Mirrors/hacktricks
2
0
Fork 0
mirror of https://github.com/carlospolop/hacktricks synced 2024-11-23 05:03:35 +00:00
Code Issues Projects Releases Packages Wiki Activity
hacktricks/pentesting-web/parameter-pollution.md

6.7 KiB
Raw Blame History

Contaminación de Parámetros

Aprende hacking en AWS de cero a héroe con htARTE (HackTricks AWS Red Team Expert)!

Otras formas de apoyar a HackTricks:

Copiado de https://medium.com/@shahjerry33/http-parameter-pollution-its-contaminated-85edc0805654

Resumen:

La Contaminación de Parámetros HTTP (HPP) significa contaminar los parámetros HTTP de una aplicación web para lograr una tarea maliciosa específica. Se refiere a manipular cómo un sitio web trata los parámetros que recibe durante las solicitudes HTTP. Cambia el comportamiento de un sitio web de su intención original. La contaminación de parámetros HTTP es un tipo de ataque simple pero efectivo.

Cuando contaminas cualquier parámetro, el código solo se ejecuta en el lado del servidor, que es invisible para nosotros, pero podemos ver los resultados en nuestra pantalla. El proceso intermedio es una caja negra.

Por ejemplo, hay una URL https://www.anybank.com/send que tiene tres parámetros:

  1. from:
  2. to:
  3. amount:

URL: https://www.anybank.com/send/?from=accountA&to=accountB&amount=10000

Ahora esta es una URL normal que procederá una transacción de 10000 de accountA a accountB pero ¿qué pasa si agregamos otro parámetro igual “from:”?

Entonces la URL será como https://www.anybank.com/send/?from=accountA&to=accountB&amount=10000&from=accountC

Cuando esta URL proceda una transacción de 10000, se deducirá de accountC en lugar de accountA. Así es como manipulas los parámetros en un ataque de Contaminación de Parámetros HTTP. Aunque el alcance de esta vulnerabilidad no se limita solo a solicitudes GET, también puedes realizar este ataque en una solicitud basada en POST. Puedes probar esta vulnerabilidad en muchos lugares como cambio de contraseña, 2FA, comentarios, subida de foto de perfil, en un parámetro donde se pasa la clave API, OTP, etc.

Cuando manipulas cualquier parámetro, su manipulación depende de cómo cada tecnología web está analizando sus parámetros. Puedes identificar tecnologías web usando “Wappalyzer”. A continuación se muestra la captura de pantalla de algunas tecnologías y su análisis de parámetros. Tecnologías y su análisis de parámetros

Imagen para el post

Me gustaría compartir uno de mis hallazgos de HPP donde pude tomar control de una cuenta usando esta vulnerabilidad.

¿Cómo encontré esta vulnerabilidad?

  1. Fui a una página de inicio de sesión de ese programa, pidió un OTP para iniciar sesión

Enviar OTP

Imagen para el post

2. Escribí un correo electrónico y hice clic en "Enviar Contraseña de Un Solo Uso"

3. Intercepté la solicitud usando burp suite y agregué otro correo electrónico usando el mismo parámetro (creé dos correos electrónicos para propósitos de prueba) Solicitud de Burp

Imagen para el post

4. Recibí un OTP de shrey……@gmail.com en mi otra cuenta radhika…..@gmail.com OTP

Imagen para el post

5. Copié el OTP y fui a shrey….@gmail.com en la pantalla de inicio de sesión de ese programa, ingresé este OTP y estaba dentro de la cuenta. Toma de Cuenta

Imagen para el post

Entonces, lo que sucedió aquí es que la aplicación de back-end tomó el valor del primer parámetro "email" para generar un OTP y usó el valor del segundo parámetro "email" para suministrar el valor, lo que significa que un OTP de shrey….@gmail.com fue enviado a radhika….@gmail.com.

NOTA: Aquí en una imagen en el 4º paso donde recibí un OTP a radhika….@gmail.com estaba confundido porque el mensaje decía Hola Radhika, así que pensé que el parámetro no estaba contaminado y el OTP era para radhika….@gmail.com pero cuando probé el OTP en shrey….@gmail.com funcionó.

Flask & PHP

En este informe puedes ver cómo una consulta HTTP como a=1&a=2 será interpretada de manera diferente por Flask y PHP ejecutándose en un Apache HTTP Server. En Flask, el parámetro será 1 (primera ocurrencia) mientras que en PHP será 2 (última ocurrencia).

Aprende hacking en AWS de cero a héroe con htARTE (HackTricks AWS Red Team Expert)!

Otras formas de apoyar a HackTricks: