mirror of
https://github.com/carlospolop/hacktricks
synced 2024-11-26 14:40:37 +00:00
Translated ['pentesting-web/h2c-smuggling.md'] to cn
This commit is contained in:
Translator
parent
95d0bba12a
commit
46a8f9843d
1 changed files with 80 additions and 25 deletions
|
|
@ -6,50 +6,48 @@
|
|||
|
||||
支持HackTricks的其他方式：
|
||||
|
||||
* 如果您想看到您的**公司在HackTricks中做广告**或**下载PDF格式的HackTricks**，请查看[**订阅计划**](https://github.com/sponsors/carlospolop)!
|
||||
* 如果您想看到您的**公司在HackTricks中被广告**或**下载PDF格式的HackTricks**，请查看[**订阅计划**](https://github.com/sponsors/carlospolop)!
|
||||
* 获取[**官方PEASS & HackTricks周边产品**](https://peass.creator-spring.com)
|
||||
* 探索[**PEASS家族**](https://opensea.io/collection/the-peass-family)，我们的独家[**NFTs**](https://opensea.io/collection/the-peass-family)
|
||||
* **加入** 💬 [**Discord群**](https://discord.gg/hRep4RUj7f) 或 [**电报群**](https://t.me/peass) 或 **关注**我们的**Twitter** 🐦 [**@carlospolopm**](https://twitter.com/hacktricks_live)**。**
|
||||
* **加入** 💬 [**Discord群**](https://discord.gg/hRep4RUj7f) 或 [**电报群**](https://t.me/peass) 或 **关注**我们的**Twitter** 🐦 [**@carlospolopm**](https://twitter.com/hacktricks\_live)**。**
|
||||
* 通过向[**HackTricks**](https://github.com/carlospolop/hacktricks)和[**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) github仓库提交PR来分享您的黑客技巧。
|
||||
|
||||
</details>
|
||||
|
||||
## H2C劫持 <a href="#http2-over-cleartext-h2c" id="http2-over-cleartext-h2c"></a>
|
||||
### H2C劫持 <a href="#http2-over-cleartext-h2c" id="http2-over-cleartext-h2c"></a>
|
||||
|
||||
### 明文HTTP2（H2C） <a href="#http2-over-cleartext-h2c" id="http2-over-cleartext-h2c"></a>
|
||||
#### 明文传输的HTTP2（H2C） <a href="#http2-over-cleartext-h2c" id="http2-over-cleartext-h2c"></a>
|
||||
|
||||
H2C，或**明文http2**，通过将标准HTTP **连接升级为持久连接**，偏离了短暂HTTP连接的常规。这种升级后的连接利用http2二进制协议进行持续通信，而不是明文HTTP的单请求性质。
|
||||
H2C，或**明文传输的http2**，通过将标准HTTP **连接升级为持久连接**，偏离了短暂HTTP连接的常规。这种升级后的连接利用http2二进制协议进行持续通信，而不是明文HTTP的单请求性质。
|
||||
|
||||
劫持问题的关键在于**反向代理**的使用。通常，反向代理处理并转发HTTP请求到后端，然后返回后端的响应。然而，当HTTP请求中存在`Connection: Upgrade`头部（通常在websocket连接中看到），反向**代理会维持客户端和服务器之间的持久连接**，从而促进某些协议所需的持续交换。对于H2C连接，遵循RFC需要存在三个特定的头部：
|
||||
```
|
||||
劫持问题的关键在于**反向代理**的使用。通常情况下，反向代理处理并转发HTTP请求到后端，然后返回后端的响应。然而，当HTTP请求中存在`Connection: Upgrade`头部（通常在websocket连接中看到），反向**代理会维持客户端和服务器之间的持久连接**，从而促进某些协议所需的持续交换。对于H2C连接，遵循RFC需要存在三个特定的头部：
|
||||
```
|
||||
Upgrade: h2c
|
||||
HTTP2-Settings: AAMAAABkAARAAAAAAAIAAAAA
|
||||
Connection: Upgrade, HTTP2-Settings
|
||||
```
|
||||
### 漏洞代理 <a href="#exploitation" id="exploitation"></a>
|
||||
漏洞出现在升级连接后，反向代理停止管理单个请求，假设其路由工作在连接建立后已完成。利用H2C Smuggling 可以绕过反向代理在请求处理期间应用的规则，如基于路径的路由、身份验证和WAF处理，假设成功启动了一个H2C连接。
|
||||
|
||||
当升级连接后，反向代理停止管理单个请求，假设其路由工作在连接建立后已完成。利用H2C Smuggling 可以绕过反向代理在请求处理期间应用的规则，如基于路径的路由、身份验证和WAF处理，假设成功启动了一个H2C连接。
|
||||
#### 受影响的代理 <a href="#exploitation" id="exploitation"></a>
|
||||
|
||||
### 受影响的代理 <a href="#exploitation" id="exploitation"></a>
|
||||
该漏洞取决于反向代理对 `Upgrade` 和有时 `Connection` 头的处理。以下代理在代理传递期间固有地转发这些头，从而固有地启用 H2C 走私：
|
||||
|
||||
该漏洞取决于反向代理处理 `Upgrade` 和有时 `Connection` 头的方式。以下代理在代理传递期间固有地转发这些头，从而固有地启用 H2C smuggling：
|
||||
|
||||
- HAProxy
|
||||
- Traefik
|
||||
- Nuster
|
||||
* HAProxy
|
||||
* Traefik
|
||||
* Nuster
|
||||
|
||||
相反，这些服务在代理传递期间不固有地转发这两个头。但是，它们可能配置不安全，允许未经过滤地转发 `Upgrade` 和 `Connection` 头：
|
||||
|
||||
- AWS ALB/CLB
|
||||
- NGINX
|
||||
- Apache
|
||||
- Squid
|
||||
- Varnish
|
||||
- Kong
|
||||
- Envoy
|
||||
- Apache Traffic Server
|
||||
* AWS ALB/CLB
|
||||
* NGINX
|
||||
* Apache
|
||||
* Squid
|
||||
* Varnish
|
||||
* Kong
|
||||
* Envoy
|
||||
* Apache Traffic Server
|
||||
|
||||
### 利用 <a href="#exploitation" id="exploitation"></a>
|
||||
#### 利用 <a href="#exploitation" id="exploitation"></a>
|
||||
|
||||
值得注意的是，并非所有服务器固有地转发用于符合 H2C 连接升级所需的头。因此，像 AWS ALB/CLB、NGINX 和 Apache Traffic Server 等服务器自然地阻止 H2C 连接。尽管如此，值得尝试使用不符合标准的 `Connection: Upgrade` 变体，该变体在 `Connection` 头中排除了 `HTTP2-Settings` 值，因为一些后端可能不符合标准。
|
||||
|
||||
|
|
@ -59,4 +57,61 @@ Connection: Upgrade, HTTP2-Settings
|
|||
|
||||
工具 [**h2csmuggler by BishopFox**](https://github.com/BishopFox/h2csmuggler) 和 [**h2csmuggler by assetnote**](https://github.com/assetnote/h2csmuggler) 通过建立 H2C 连接，有助于尝试绕过代理施加的保护，从而访问被代理屏蔽的资源。
|
||||
|
||||
有关此漏洞的更多信息，特别是关于 NGINX 的信息，请参阅 [**此详细资源**](../network-services-pentesting/pentesting-web/nginx.md#proxy\_set\_header-upgrade-and-connection)。
|
||||
有关此漏洞的更多信息，特别是关于 NGINX 的信息，请参考 [**此详细资源**](../network-services-pentesting/pentesting-web/nginx.md#proxy\_set\_header-upgrade-and-connection)。
|
||||
|
||||
## Websocket 走私
|
||||
|
||||
与创建到通过代理可访问的端点的 HTTP2 隧道不同，Websocket 走私建立了一个 Websocket 隧道，以绕过潜在的代理限制，并促进与端点的直接通信。
|
||||
|
||||
### 场景 1
|
||||
|
||||
在此场景中，一个提供公共 WebSocket API 和无法访问的内部 REST API 的后端被恶意客户端攻击，试图访问内部 REST API。攻击分为几个步骤：
|
||||
|
||||
1. 客户端通过在标头中使用不正确的 `Sec-WebSocket-Version` 协议版本向反向代理发送升级请求。代理未能验证 `Sec-WebSocket-Version` 头，认为升级请求有效，并将其转发到后端。
|
||||
2. 后端以状态码 `426` 响应，指示 `Sec-WebSocket-Version` 头中的不正确协议版本。反向代理忽略后端的响应状态，假设已准备好进行 WebSocket 通信，并将响应转发给客户端。
|
||||
3. 结果，反向代理被误导以为客户端和后端之间已建立了 WebSocket 连接，而实际上，后端已拒绝了升级请求。尽管如此，代理保持客户端和后端之间的开放 TCP 或 TLS 连接，使客户端通过此连接无限制地访问私有 REST API。
|
||||
|
||||
受影响的反向代理包括 Varnish，它拒绝解决此问题，以及 Envoy 代理版本 1.8.0 或更早版本，后续版本已更改了升级机制。其他代理也可能受到影响。
|
||||
|
||||
|
||||
|
||||
### 场景 2
|
||||
|
||||
此场景涉及一个后端同时具有公共 WebSocket API 和用于健康检查的公共 REST API，以及一个无法访问的内部 REST API。攻击更为复杂，包括以下步骤：
|
||||
|
||||
1. 客户端发送 POST 请求以触发健康检查 API，包括额外的 HTTP 头 `Upgrade: websocket`。作为反向代理的 NGINX 仅基于 `Upgrade` 头解释此请求为标准升级请求，忽略请求的其他方面，并将其转发到后端。
|
||||
2. 后端执行健康检查 API，访问由攻击者控制的外部资源，返回带有状态码 `101` 的 HTTP 响应。一旦后端接收到此响应并转发给 NGINX，由于代理仅验证状态码，它会被欺骗以为已建立 WebSocket 连接。
|
||||
|
||||
|
||||
|
||||
> **警告：** 该技术的复杂性增加，因为它需要与能够返回状态码 101 的端点进行交互。
|
||||
|
||||
最终，NGINX 被欺骗以为客户端和后端之间存在 WebSocket 连接。实际上，并不存在这样的连接；健康检查 REST API 是目标。尽管如此，反向代理保持连接打开，使客户端能够通过它访问私有 REST API。
|
||||
|
||||
|
||||
|
||||
大多数反向代理都容易受到此场景的影响，但利用取决于是否存在外部 SSRF 漏洞，通常被视为低严重性问题。
|
||||
|
||||
#### 实验室
|
||||
|
||||
检查实验室以测试上述两种场景：[https://github.com/0ang3el/websocket-smuggle.git](https://github.com/0ang3el/websocket-smuggle.git)
|
||||
|
||||
### 参考资料
|
||||
|
||||
* [https://blog.assetnote.io/2021/03/18/h2c-smuggling/](https://blog.assetnote.io/2021/03/18/h2c-smuggling/)
|
||||
* [https://bishopfox.com/blog/h2c-smuggling-request](https://bishopfox.com/blog/h2c-smuggling-request)
|
||||
* [https://github.com/0ang3el/websocket-smuggle.git](https://github.com/0ang3el/websocket-smuggle.git)
|
||||
|
||||
<details>
|
||||
|
||||
<summary><strong>从零开始学习 AWS 黑客技术，成为专家</strong> <a href="https://training.hacktricks.xyz/courses/arte"><strong>htARTE（HackTricks AWS 红队专家）</strong></a><strong>！</strong></summary>
|
||||
|
||||
支持 HackTricks 的其他方式：
|
||||
|
||||
* 如果您想在 HackTricks 中看到您的 **公司广告** 或 **下载 PDF 版本的 HackTricks**，请查看 [**订阅计划**](https://github.com/sponsors/carlospolop)！
|
||||
* 获取 [**官方 PEASS & HackTricks 商品**](https://peass.creator-spring.com)
|
||||
* 探索 [**PEASS 家族**](https://opensea.io/collection/the-peass-family)，我们的独家 [**NFT**](https://opensea.io/collection/the-peass-family) 收藏品
|
||||
* **加入** 💬 [**Discord 群**](https://discord.gg/hRep4RUj7f) 或 [**电报群**](https://t.me/peass) 或 **关注** 我们的 **Twitter** 🐦 [**@carlospolopm**](https://twitter.com/hacktricks\_live)**。**
|
||||
* 通过向 [**HackTricks**](https://github.com/carlospolop/hacktricks) 和 [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) github 仓库提交 PR 来分享您的黑客技巧。
|
||||
|
||||
</details>
|
||||
|
|
|
|||
Loading…
Reference in a new issue