> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/de/web/request-smuggling/http2-splitting-via-crlf-injection.md).

# HTTP/2-Request-Splitting via CRLF-Injektion

### HTTP/2-Request-Splitting durch CRLF-Injektion

Das Frontend stuft HTTP/2-Anfragen auf HTTP/1 zurück und bereinigt die Header nicht ordnungsgemäß. / Diese Schwachstelle ermöglicht einen Request-Splitting-Angriff, der hier genutzt wird, um die Antwortzeile zu vergiften und auf das Administrationspanel zuzugreifen, um den Benutzer zu löschen **carlos**. / Ein Administrator verbindet sich alle **10 Sekunden** und die Back-End-Verbindung wird alle **10 Anfragen**, wodurch es leicht ist, wieder eine saubere Verbindung zu erhalten.

* Selbst wenn die Anfrage schlecht formuliert ist, gibt der Server keine Fehlermeldung zurück.
* Beispiel eines Versuchs in HTTP/2:

```http
POST / HTTP/2
Host: 0a28000a0454ccd8800dee4e00990069.web-security-academy.net
Tranfer-Encoding: chunked

3
abc
X


```

Es werden keine Fehler erzeugt.

* Benutzerdefinierten Header hinzugefügt zu **Request-Header** (Burp):

```http
Name:
Test
Wert:
Test
Transfer-Encoding: chunked
```

<figure><img src="/files/1aa13489fb7d2792a47572a8fcf99ee3c86bc40e" alt=""><figcaption></figcaption></figure>

* Bei einer GET-Anfrage mit einem Body gibt der Server an, dass GET keinen Body enthalten kann, was bestätigt, dass einige Prüfungen vorhanden sind, aber für injizierte Header weiterhin unzureichend bleiben.

<figure><img src="/files/26b47784aab02e7fd2537fe204e45d266eb918c0" alt=""><figcaption></figcaption></figure>

#### CRLF-Injektion über HTTP/2-Header

Durch das Platzieren der über HTTP/2 gesteuerten Header wird die CRLF-Injektion akzeptiert. / Anschließend können Sie während des Downgrades auf HTTP/1 nach der legitimen Anfrage eine zusätzliche Anfrage einfügen.

Beispiel für eine eingeschleuste Nutzlast:

```http
GET / HTTP/2
Host: 0a28000a0454ccd8800dee4e00990069.web-security-academy.net


```

<figure><img src="/files/cbdbb81f25b9169d29a2f68900d4f849911dc030" alt=""><figcaption></figcaption></figure>

<figure><img src="/files/e7479d1449ceb6f2d76ad433d050eb7d38f69bb8" alt=""><figcaption></figcaption></figure>

#### Ausnutzung

1. Eine eingeschleuste Anfrage einfügen, die auf / abzielt: **GET / HTTP Admin/1.1**

<figure><img src="/files/847477d11ab0a61dcdfc9e2bb3df9e46e310b00c" alt=""><figcaption></figcaption></figure>

* Senden Sie mehrere Anfragen, damit der Administrator die eingefangene Antwort auslöst.

```http
Test

GET /admin HTTP/1.1
Host: 0a28000a0454ccd8800dee4e00990069.web-security-academy.net
```

* Fangen Sie die Back-End-Anfrage /admin ab, die das \*\*Admin-Sitzungscookie\*\* enthält.

<figure><img src="/files/4fd2cc491b13d7b04f2daa3a47b98b7a8f693e6e" alt=""><figcaption></figcaption></figure>

1. Verwenden Sie diese gestohlene Sitzung erneut, um auf das Admin-Panel zuzugreifen.
2. Löschen Sie im Panel den Benutzer **carlos**.

<figure><img src="/files/cfa6cb3dd84c78645e3e6d8d7b9013bc5c5a364d" alt=""><figcaption></figcaption></figure>


---

# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.

## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question.

Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter:

```
GET https://hacking-notes.jord4n.pro/de/web/request-smuggling/http2-splitting-via-crlf-injection.md?ask=<question>&goal=<endgoal>
```

`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal.

The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.

Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.