理 呢 ， 是 因 为 最 近 面 试 工 作 问 的 问 题 都 是 原 理 性 的 吃 了 不 少 亏 ， 所 以 从 现 在 起 做 笔 记 写 文 章 都 要 写 下 产 生 的 原 理 ， 一 是 帮 助 我
更 好 理 解 漏 洞 ， 二 是 加 深 对 漏 洞 的 印 象 。 原 理 ： 原 理 ： 这 个 h t t p 走 私 请 求 是 利 用 了 解 析 两 个 H T T P 设 备 （ 通 常 是 前 端 代 理 或 启 用 H T T P 的 防 火 墙 和 后 端 服 务 器 ） 之 间 不 符 合 R F C 的 H T T P 请 求 的 差 异 。 H T T P 请 求 走 私 技 术 是 通 过 发 送 多 个 特 制 H T T P 请 求 来 执 行 的 ， 这 些 请 求 导 致 两 个 被 攻 击 实 体 看 到 两 组 不 同 的 请 求 h t t p 1 . 1 遵 循 R F C - 2 6 1 6 参 考 链 接 ： 一 个 一 个 h t t p 正 常 的 请 求 头 必 须 包 含 ： 正 常 的 请 求 头 必 须 包 含 ： C o n t e n t - L e n g t h   o r   T r a n s f e r - E n c o d i n g 有 些 服 务 器 或 者 中 间 件 只 判 断 解 析 了 C o n t e n t - L e n g t h ， 于 是 我 们 就 可 以 利 用 后 者 T r a n s f e r - E n c o d i n g 的 特 殊 结 构 就 可 能 造 成 h t t p 走 私 的 漏 洞 利 用 h t t p 1 . 1 特 性 可 以 参 考 下 面 连 接 ： 2 种 特 性 参 考 链 接 ： 下 面 根 据 国 外 的 一 个 黑 帽 大 会 分 享 的 h t t p 走 私 漏 洞 的 演 讲 所 做 的 p p t 用 于 更 深 刻 理 解 h t t p 特 性 服 务 器 在 基 于 流 的 传 输 层 协 议 （ 例 如 T C P ） 上 说 H T T P 或 T L S ， 为 了 提 高 性 能 ， 这 些 流 被 大 量 重 用 ， 为 了 遵 循 H T T P 1 . 1 k e e p a l i v e 协 议 ， 这 意 味 着 请 求 是 背 靠 放 置 在 这 些 流 上 ， 链 中 的 每 个 服 务 器 都 是 ， 所 以 我 们 期 望 通 过 h t t p   h t t p 标 头 来 计 算 每 个 消 息 的 持 续 时 间 ， 因 此 ， 该 消 息 在 哪 里 停 止 ， 下 一 条 消 息 在 哪 里 开 始 ， 所 以 我 们 来 自 世 界 各 地 的 用 户 请 求 正 通 过 此 很 小 的 t c p 和 t l s 流 池 到 后 端 ， 然 后 必 须 将 它 们 传 递 ， 然 后 将 它 们 重 新 整 理 成 单 独 的 请 求 ， 可 能 会 出 错 h t t p s : / / t o o l s . i e t f . o r g / h t m l / r f c 2 6 1 6 # s e c t i o n - 4 . 3 h t t p s : / / b l o g . c s d n . n e t / j o e n q c / a r t i c l e / d e t a i l s / 7 0 1 8 6 2 0 7 k e e p a l i v e :   h t t p s : / / w w w . c n b l o g s . c o m / h a v e n s h e n / p / 3 8 5 0 1 6 7 . h t m l p i p l i n e :   h t t p s : / / b l o g . c s d n . n e t / u 0 1 3 6 6 8 8 5 2 / a r t i c l e / d e t a i l s / 7 7 8 3 7 5 9 7
假 设 如 果 攻 击 者 发 送 了 一 个 请 求 ， 然 后 故 意 制 作 一 段 攻 击 代 码 ， 因 此 前 端 和 后 端 在 多 长 时 间 内 意 见 不 一 致 ， 该 消 息 正 文 在 此 实 例 中 ， 前 端 认 为 该 蓝 色 和 橙 色 数 据 块 是 一 个 请 求 ， 因 此 它 将 立 即 发 送 整 个 数 据 ， 流 到 后 端 ， 但 出 于 种 种 原 因 ， 后 端 认 为 这 消 息 以 第 二 个 蓝 色 块 结 尾 ， 因 此 认 为 橙 色 第 一 点 数 据 是 下 一 个 请 求 的 开 始 ， 它 只 是 在 等 待 ， 在 该 请 求 完 成 之 前 要 完 成 第 二 个 请 求 ， 并 且 怎 么 样 才 能 很 好 都 完 成 该 请 求 ， 可 以 有 效 处 理 走 私 请 求 ， 我 们 可 以 申 请 别 人 的 请 求 的 任 意 前 缀 ， 这 是 这 项 技 术 以 及 整 个 演 示 文 稿 中 进 行 的 每 一 项 攻 击 都 是 使 用 这 个 基 本 概 念 是 因 为 你 无 法 直 接 看 到 发 生 在 前 端 后 面 ， 很 容 易 让 人 感 到 困 惑 ， 纠 结 在 一 起 的 东 西 ， 但 请 记 住 ， 一 切 都 在 使 用 一 个 简 单 的 方 法 我 认 为 我 们 还 是 必 须 对 R F C 规 范 2 6 1 6 表 示 赞 赏 ， 这 是 原 始 规 范 说 的 ， 如 果 你 收 到 包 含 内 容 的 信 息 ， 则 并 进 行 分 块 ， 你 应 该 优 先 考 虑 这 些 分 块 ， 然 后 将 其 隐 寓 的 说 ， 这 些 信 息 很 好 ， 你 不 应 该 拒 接 他 们 ， 只 需 要 将 它 们 标 准 化 ， 只 需 以 这 种 方 式 处 理 它 们 ， 一 切 都 会 好 起 来 的 ， 但 事 实 是 ， 如 果 你 的 链 接 中 有 一 台 服 务 器 违 反 了 该 规 则 ， 优 先 考 虑 了 内 容 的 长 度 ， 那 一 切 都 不 会 好 【 以 上 是 我 从 p p t 上 理 论 以 及 作 者 的 对 白 翻 译 下 来 的 ， 用 自 己 的 零 碎 英 文 加 上 谷 歌 翻 译 】 我 们 用 利 用 我 们 用 利 用 p o r t s w i g g e r 实 验 室 靶 场 实 验 室 靶 场 示 范 ： 示 范 ： 【 基 于 C L . T E ： 】 在 这 里 ， 前 端 服 务 器 使 用 C o n t e n t - L e n g t h 头 ， 而 后 端 服 务 器 使 用 T r a n s f e r - E n c o d i n g 头 实 验 室 环 境 默 认 为 b l o g P P T 我 百 度 云 分 享 一 下 有 需 要 可 存 链 接 ： h t t p s : / / p a n . b a i d u . c o m / s / 1 b 0 l d J n _ W _ 4 c Q m g _ I 5 0 a z j A 提 取 码 ： 8 s w w
抓 包 发 送 抓 包 发 送 r e p e a t e r 模 块 及 注 意 事 项 ： 模 块 及 注 意 事 项 ： 然 后 需 要 转 换 一 下 格 式 ： 然 后 需 要 转 换 一 下 格 式 ：
修 改 包 并 发 送 正 常 请 求 ： 修 改 包 并 发 送 正 常 请 求 ： 重 新 放 包 成 功 执 行 并 返 回 ： 重 新 放 包 成 功 执 行 并 返 回 ：
下 面 是 我 画 了 一 个 图 记 录 漏 洞 利 用 过 程 ： 下 面 是 我 画 了 一 个 图 记 录 漏 洞 利 用 过 程 ： 正 常 请 求 为 第 一 次 放 包 缓 存 请 求 为 第 二 次 放 包 前 端 服 务 器 处 理 C o n t e n t - L e n g t h 标 头 ， 并 确 定 请 求 正 文 的 长 度 为 6 个 字 节 ， 直 到 的 结 尾 A ， 该 请 求 被 转 发 到 后 端 服 务 器 。 后 端 服 务 器 处 理 T r a n s f e r - E n c o d i n g 标 头 ， 因 此 将 消 息 正 文 视 为 使 用 分 块 编 码 。 它 处 理 第 一 个 块 ， 该 块 被 声 明 为 零 长 度 ， 因 此 被 视 为 终 止 请
求 。 接 下 来 的 字 节 A 保 留 未 处 理 ， 后 端 服 务 器 会 将 其 视 为 序 列 中 下 一 个 请 求 的 开 始 。 【 基 于 【 基 于 T E . C L 漏 洞 利 用 】 漏 洞 利 用 】 在 这 里 ， 前 端 服 务 器 使 用 T r a n s f e r - E n c o d i n g 头 ， 而 后 端 服 务 器 使 用 C o n t e n t - L e n g t h 头 。 通 过 差 异 响 应 确 认   T E   C L   漏 洞 场 景 依 然 是 博 客 抓 包 发 送 抓 包 发 送 r e p e a t e r 模 块 模 块
构 建 数 据 包 构 建 数 据 包 成 功 回 显 ：
【 【 h t t p 走 私 通 过 标 头 反 射 的 走 私 通 过 标 头 反 射 的 X S S [ U s e r - A g e n t ] 】 】 我 们 时 常 要 记 住 我 们 时 常 要 记 住 b u r p 是 默 认 关 闭 这 个 是 默 认 关 闭 这 个 u p d a t e   c o n t e n t - l e n g t h 这 里 需 要 转 换 格 式 为 P O S T , 这 里 我 们 得 记 住
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理