> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/de/web/request-smuggling/http2-splitting-via-crlf-injection.md).
# HTTP/2-Request-Splitting über CRLF-Injektion
Notizen zu HTTP/2-Request-Splitting über CRLF-Injektion für Labs der PortSwigger Web Security Academy, einschließlich Ausnutzungs-Workflow, Payload-Tests, Burp-Suite-Validierung und Behebungskontext.
### HTTP/2-Request-Splitting per CRLF-Injektion
Das Frontend stuft HTTP/2-Anfragen auf HTTP/1 herab und bereinigt die Header nicht ordnungsgemäß. / Diese Schwachstelle ermöglicht einen Request-Splitting-Angriff, der hier verwendet wird, um die Antwortzeile zu vergiften und auf das Administrationspanel zuzugreifen, um den Benutzer zu entfernen **carlos**. / Ein Administrator verbindet sich alle **10 Sekunden** und die Backend-Verbindung wird alle **10 Anfragen**zurückgesetzt, wodurch es einfach ist, wieder eine saubere Verbindung zu erhalten.
* Selbst wenn die Abfrage schlecht formuliert ist, gibt der Server keine Fehlermeldung zurück.
* Beispiel eines Versuchs in HTTP/2:
```http
POST / HTTP/2
Host: 0a28000a0454ccd8800dee4e00990069.web-security-academy.net
Tranfer-Encoding: chunked
3
abc
X
```
Es werden keine Fehler erzeugt.
* Einen benutzerdefinierten Header hinzugefügt zu **Request-Header** (Burp):
```http
Name:
test
Wert:
test
Transfer-Encoding: chunked
```
* Bei einer GET-Anfrage mit Body gibt der Server an, dass GET keinen Body enthalten kann, was bestätigt, dass einige Validierungen vorhanden sind, aber für injizierte Header unzureichend bleiben.
#### CRLF-Injektion über HTTP/2-Header
Durch das Platzieren der über HTTP/2 gesteuerten Header wird die CRLF-Injektion akzeptiert. / Anschließend können Sie während der Herabstufung auf HTTP/1 eine zusätzliche Abfrage nach der legitimen Anfrage einfügen.
Beispiel für einen eingeschleusten Payload:
```http
GET / HTTP/2
Host: 0a28000a0454ccd8800dee4e00990069.web-security-academy.net
```
#### Ausnutzung
1. Einen eingeschleusten Request einfügen, der auf:/ abzielt **GET / HTTP Admin/1.1**
* Senden Sie mehrere Anfragen, damit der Administrator die präparierte Antwort auslöst.
```http
test
GET /admin HTTP/1.1
Host: 0a28000a0454ccd8800dee4e00990069.web-security-academy.net
```
* Fangen Sie die Backend-Anfrage /admin ab, die das \*\*Admin-Session-Cookie\*\* enthält.
1. Verwenden Sie diese gestohlene Session erneut, um auf das Admin-Panel zuzugreifen.
2. Löschen Sie über das Panel den Benutzer **carlos**.
---
# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.
## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation by asking a question.
Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters:
```
GET https://hacking-notes.jord4n.pro/de/web/request-smuggling/http2-splitting-via-crlf-injection.md?ask=&goal=
```
`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case.
The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.
Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.
