hacktricks/pentesting-web/h2c-smuggling.md

# 升级头部劫持

<details>

<summary><strong>从零开始学习AWS黑客技术，成为专家</strong> <a href="https://training.hacktricks.xyz/courses/arte"><strong>htARTE（HackTricks AWS Red Team Expert）</strong></a><strong>！</strong></summary>

支持HackTricks的其他方式：

* 如果您想看到您的**公司在HackTricks中被广告**或**下载PDF格式的HackTricks**，请查看[**订阅计划**](https://github.com/sponsors/carlospolop)!
* 获取[**官方PEASS & HackTricks周边产品**](https://peass.creator-spring.com)
* 探索[**PEASS家族**](https://opensea.io/collection/the-peass-family)，我们独家的[**NFTs**](https://opensea.io/collection/the-peass-family)收藏品
* **加入** 💬 [**Discord群组**](https://discord.gg/hRep4RUj7f) 或 [**电报群组**](https://t.me/peass) 或 **关注**我们的**Twitter** 🐦 [**@carlospolopm**](https://twitter.com/hacktricks_live)**。**
* 通过向[**HackTricks**](https://github.com/carlospolop/hacktricks)和[**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) github仓库提交PR来分享您的黑客技巧。

</details>

<figure><img src="/.gitbook/assets/image (675).png" alt=""><figcaption></figcaption></figure>

找到最重要的漏洞，以便更快地修复它们。Intruder跟踪您的攻击面，运行主动威胁扫描，发现整个技术堆栈中的问题，从API到Web应用程序和云系统。[**立即免费试用**](https://www.intruder.io/?utm\_source=referral\&utm\_campaign=hacktricks)。

{% embed url="https://www.intruder.io/?utm_campaign=hacktricks&utm_source=referral" %}

***

## H2C劫持 <a href="#http2-over-cleartext-h2c" id="http2-over-cleartext-h2c"></a>

### 明文HTTP2（H2C） <a href="#http2-over-cleartext-h2c" id="http2-over-cleartext-h2c"></a>

H2C，或**明文http2**，通过将标准HTTP **连接升级为持久连接**，偏离了短暂HTTP连接的常规。这种升级后的连接利用http2二进制协议进行持续通信，而不是明文HTTP的单请求性质。

劫持问题的关键在于**反向代理**的使用。通常，反向代理处理并转发HTTP请求到后端，然后返回后端的响应。然而，当HTTP请求中存在`Connection: Upgrade`头部（通常在websocket连接中看到），反向**代理会维持客户端和服务器之间的持久连接**，从而促进某些协议所需的持续交换。对于H2C连接，遵循RFC需要存在三个特定的头部：
``` 
Upgrade: h2c
HTTP2-Settings: AAMAAABkAARAAAAAAAIAAAAA
Connection: Upgrade, HTTP2-Settings
```
### 漏洞代理 <a href="#exploitation" id="exploitation"></a>

当升级连接后，反向代理停止管理单独的请求，假定其路由工作在连接建立后已完成。利用H2C Smuggling 可以绕过在请求处理期间应用的反向代理规则，如基于路径的路由、身份验证和WAF处理，假定成功启动了一个H2C连接。

### 受影响的代理 <a href="#exploitation" id="exploitation"></a>

该漏洞取决于反向代理处理 `Upgrade` 和有时 `Connection` 头的方式。以下代理在代理传递期间固有地转发这些头，从而固有地启用 H2C smuggling：

- HAProxy
- Traefik
- Nuster

相反，这些服务在代理传递期间不固有地转发这两个头。但是，它们可能配置不安全，允许未经过滤地转发 `Upgrade` 和 `Connection` 头：

- AWS ALB/CLB
- NGINX
- Apache
- Squid
- Varnish
- Kong
- Envoy
- Apache Traffic Server

### 利用 <a href="#exploitation" id="exploitation"></a>

值得注意的是，并非所有服务器固有地转发用于符合 H2C 连接升级所需的头。因此，像 AWS ALB/CLB、NGINX 和 Apache Traffic Server 等服务器自然地阻止 H2C 连接。尽管如此，值得尝试使用不符合标准的 `Connection: Upgrade` 变体进行测试，该变体在 `Connection` 头中排除了 `HTTP2-Settings` 值，因为一些后端可能不符合标准。

{% hint style="danger" %}
无论在 `proxy_pass` URL 中指定的具体 **路径** 是什么（例如 `http://backend:9999/socket.io`），建立的连接默认为 `http://backend:9999`。这允许与该内部端点中的任何路径进行交互，利用这种技术。因此，在 `proxy_pass` URL 中指定路径不会限制访问。
{% endhint %}

工具 [**h2csmuggler by BishopFox**](https://github.com/BishopFox/h2csmuggler) 和 [**h2csmuggler by assetnote**](https://github.com/assetnote/h2csmuggler) 通过建立 H2C 连接，有助于尝试绕过代理施加的保护，从而使得可以访问代理屏蔽的资源。

有关此漏洞的更多信息，特别是关于 NGINX 的信息，请参考 [**此详细资源**](../network-services-pentesting/pentesting-web/nginx.md#proxy\_set\_header-upgrade-and-connection)。