搜索

[19715] 2021-02-09_「Burpsuite练兵场」HTTP请求走私的基本原理

文档创建者：s7ckTeam
浏览次数：15
最后更新：2025-01-18
2021-02-09_「Burpsuite练兵场」HTTP请求走私的基本原理 「 B u r p s u i t e 练 兵 场 」 H T T P 请 求 走 私 的 基 本 原 理 i 春 秋   2 0 2 1 - 0 2 - 0 9 本 文 是   i   春 秋 论 坛 作 家 「 d l l _ s 」 表 哥 分 享 的 技 术 文 章 ， 公 众 号 旨 在 为 大 家 提 供 更 多 的 学 习 方 法 与 技 能 技 巧 ， 文 章 仅 供 学 习 参 考 。 H T T P 请 求 走 私 （ H T T P   r e q u e s t   s m u g g l i n g ） ， 这 个 词 在 W e b 渗 透 的 文 章 中 出 现 还 是 比 较 少 的 ， 初 看 可 能 会 觉 得 有 些 莫 名 其 妙 ， 但 理 解 了 原 理 后 就 会 发 现 这 个 取 名 非 常 的 形 象 。 H T T P 请 求 走 私 （ H T T P   r e q u e s t   s m u g g l i n g ） ， 简 单 的 讲 就 是 利 用 不 同 设 备 对 H T T P 协 议 的 实 现 不 同 从 而 绕 过 特 征 检 测 ， 走 私 H T T P 报 文 数 据 。 考 虑 这 样 一 个 场 景 ， 我 们 需 要 访 问 一 台 载 有 W e b 内 容 的 服 务 器 A ， 在 这 服 务 器 前 有 一 个 进 行 特 征 检 测 的 防 火 墙 设 备 B 。 然 后 我 们 对 A 发 起 S Q L 注 入 测 试 ， 该 H T T P 报 文 发 送 到 B 后 由 于 特 征 语 句 遭 到 了 拦 截 ， 这 时 候 我 们 可 以 利 用 H T T P 走 私 技 术 ， 使 设 备 B 忽 略 报 文 中 的 S Q L 注 入 语 句 ， 从 而 在 服 务 器 A 中 成 功 执 行 。 以 上 是 从 宏 观 角 度 理 解 H T T P 走 私 的 大 致 原 理 ， 接 下 来 通 过 具 体 细 节 对 如 何 实 现 H T T P 走 私 进 行 剖 析 ： 大 多 数 H T T P 请 求 走 私 漏 洞 的 出 现 ， 是 因 为 H T T P 规 范 提 供 了 两 种 不 同 的 方 式 来 指 定 请 求 的 结 束 位 置 。 C o n t e n t - L e n g t h 头 ： 头 ： 以 字 节 为 单 位 指 定 消 息 体 的 长 度 ， 例 如 ：
T r a n s f e r - E n c o d i n g 头 ： 头 ： 使 用 c h u n k e d 指 令 时 指 定 报 文 体 使 用 分 块 编 码 。 这 意 味 着 报 文 体 中 包 含 一 个 或 多 个 数 据 块 ， 每 个 块 由 以 字 节 为 单 位 ( 以 十 六 进 制 表 示 ) 的 块 大 小 组 成 ， 用 换 行 分 割 数 据 块 ， 报 文 体 以 大 小 为 零 的 块 结 束 。 例 如 ： 其 他 T r a n s f e r - E n c o d i n g 可 使 用 的 编 码 方 式 参 阅 ： h t t p s : / / d e v e l o p e r . m o z i l l a . o r g / z h - C N / d o c s / W e b / H T T P / H e a d e r s / T r a n s f e r - E n c o d i n g 注 意 ： 在 每 一 个 分 块 的 开 头 需 要 添 加 当 前 分 块 的 长 度 ， 以 十 六 进 制 的 形 式 表 示 ， 后 面 紧 跟 着   ' r n '   ， 之 后 是 分 块 本 身 ， 后 面 也 是 ' r n '   。 此 类 报 文 终 止 块 后 面 是 一 个 挂 载 （ t r a i l e r ） ， 由 一 系 列 （ 或 者 为 空 ） 的 实 体 消 息 首 部 构 成 。 简 单 的 说 我 们 在 走 私 数 据 时 最 好 在 终 止 块 0 后 添 加 多 个 换 行 符 ， 如 ： H T T P 规 范 提 供 了 这 两 种 不 同 的 方 法 来 指 定 H T T P 报 文 的 长 度 ， 这 导 致 了 一 个 问 题 ， 如 果 在 单 个 消 息 中 同 时 使 用 两 种 方 法 就 会 引 起 冲 突 。 为 了 避 免 这 个 问 题 ， H T T P 规 定 如 果 C o n t e n t - L e n g t h 和 T r a n s f e r - E n c o d i n g 同 时 存 在 ， 那 么 应 该 忽 略 C o n t e n t - L e n g t h 。 但 并 不 是 所 有 服 务 器 都 会 遵 循 这 一 规 范 来 实 现 H T T P 传 输 操 作 ， 所 以 当 有 两 个 或 多 个 服 务 器 连 接 在 一 起 时 就 会 出 现 一 些 问 题 ： P O S T   / s e a r c h   H T T P / 1 . 1 H o s t :   n o r m a l - w e b s i t e . c o m C o n t e n t - T y p e :   a p p l i c a t i o n / x - w w w - f o r m - u r l e n c o d e d C o n t e n t - L e n g t h :   1 1 q = s m u g g l i n g P O S T   / s e a r c h   H T T P / 1 . 1 H o s t :   n o r m a l - w e b s i t e . c o m C o n t e n t - T y p e :   a p p l i c a t i o n / x - w w w - f o r m - u r l e n c o d e d T r a n s f e r - E n c o d i n g :   c h u n k e d b （ 代 表 报 文 块 长 度 ） q = s m u g g l i n g 0 P O S T   / s e a r c h   H T T P / 1 . 1 H o s t :   n o r m a l - w e b s i t e . c o m C o n t e n t - T y p e :   a p p l i c a t i o n / x - w w w - f o r m - u r l e n c o d e d T r a n s f e r - E n c o d i n g :   c h u n k e d 0 s m u g g l i n g ( 走 私 数 据 )
一 些 服 务 器 不 支 持 解 析 H T T P 报 文 中 的 T r a n s f e r - E n c o d i n g 请 求 头 ； 一 些 支 持 T r a n s f e r - E n c o d i n g 解 析 的 服 务 器 可 能 在 解 析 混 淆 的 报 文 头 时 出 现 问 题 。 所 以 如 果 前 置 服 务 器 和 后 台 服 务 器 对 T r a n s f e r - E n c o d i n g 的 解 析 支 持 不 同 ， 就 会 产 生 不 一 样 的 报 文 长 度 判 断 ， 以 此 导 致 H T T P 走 私 漏 洞 的 产 生 。 可 能 光 看 文 字 介 绍 不 是 很 好 理 解 ， 接 下 来 进 入 实 验 进 一 步 深 入 。 实 验 内 容 实 验 内 容 前 面 介 绍 了 H T T P 请 求 走 私 的 原 理 ， 在 实 验 开 始 前 介 绍 一 下 如 何 进 行 具 体 的 攻 击 操 作 。 请 求 走 私 攻 击 包 括 将 C o n t e n t - L e n g t h 和 T r a n s f e r - E n c o d i n g 头 放 到 单 个 H T T P 请 求 中 ， 并 对 它 们 进 行 操 作 ， 以 便 观 察 前 端 和 后 端 服 务 器 对 请 求 的 处 理 方 式 。 具 体 的 攻 击 方 式 取 决 于 两 个 服 务 器 的 行 为 ： C L . T E :   前 端 服 务 器 解 析 C o n t e n t - L e n g t h   ， 后 端 服 务 器 解 析 T r a n s f e r - E n c o d i n g ； T E . C L :   前 端 服 务 器 解 析   T r a n s f e r - E n c o d i n g   ， 后 端 服 务 器 解 析 C o n t e n t - L e n g t h ； T E . T E :   前 后 端 服 务 器 都 支 持 T r a n s f e r - E n c o d i n g 头 解 析 ， 但 其 中 一 台 在 面 对 混 淆 的 H T T P 报 文 （ 同 时 包 含 C o n t e n t - L e n g t h 头 和 T r a n s f e r - E n c o d i n g 头 ） 时 会 忽 略 解 析 。 另 外 ， 在 实 验 环 节 中 可 以 看 到 提 示 我 们 可 以 使 用 B u r p s u i t e 提 供 的 插 件 H T T P   R e q u e s t   S m u g g l e r 进 行 自 动 化 漏 洞 检 测 和 利 用 ， 但 这 涉 及 到 对 另 一 插 件 T u r b o   I n t r u d e r 的 深 入 定 制 操 作 ， 会 在 后 续 文 章 中 进 行 讲 解 。 实 验 一 ： 实 验 一 ： C L . T E 情 境 情 境 实 验 提 示 ： 这 个 实 验 涉 及 到 了 两 台 服 务 器 ， 前 端 服 务 器 不 支 持 分 块 编 码 传 输 （ 即 不 支 持 T r a n s f e r - E n c o d i n g 解 析 ） ， 后 端 服 务 器 拒 绝 G E T 和 P O S T 之 外 的 请 求 。 实 验 要 求 ： 走 私 一 个 H T T P 请 求 到 后 端 服 务 器 ， 使 得 其 处 理 的 下 一 个 请 求 看 起 来 使 用 的 是 G P O S T 方 法 。
同 样 先 浏 览 网 页 ， 查 看 报 文 。 我 们 所 要 做 的 就 是 使 用 分 块 传 输 ， 将 前 一 个 报 文 中 的 数 据 G 进 行 走 私 ， 使 得 后 端 服 务 器 在 处 理 后 一 请 求 时 会 将 G 添 加 到 P O S T 之 前 ， 将 这 一 请 求 发 送 到 R e p e a t e r 模 块 。 根 据 提 示 ， 我 们 可 以 知 道 前 端 服 务 器 仅 通 过 C L 进 行 报 文 长 度 判 断 ， 而 后 端 服 务 器 支 持 T E 请 求 头 ， 那 么 我 们 可 以 构 造 这 样 的 报 文 进 行 数 据 走 私 ， 将 G E T 修 改 为 P O S T ， 然 后 添 加 了 分 块 数 据 。 当 我 们 发 送 这 个 报 文 时 ， 前 端 服 务 器 通 过 C L 判 断 这 为 一 整 个 报 文 ， 并 将 其 传 输 给 后 端 服 务 器 。 后 端 服 务 器 接 收 后 通 过 T E 字 段 将 报 文 分 块 ， 读 取 到 终 止 块 时 判 断 这 一 请 求 结 束 ， 而 剩 余 的 数 据 G 即 被 留 在 了 信 道 中 。 当 我 们 再 次 发 送 这 一 报 文 时 ， 前 面 流 程 相 似 ， 不 同 的 是 留 存 在 信 道 中 的 G 被 添 加 到 了 新 的 P O S T 请 求 之 前 ， 使 得 报 文 请 求 方 式 变 为 了 G P O S T ， 至 此 就 完 成 了 这 一 实 验 。
注 意 ： 注 意 ： 1 、 H T T P 中 的 换 行 r n 编 码 为 0 d 0 a , 在 C L 中 的 长 度 为 2 ； 2 、 通 常 情 况 下 这 两 台 服 务 器 中 的 信 道 会 被 重 复 使 用 ， 不 会 被 关 闭 ， 导 致 前 一 请 求 报 文 中 的 分 块 可 能 会 干 扰 后 一 请 求 报 文 。 实 验 二 ： 实 验 二 ： T E . C L 情 境 情 境 实 验 提 示 ： 这 个 实 验 涉 及 到 了 两 台 服 务 器 ， 后 端 服 务 器 不 支 持 分 块 编 码 传 输 （ 即 不 支 持 T r a n s f e r - E n c o d i n g 解 析 ） ， 前 端 服 务 器 拒 绝 G E T 和 P O S T 之 外 的 请 求 。 实 验 要 求 ： 走 私 一 个 H T T P 请 求 到 后 端 服 务 器 ， 使 得 其 处 理 的 下 一 个 请 求 看 起 来 使 用 的 是 G P O S T 方 法 。
与 之 前 的 实 验 类 似 ， 只 不 过 需 要 变 换 一 下 具 体 逻 辑 ， 我 们 来 看 一 下 在 这 种 情 境 中 走 私 报 文 的 逻 辑 。 当 前 端 服 务 器 接 收 到 此 报 文 时 ， 会 忽 略 C o n t e n t - L e n g t h 报 文 头 ， 将 该 报 文 分 割 为 S M U G G L E D 和 终 止 块 ， 然 后 转 发 到 后 端 服 务 器 。 由 于 后 端 服 务 器 不 支 持 解 析 T r a n s f e r - E n c o d i n g 消 息 头 ， 因 此 会 通 过 C o n t e n t - L e n g t h ： 3 将 报 文 分 割 为 8 和 后 续 的 数 据 块 ， 数 据 块 8 被 成 功 处 理 ， 而 后 续 的 数 据 块 则 被 作 为 了 序 列 中 后 续 请 求 的 开 头 。 进 入 实 验 ， 首 先 需 要 去 掉 勾 选 U p d a t e   C o n t e n t - L e n g t h 防 止 B u p r s u i t e 自 动 更 新 C o n t e n t - L e n g t h 字 段 。 尝 试 使 用 上 一 实 验 的 走 私 方 式 ， 发 现 G 后 的 0 也 被 走 私 了 。 P O S T   /   H T T P / 1 . 1 H o s t :   v u l n e r a b l e - w e b s i t e . c o m C o n t e n t - L e n g t h :   3 T r a n s f e r - E n c o d i n g :   c h u n k e d 8 S M U G G L E D 0
所 以 需 要 完 整 构 造 G P O S T 报 文 请 求 ， 如 下 图 （ 注 意 0 后 面 需 要 有 两 个 回 车   r n r n ） 。 这 里 的 分 块 长 度 5 c 比 较 难 以 计 算 ， 后 续 会 讲 解 自 动 化 利 用 ， 所 以 可 以 直 接 复 制 下 面 的 p a y l o a d 。 C o n t e n t - l e n g t h :   4 T r a n s f e r - E n c o d i n g :   c h u n k e d c G P O S T   /   H T T P / 1 . 1 C o n t e n t - T y p e :   a p p l i c a t i o n / x - w w w - f o r m - u r l e n c o d e d C o n t e n t - L e n g t h :   1 5 x = 1 0
实 验 三 ： 混 淆 的 实 验 三 ： 混 淆 的 T E 头 头 实 验 提 示 ： 这 个 实 验 涉 及 到 了 两 台 服 务 器 ， 这 两 个 服 务 器 以 不 同 的 方 式 处 理 混 淆 的 H T T P 请 求 头 ， 前 端 服 务 器 拒 绝 G E T 和 P O S T 之 外 的 请 求 。 实 验 要 求 ： 走 私 一 个 H T T P 请 求 到 后 端 服 务 器 ， 使 得 其 处 理 的 下 一 个 请 求 看 起 来 使 用 的 是 G P O S T 方 法 。 在 实 验 开 始 前 ， 我 们 先 来 看 看 B u r p s u i t e 课 程 中 的 讲 解 。 在 这 种 情 况 下 ， 两 台 服 务 器 均 支 持 解 析 T r a n s f e r - E n c o d i n g 头 ， 但 其 中 的 一 台 服 务 器 面 对 模 糊 的 请 求 头 时 会 出 现 问 题 ， 比 如 以 下 这 些 ： 之 所 以 在 处 理 这 些 请 求 头 时 会 出 现 问 题 ， 是 因 为 在 实 际 的 H T T P 协 议 实 现 中 ， 很 少 有 代 码 精 确 的 遵 循 了 其 中 的 规 范 ， 以 此 导 致 面 对 变 形 的 请 求 头 时 会 出 现 不 同 的 处 理 方 式 。 而 我 们 所 要 做 的 就 是 找 到 其 中 存 在 问 题 的 服 务 器 ， 然 后 使 用 类 似 前 两 个 情 形 的 攻 击 报 文 走 私 数 据 。 T r a n s f e r - E n c o d i n g :   x c h u n k e d T r a n s f e r - E n c o d i n g   :   c h u n k e d T r a n s f e r - E n c o d i n g :   c h u n k e d T r a n s f e r - E n c o d i n g :   x T r a n s f e r - E n c o d i n g : [ t a b ] c h u n k e d [ s p a c e ] T r a n s f e r - E n c o d i n g :   c h u n k e d X :   X [ n ] T r a n s f e r - E n c o d i n g :   c h u n k e d T r a n s f e r - E n c o d i n g :   c h u n k e d
使 用 的 p a y l o a d 如 下 ： 猜 测 背 后 的 逻 辑 是 这 样 的 ： 前 端 服 务 器 成 功 识 别 出 了 混 淆 的 T E 头 ， 成 功 将 报 文 分 为 两 块 转 发 。 而 后 端 遇 到 混 淆 头 时 放 弃 了 解 析 ， 遵 循 C L 头 对 报 文 进 行 分 块 ， 导 致 5 c 后 的 报 文 被 留 在 了 复 用 的 信 道 中 ， 干 扰 了 下 一 个 请 求 报 文 。 注 意 同 样 需 要 去 掉 勾 选 U p d a t e   C o n t e n t - L e n g t h 成 功 完 成 实 验 总 　 结 总 　 结 这 一 章 节 主 要 是 对 H T T P 请 求 走 私 的 初 步 了 解 ， 所 以 不 必 纠 结 于 如 何 在 实 际 环 境 中 如 何 发 现 和 利 用 这 一 漏 洞 ， 这 些 内 容 会 在 后 续 环 节 介 绍 。 C o n t e n t - l e n g t h :   4 T r a n s f e r - E n c o d i n g :   c h u n k e d T r a n s f e r - e n c o d i n g :   c o w c G P O S T   /   H T T P / 1 . 1 C o n t e n t - T y p e :   a p p l i c a t i o n / x - w w w - f o r m - u r l e n c o d e d C o n t e n t - L e n g t h :   1 5 x = 1 0
关 于 如 何 防 范 关 于 如 何 防 范 H T T P 走 私 ： 走 私 ： 禁 止 后 端 服 务 器 之 间 的 信 道 重 用 ， 以 便 通 过 单 独 的 网 络 连 接 发 送 每 个 后 端 请 求 ； 对 于 后 端 连 接 使 用 H T T P / 2 ， 因 为 该 协 议 可 以 防 止 请 求 之 间 的 边 界 不 明 确 ； 在 前 端 和 后 端 服 务 器 上 使 用 完 全 相 同 的 w e b 服 务 器 软 件 ， 以 便 它 们 对 请 求 之 间 的 边 界 达 成 一 致 。 文 章 素 材 来 源 于 i 春 秋 社 区 近 年 来 ， 市 场 环 境 对 网 络 安 全 人 才 求 贤 若 渴 ， 薪 资 待 遇 也 相 对 高 于 其 他 行 业 ， 如 果 你 想 要 系 统 全 面 学 习 网 络 安 全 课 程 ， 并 从 事 于 信 息 安 全 行 业 ， 欢 迎 报 名 渗 透 测 试 工 程 师 线 下 就 业 班 ！ 更 多 课 程 内 容 咨 询 ， 识 别 下 方 二 维 码 ， 培 训 老 师 一 对 一 为 您 解 答 疑 惑 ！ 快 速 咨 询 入 口 快 速 咨 询 入 口
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理