Содержание статьи
Статья имеет ознакомительный характер и предназначена для специалистов по безопасности, проводящих тестирование в рамках контракта. Автор и редакция не несут ответственности за любой вред, причиненный с применением изложенной информации. Распространение вредоносных программ, нарушение работы систем и нарушение тайны переписки преследуются по закону.
Итак, открывай Repeater и погнали!
Запрос в Repeater можно редактировать как угодно, но обрати внимание на шестеренку рядом с кнопкой отправки. В настройках ты задаешь поведение движка, который создает соединение и шлет данные на сервер. Эти опции способны испортить атаку, хотя кажутся абсолютно бесполезными.
Если пытаешься провести атаку HTTP request smuggling типа TE.CL, смысл операции в том, чтобы спрятать один запрос в теле другого. Пример атакующего запроса:
Прокси‑сервер, на который придет запрос, ориентируется на заголовок Transfer-Encoding (TE) и полностью игнорирует Content-Length . Для него запрос разбит на чанки ( chunked ). Первый чанк имеет длину 5e , то есть:
Ноль показывает, что цепочка закончена. Тело запроса выглядит странно, но если нет WAF или правила, которое отбрасывает подобное тело, запрос пройдет.
Сервер‑жертва, который прячется за прокси и считает, что тот хорошо фильтрует запросы, наоборот, ориентируется на CL , игнорируя TE . Тебе важно, чтобы до конечного сервера запрос дошел с Content-Length , равным 4. Тогда жертва порежет запрос на две части по размеру Content-Length и обработает оба. Первый запрос:
Второй:
Второй запрос останется подвешенным. Сервер ждет 15 байт, но получает только x=1 . В результате он ждет, когда придут остальные байты. Любой запрос, независимо от происхождения, закроет этот зависший POST, и пользователь увидит ошибку 404. Это еще не атака, но уже подтверждение, что уязвимость есть.
Для теста возьмем лабу HTTP request smuggling, confirming a TE.CL vulnerability via differential responses . Задача: подтвердить, что веб‑приложение уязвимо к контрабанде запросов типа TE.CL.
Запусти лабу и перехвати запрос к / . Отправь его в Repeater, для ускорения можешь выделить запрос и нажать Ctrl-R. В настройках отключи Update Content-Length. И вообще все, что связано с запросами HTTP/2. Для многих атак с контрабандой запросов важно, чтобы версия HTTP была 1.1.
Если ты видишь, что версия запроса — 2 , поменяй ее в Inspector справа. Разверни меню Request attributes и кликни по HTTP/ 1. 1 . Не меняй версию вручную, это может запутать движок.
Почти все параметры можно менять прямо в тексте, кроме версии HTTP и протокола. Чтобы переключиться с HTTPS на HTTP и обратно, как и поменять порт, кликай на карандаш над «Инспектором» в правой части экрана.
Приведи запрос к такому виду:
В конце не забудь два раза нажать Enter, чтобы правильно завершить запрос. Жми Send или используй сочетание клавиш Ctrl-Space. Отправь запрос дважды. Если уязвимость есть, вторая отправка завершит зависший POST-запрос к / 404 , и в ответе вернется:
Если не получилось, включи отображение спецсимволов (значок \ n над текстом запроса). В конце должно быть:
Отправка группы запросов
Группировка запросов в Repeater — это не только удобная и понятная организация, но и возможность параллельно отправить тонну запросов. Массовая отправка нужна для многих атак вроде HTTP request smuggling и race condition. Эти атаки позволяют сломать логику приложения и получить доступ к закрытым разделам или доставить вредоносный код.
Продолжение доступно только участникам
Материалы из последних выпусков становятся доступны по отдельности только через два месяца после публикации. Чтобы продолжить чтение, необходимо стать участником сообщества «Xakep.ru».
Членство в сообществе в течение указанного срока откроет тебе доступ ко ВСЕМ материалам «Хакера», позволит скачивать выпуски в PDF, отключит рекламу на сайте и увеличит личную накопительную скидку! Подробнее
9990 рублей 5000 р.
950 р.
Если на сервере с Windows остались MSI-пакеты установленных программ, стоит проверять их м…