搜索

[20872] 2017-08-24_Web应用里的HTTP参数污染（HPP）漏洞

文档创建者：s7ckTeam
浏览次数：37
最后更新：2025-01-18
2017-08-24_Web应用里的HTTP参数污染（HPP）漏洞 W e b 应 用 里 的 H T T P 参 数 污 染 （ H P P ） 漏 洞 L e m o n S e c   2 0 1 7 - 0 8 - 2 4 P P 是 H T T P   P a r a m e t e r   P o l l u t i o n 的 缩 写 。 这 个 漏 洞 由 S .   d i   P a o l a   与 L .   C a r e t   T o n i 在 2 0 0 9 年 的 O W A S P 上 首 次 公 布 。 这 也 是 一 种 注 入 型 的 漏 洞 ， 攻 击 者 通 过 在 H T T P 请 求 中 插 入 特 定 的 参 数 来 发 起 攻 击 。 如 果 W e b 应 用 中 存 在 这 样 的 漏 洞 ， 可 以 被 攻 击 者 利 用 来 进 行 客 户 端 或 者 服 务 器 端 的 攻 击 。 下 面 对 这 个 漏 洞 的 原 理 做 一 下 详 细 解 释 。   首 先 讲 下 首 先 讲 下 H T T P 的 参 数 处 理 的 参 数 处 理   在 跟 服 务 器 进 行 交 互 的 过 程 中 ， 客 户 端 往 往 会 在 G E T / P O S T 请 求 里 面 带 上 参 数 ： 1 .   G E T   / f o o ? < s p a n   s t y l e = " c o l o r : # f f 0 0 0 0 ; " > p a r 1 = v a l 1 & p a r 2 = v a l 2 < / s p a n >   H T T P / 1 . 1     2 .   U s e r - A g e n t :   M o z i l l a / 5 . 0     3 .   H o s t :   H o s t     4 .   A c c e p t :   * / *     P O S T   / f o o   H T T P / 1 . 1     U s e r - A g e n t :   M o z i l l a / 5 . 0     H o s t :   H o s t     A c c e p t :   * / *     C o n t e n t - L e n g t h :   1 9   如 上 面 的 例 子 所 示 ， 这 些 参 数 会 以 名 称 - 值 对 的 形 势 出 现 ， 通 常 在 一 个 请 求 中 ， 同 样 名 称 的 参 数 只 会 出 现 一 次 。 但 是 在 H T T P 协 议 中 是 允 许 同 样 名 称 的 参 数 出 现 多 次 的 。 大 家 可 以 在 下 面 给 出 的 W 3 S c h o o l 链 接 上 试 试 看 ： h t t p : / / w w w . w 3 s c h o o l s . c o m / h t m l / t r y i t . a s p ? f i l e n a m e = t r y h t m l _ f o r m _ c h e c k b o x 但 是 针 对 同 样 名 称 的 参 数 出 现 多 次 的 情 况 ， 不 同 的 服 务 器 的 处 理 方 式 会 不 一 样 ， 比 如 看 下 面 的 2 个 例 子 ： h t t p : / / w w w . g o o g l e . c o m / s e a r c h ? q = i t a l y & q = c h i n a 但 是 针 对 同 样 名 称 的 参 数 出 现 多 次 的 情 况 ， 不 同 的 服 务 器 的 处 理 方 式 会 不 一 样 ， 比 如 看 下 面 的 2 个 例 子 ： h t t p : / / w w w . g o o g l e . c o m / s e a r c h ? q = i t a l y & q = c h i n a h t t p : / / s e a r c h . y a h o o . c o m / s e a r c h ? p = i t a l y & p = c h i n a
如 果 同 时 提 供 2 个 搜 索 的 关 键 字 参 数 给 G o o g l e ， 那 么 G o o g l e 会 对 2 个 参 数 都 进 行 查 询 ； 但 是 Y a h o o 则 不 一 样 ， 它 只 会 处 理 后 面 一 个 参 数 。 下 面 这 个 表 简 单 列 举 了 一 些 常 见 的 W e b 服 务 器 对 同 样 名 称 的 参 数 出 现 多 次 的 处 理 方 式 ： W e b 服 务 器 服 务 器 参 数 获 取 函 数 参 数 获 取 函 数 获 取 到 的 参 数 获 取 到 的 参 数 P H P / A p a c h e $ _ G E T ( “ p a r ” ) L a s t J S P / T o m c a t R e q u e s t . g e t P a r a m e t e r ( “ p a r ” ) F i r s t P e r l ( C G I ) / A p a c h e P a r a m ( “ p a r ” ) F i r s t P y t h o n / A p a c h e g e t v a l u e ( “ p a r ” ) A l l   ( L i s t ) A S P / I I S R e q u e s t . Q u e r y S t r i n g ( “ p a r ” ) A l l   ( c o m m a - d e l i m i t e d   s t r i n g ) 那 么 这 会 有 什 么 问 题 吗 ？ 实 际 上 这 本 身 并 没 有 什 么 问 题 ， 但 是 前 提 是 W e b 应 用 程 序 的 开 发 者 知 道 这 个 事 情 并 且 有 正 确 的 进 行 处 理 。 否 则 的 话 那 么 难 免 会 对 攻 击 者 造 成 可 乘 之 机 。 如 果 对 同 样 名 称 的 参 数 出 现 多 次 的 情 况 没 有 进 行 正 确 处 理 的 话 ， 那 么 可 能 会 导 致 漏 洞 使 得 攻 击 者 能 够 利 用 来 发 起 对 服 务 器 端 或 客 户 端 的 攻 击 。 下 面 举 一 些 例 子 来 详 细 说 明 。 对 客 户 端 的 攻 击 对 客 户 端 的 攻 击 比 如 有 这 样 一 个 网 站 ， 用 来 给 其 他 人 在 2 个 候 选 人 之 间 投 票 ， 这 个 网 站 的 U R L 和 代 码 是 这 样 的 ： U r l   :   h t t p : / / h o s t / e l e c t i o n . j s p ? p o l l _ i d = 4 5 6 8         L i n k 1 :   < a   h r e f = " v o t e . j s p ? p o l l _ i d = 4 5 6 8 & c a n d i d a t e = z h a n g " > 为 张 三 投 票 < / a >         L i n k 2 :   < a   h r e f = " v o t e . j s p ? p o l l _ i d = 4 5 6 8 & c a n d i d a t e = l i " > 为 李 四 投 票 < / a >     因 为 种 种 原 因 ， 这 个 页 面 里 面 用 于 投 票 的 链 接 实 现 的 方 式 如 下 ： I D   =   R e q u e s t . g e t P a r a m e t e r ( " p o o l _ i d " )         h r e f _ l i n k   =   " v o t e . j s p ? p o l l _ i d = "   +   I D   +   " & c a n d i d a t e = x y z "     如 果 这 时 候 恶 意 攻 击 者 生 成 了 如 下 的 一 个 U R L 发 给 投 票 人 ： h t t p _ : / / h o s t / e l e c t i o n . j s p ? p o l l _ i d = 4 5 6 8 % 2 6 c a n d i d a t e % 3 D z h a n g 那 么 最 终 在 页 面 的 内 容 会 是 ： U r l   :   h t t p : / / h o s t / e l e c t i o n . j s p ? p o l l _ i d = 4 5 6 8 % 2 6 c a n d i d a t e % 3 D z h a n g    
    L i n k 1 :   < a   h r e f = " v o t e . j s p ? p o l l _ i d = 4 5 6 8 & c a n d i d a t e = z h a n g & c a n d i d a t e = z h a n g " > 为 张 三 投 票 < / a >         L i n k 2 :   < a   h r e f = " v o t e . j s p ? p o l l _ i d = 4 5 6 8 & c a n d i d a t e = z h a n g & c a n d i d a t e = l i " > 为 李 四 投 票 < / a >   前 面 我 们 有 知 道 对 于 J S P 来 说 在 有 2 个 相 同 的 名 称 的 参 数 的 时 候 ， 会 取 第 一 个 值 ： W e b 服 务 器 服 务 器 参 数 获 取 函 数 参 数 获 取 函 数 获 取 到 的 参 数 获 取 到 的 参 数 J S P / T o m c a t R e q u e s t . g e t P a r a m e t e r ( “ p a r ” ) F i r s t 所 以 不 管 投 票 人 选 择 的 是 谁 ， 始 终 都 是 张 三 得 票 。   一 般 来 说 ， 对 客 户 端 的 攻 击 一 般 会 是 如 下 流 程 ， 导 致 用 户 选 择 不 期 望 的 选 项 ： 对 服 务 器 端 的 攻 击 对 服 务 器 端 的 攻 击   比 如 某 网 站 的 实 现 如 下 ： v o i d   p r i v a t e   e x e c u t e B a c k e n d R e q u e s t ( H T T P R e q u e s t   r e q u e s t ) {     S t r i n g   a c t i o n = r e q u e s t . g e t P a r a m e t e r ( " a c t i o n " ) ;         S t r i n g   u s e r = r e q u e s t . g e t P a r a m e t e r ( " u s e r i d " ) ;         S t r i n g   t a r g e t = r e q u e s t . g e t P a r a m e t e r ( " t a r g e t " ) ;         H t t p R e q u e s t ( " h t t p : / / c e n t r a l a u t h e n c a t i o n s e r v e r / c h e c k p r i v i l e d g e . j s p " ,   " P O S T " , " a c t i o n = " + a c t i o n + " & u s e r = " + u s e r + " & t a r g e t = " + t a r g e t ) ; }       / *   g e t   f e e d b a c k   o f   w h e t h e r   t h i s   u s e r   h a s   p r i v i l e g e   t o   p e r f o r m   s p e c i f i e d   a c t i o n .   I f   n o   s u c h   p r i v i l e g e ,   r e t u r n   e r r o r ,   o t h e r w i s e   c o n t i n u e   p e r f o r m   t h e   a c t i o n * /   H t t p R e q u e s t ( " h t t p : / / b u s i n e s s s e r v e r / p e r f o r m a c t i o n . p h p " ,   " P O S T " , " a c t i o n = " + a c t i o n + " & u s e r = " + u s e r + " & t a r g e t = " + t a r g e t ) ; }     它 有 个 独 立 的 集 中 认 证 服 务 器 用 来 做 用 户 权 限 方 面 的 认 证 ， 另 外 的 业 务 服 务 器 专 门 用 来 处 理 业 务 ， 对 外 的 门 户 实 际 上 紧 紧 只 是 用 来 做 请 求 的 转 发 。 这 里 不 会 有 S Q L 注 入 之 类 的 漏 洞 ， 因 为 不 管 是 集 中 认 证 服 务 器 还 是 业 务 处 理 服 务 器 都 会 对 传 入 的 参 数 的 格 式 做 检 查 ， 确 保 不 会 存 在 S Q L 注 入 。 那 么 哪 儿 有 问 题 ？ 因 为 集 中 认 证 服 务 器 和 业 务 处 理 服 务 器 分 别 由 2 个 团 队 开 发 ， 使 用 了 不 同 的 脚 本 语 言 ， 又 没 有 考 虑 到 H P P 的 情 况 。 那 么 看 看 一 个 本 来 紧 紧 只 是 具 有 只 读 权 限 的 用 户 ， 如 果 发 送 如 下 请 求 给 服 务 器 ： h t t p _ : / / f r o n t H o s t / p a g e ? a c t i o n = v i e w & u s e r i d = z h a n g s a n & t a r g e t = b i z r e p o r t % 2 6 a c t i o n % 3 d e d i t 那 么 根 据 我 们 知 道 的 W e b 服 务 器 参 数 处 理 的 方 式 ， 这 个 用 户 可 以 通 过 认 证 做 一 些 本 来 没 有 权 限 做 的 事 情 。 W e b 服 务 器 服 务 器 参 数 获 取 函 数 参 数 获 取 函 数 获 取 到 的 参 数 获 取 到 的 参 数 p h p / A p a c h e $ _ G E T ( “ p a r ” ) L a s t
J S P / T o m c a t R e q u e s t . g e t P a r a m e t e r ( “ p a r ” ) F i r s t 除 此 以 外 ， H P P 还 可 以 被 攻 击 者 用 来 绕 过 一 些 W e b 应 用 防 火 墙 ( W A F ,   W e b A p p   F i r e w a l l ) ， 比 如 对 某 页 面 的 S Q L 注 入 攻 击 如 下 ： s h o w _ u s e r . a s p x ? i d = 5 ; s e l e c t + 1 , 2 , 3 + f r o m + u s e r s + w h e r e + i d = 1 - - 这 个 攻 击 因 为 在 参 数 i d 里 面 存 在 明 显 的 S Q L 注 入 的 模 板 ： s e l e c t … f r o m … 而 会 被 W A F 成 功 拦 截 。 但 是 如 果 换 成 H P P 的 方 式 ： s h o w _ u s e r . a s p x ? i d = 5 ; s e l e c t + 1 & i d = 2 & i d = 3 + f r o m + u s e r s + w h e r e + i d = 1 - - 这 时 候 没 有 任 何 参 数 具 备 s e l e c t … f r o m … 的 特 征 ， 可 能 就 可 以 绕 过 W A F 的 拦 截 了 。   总 的 来 说 ， H P P 是 一 种 新 的 注 入 型 漏 洞 。 要 防 止 这 种 漏 洞 ， 除 了 要 做 好 对 输 入 参 数 的 格 式 验 证 外 ， 另 外 还 需 要 意 识 到 H T T P 协 议 是 允 许 同 名 的 参 数 的 ， 在 整 个 应 用 的 处 理 过 程 中 要 意 识 到 这 一 点 从 而 根 据 业 务 的 特 征 对 这 样 的 情 况 作 正 确 的 处 理 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理