记录黑客技术中优秀的内容,传播黑客文化,分享黑客技术精华

什么是HTTP标头注入?

2021-11-22 04:29

HTTP标头注入漏洞是一个Web应用程序安全性的术语,指当攻击者诱骗web应用到插入额外的HTTP头到合法的HTTP响应。HTTP标头注入是一种可用于促进恶意攻击的技术,例如跨站点脚本、Web缓存中毒等。反过来,这些可能会导致信息泄露、您的应用程序被用于网络钓鱼攻击以及其他严重后果。

HTTP
标头注入是一种更通用的攻击类别的特定案例:CRLF注入。如果攻击者能够在响应中注入CRLF序列(回车和换行),他们就能够添加各种虚假条目或更改现有数据:不仅是标题,甚至是整个响应正文。

什么导致HTTP标头注入漏洞?



就像大多数 Web 应用程序安全漏洞一样,HTTP标头注入漏洞(以及一般的CRLF注入漏洞)是过度信任用户输入的结果。如果 Web
应用程序的开发人员直接在 HTTP 响应中使用外部数据,则通常可以执行 HTTP 标头注入攻击。

例如,假设您的业务转移到一个新域,并且为了方便起见,您希望用户书签仍然有效。原始域是example.com但现在您的站点可以在example.info
上找到。如果您的普通用户访问过时的 URL,例如,您希望 Web 服务器自动将用户重定向到相应的新
URL:。

为了实现上述目标,您可以在example.com构建一个简单的 Web 应用程序,该应用程序从 HTTP
请求中获取路径并将其附加到。如果该应用程序的开发人员在将输入数据附加到新的基本 URL 之前没有从输入数据中消除
CR 和 LF 特殊字符,则攻击者可能会使用该应用程序执行 HTTP 标头注入攻击。

HTTP标头注入攻击剖析

HTTP 标头注入攻击在许多方面类似于跨站点脚本 (XSS) 攻击。因此,存在反射 HTTP 标头注入攻击和(不太常见的)存储 HTTP
标头注入攻击。

反射HTTP标头注入



假设您是example.com域的所有者,并且攻击者想要利用上述 HTTP 标头注入漏洞。他们准备网络钓鱼活动并发送以下 URL:

%0d%0aLocation:vulnweb.com

作为 HTTP 标头注入的结果,CRLF 字符被插入到响应中,然后是一个新的Location:标头。Web
浏览器(取决于浏览器类型和配置)会将用户重定向到攻击者的站点(此处:vulnweb.com)。

存储的HTTP标头注入



存储 HTTP 标头注入漏洞和相关攻击非常罕见。在这种情况下,恶意用户输入由 Web 应用程序存储,例如存储在数据库中,然后直接用于发送给其他用户的
HTTP 响应。

就像存储跨站点脚本漏洞一样,存储 HTTP 标头注入更危险,因为它可能会影响访问您的网站或使用您的 Web 应用程序的所有用户。

HTTP 标头注入攻击的后果



上面描述了 HTTP 标头注入攻击的最简单案例 - 攻击者可能会直接利用 HTTP 标头注入漏洞将您的域作为网络钓鱼攻击的基础。

但是,HTTP 标头注入还有更多潜在的后果。例如,攻击者可能会使用 HTTP
标头注入来注入新的标头,从而放松同源策略安全限制,从而可以执行其他原本不可能进行的攻击,例如CSRF。

HTTP 标头注入攻击的另一个潜在用途是 HTTP 响应拆分。在这种情况下,攻击者不仅会注入新的 HTTP
响应标头,还会注入整个响应主体。使用Content-Length标头,他们能够让受害者的浏览器完全忽略响应的合法主体(以及剩余的合法标头)。

由于CRLF注入的影响通常可能很严重(类似于跨站点脚本的影响),尽管OWASP Top 10 中没有特别提到这些漏洞,但不应掉以轻心。

由于HTTP标头注入是 CRLF 序列不正确中和的结果,因此避免此类漏洞的最佳方法是在HTTP响应中使用之前对来自用户输入的 CRLF
序列进行编码。这还可以防止其他利用CRLF注入的攻击的后果,这甚至可能导致敏感信息泄露、日志文件损坏或代码执行。

参读链接:

https://www.acunetix.com/blog/web-security-zone/http-header-injection/

文章来源于互联网:什么是HTTP标头注入?


知识来源: https://secvery.com/6763.html

阅读:557274 | 评论:0 | 标签:注入 HTTP

想收藏或者和大家分享这篇好文章→复制链接地址

“什么是HTTP标头注入?”共有0条留言

发表评论

姓名:

邮箱:

网址:

验证码:

黑帝公告 📢

十年经营持续更新精选优质黑客技术文章Hackdig,帮你成为掌握黑客技术的英雄

💰¥万百赚万千着跟:由自富财↓💸

❤用费0款退球星,年1期效有员会

🧠富财控掌,知认升提,长成起一💡

标签云 ☁

本页关键词 💎