Bladsy HTTP Versoek Smuggling

Reading time: 3 minutes

Bladsy-gedre desync (ook bekend as kliënt-kant versoek smuggling) misbruik die slagoffer se blaaiers om 'n verkeerd-geframeerde versoek op 'n gedeelde verbinding te plaas sodat daaropvolgende versoeke buite sinchronisasie deur 'n downstream komponent geanaliseer word. Anders as klassieke FE↔BE smuggling, is payloads beperk tot wat 'n blaaiers wettiglik kan stuur oor verskillende oorspronge.

Belangrike beperkings en wenke

• Gebruik slegs headers en sintaksis wat 'n blaaiers kan uitstuur via navigasie, fetch, of vorm indiening. Header obfuscasies (LWS truuks, duplikaat TE, ongeldige CL) sal oor die algemeen nie gestuur word nie.
• Teiken eindpunte en intermediêre wat invoer reflekteer of antwoorde kas. Nuttige impakte sluit kas vergiftiging, die lek van voorpunt ingespoten headers, of die omseiling van voorpunt pad/metode kontroles in.
• Hergebruik is belangrik: pas die vervaardigde versoek aan sodat dit dieselfde HTTP/1.1 of H2 verbinding deel as 'n hoë-waarde slagoffer versoek. Verbinding-geslote/staatlike gedrag versterk die impak.
• Verkies primitiewe wat nie aangepaste headers vereis nie: pad verwarring, navraag-string inspuiting, en liggaam vorming via vorm-gecodeerde POSTs.
• Valideer werklike bediener-kant desync teenoor bloot pyplyn artefakte deur weer te toets sonder hergebruik, of deur die HTTP/2 geneste-antwoord kontrole te gebruik.

Vir eind-tot-eind tegnieke en PoCs, sien:

• PortSwigger Navorsing – Bladsy‑Gedre Desync Aanvalle: https://portswigger.net/research/browser-powered-desync-attacks
• PortSwigger Akademie – kliënt‑kant desync: https://portswigger.net/web-security/request-smuggling/browser/client-side-desync

Verwysings

• https://portswigger.net/research/browser-powered-desync-attacks
• https://portswigger.net/web-security/request-smuggling/browser/client-side-desync
• Onderskeiding van pyplyn teenoor smuggling (agtergrond oor hergebruik vals-positiewe): https://portswigger.net/research/how-to-distinguish-http-pipelining-from-request-smuggling