hacktricks/pentesting-web/abusing-hop-by-hop-headers.md

# Vichwa vya habari vya hop-by-hop

<details>

<summary><strong>Jifunze kuhusu kudukua AWS kutoka sifuri hadi shujaa na</strong> <a href="https://training.hacktricks.xyz/courses/arte"><strong>htARTE (Mtaalam wa Timu Nyekundu ya AWS ya HackTricks)</strong></a><strong>!</strong></summary>

* Je, unafanya kazi katika **kampuni ya usalama wa mtandao**? Je, ungependa kuona **kampuni yako ikionekana katika HackTricks**? Au ungependa kupata **toleo jipya zaidi la PEASS au kupakua HackTricks kwa muundo wa PDF**? Angalia [**MPANGO WA KUJIUNGA**](https://github.com/sponsors/carlospolop)!
* Gundua [**Familia ya PEASS**](https://opensea.io/collection/the-peass-family), mkusanyiko wetu wa kipekee wa [**NFTs**](https://opensea.io/collection/the-peass-family)
* Pata [**swag rasmi ya PEASS & HackTricks**](https://peass.creator-spring.com)
* **Jiunge na** [**💬**](https://emojipedia.org/speech-balloon/) [**Kikundi cha Discord**](https://discord.gg/hRep4RUj7f) au [**kikundi cha telegram**](https://t.me/peass) au **nifuatilie** kwenye **Twitter** 🐦[**@carlospolopm**](https://twitter.com/hacktricks_live)**.**
* **Shiriki mbinu zako za kudukua kwa kuwasilisha PR kwenye [repo ya hacktricks](https://github.com/carlospolop/hacktricks) na [repo ya hacktricks-cloud](https://github.com/carlospolop/hacktricks-cloud)**.

</details>

**Hii ni muhtasari wa chapisho [https://nathandavison.com/blog/abusing-http-hop-by-hop-request-headers](https://nathandavison.com/blog/abusing-http-hop-by-hop-request-headers)**

Vichwa vya habari vya hop-by-hop ni maalum kwa uhusiano mmoja wa kiwango cha usafirishaji, vinavyotumiwa hasa katika HTTP/1.1 kwa kusimamia data kati ya vifaa viwili (kama mteja-kiungo au kiungo-kiungo), na havikusudiwi kupelekwa mbele. Vichwa vya habari vya kawaida vya hop-by-hop ni pamoja na `Keep-Alive`, `Transfer-Encoding`, `TE`, `Connection`, `Trailer`, `Upgrade`, `Proxy-Authorization`, na `Proxy-Authenticate`, kama ilivyoelezwa katika [RFC 2616](https://tools.ietf.org/html/rfc2616#section-13.5.1). Vichwa vingine vinaweza kuwekwa kama hop-by-hop kupitia kichwa cha `Connection`.

### Kudhuru Vichwa vya Habari vya Hop-by-Hop
Usimamizi usio sahihi wa vichwa vya habari vya hop-by-hop na viungo unaweza kusababisha masuala ya usalama. Ingawa viungo vinatarajiwa kuondoa vichwa hivi, sio vyote hufanya hivyo, na hivyo kuunda hatari ya usalama.

### Jaribio la Kudhibiti Vichwa vya Habari vya Hop-by-Hop
Usimamizi wa vichwa vya habari vya hop-by-hop unaweza kujaribiwa kwa kuchunguza mabadiliko katika majibu ya seva wakati vichwa vya habari maalum vinatajwa kama hop-by-hop. Zana na hati za programu zinaweza kusaidia kiotomatiki mchakato huu, kugundua jinsi viungo vinavyosimamia vichwa hivi na kufichua mazingira yasiyofaa au tabia za kiungo.

Kudhuru vichwa vya habari vya hop-by-hop kunaweza kusababisha athari mbalimbali za usalama. Hapa chini kuna mifano kadhaa inayoonyesha jinsi vichwa hivi vinaweza kudanganywa kwa mashambulizi yanayowezekana:

### Kuvuka Udhibiti wa Usalama na `X-Forwarded-For`
Mshambuliaji anaweza kudanganya kichwa cha `X-Forwarded-For` ili kuvuka udhibiti wa upatikanaji kulingana na anwani ya IP. Kichwa hiki mara nyingi hutumiwa na viungo kufuatilia anwani ya IP ya asili ya mteja. Walakini, ikiwa kiungo kinachukulia kichwa hiki kama hop-by-hop na kukipeleka bila uthibitisho sahihi, mshambuliaji anaweza kudanganya anwani yake ya IP.

**Skena ya Shambulio:**
1. Mshambuliaji anatuma ombi la HTTP kwa programu ya wavuti nyuma ya kiungo, akiwa na anwani bandia ya IP katika kichwa cha `X-Forwarded-For`.
2. Mshambuliaji pia anajumuisha kichwa cha `Connection: close, X-Forwarded-For`, kinachochochea kiungo kuchukulia `X-Forwarded-For` kama hop-by-hop.
3. Kiungo kilichopangwa vibaya kinapeleka ombi kwa programu ya wavuti bila kichwa cha `X-Forwarded-For` kilichodanganywa.
4. Programu ya wavuti, ikiona kichwa cha awali cha `X-Forwarded-For`, inaweza kuzingatia ombi kama linatoka moja kwa moja kutoka kwa kiungo kilichoidhinishwa, na hivyo kuruhusu ufikiaji usiohalali.

### Kuharibu Cache kupitia Uingizaji wa Kichwa cha Hop-by-Hop
Ikiwa seva ya cache inakosea kuhifadhi yaliyomo kulingana na vichwa vya hop-by-hop, mshambuliaji anaweza kuingiza vichwa vya habari vya hatari ili kuharibu cache. Hii itatoa yaliyomo sahihi au hatari kwa watumiaji wanaotaka rasilimali ile ile.

**Skena ya Shambulio:**
1. Mshambuliaji anatuma ombi kwa programu ya wavuti na kichwa cha hop-by-hop ambacho hakitakiwi kuhifadhiwa (kwa mfano, `Connection: close, Cookie`).
2. Seva duni ya cache haijaondoa kichwa cha hop-by-hop na kuhifadhi jibu maalum kwa kikao cha mshambuliaji.
3. Watumiaji wa baadaye wanaotaka rasilimali ile ile wanapokea jibu lililohifadhiwa, ambalo lilikuwa limeboreshwa kwa ajili ya mshambuliaji, na hivyo kusababisha utekaji wa kikao au kufichua habari nyeti.

<details>

<summary><strong>Jifunze kuhusu kudukua AWS kutoka sifuri hadi shujaa na</strong> <a href="https://training.hacktricks.xyz/courses/arte"><strong>htARTE (Mtaalam wa Timu Nyekundu ya AWS ya HackTricks)</strong></a><strong>!</strong></summary>

* Je, unafanya kazi katika **kampuni ya usalama wa mtandao**? Je, ungependa kuona **kampuni yako ikionekana katika HackTricks**? Au ungependa kupata **toleo jipya zaidi la PEASS au kupakua HackTricks kwa muundo wa PDF**? Angalia [**MPANGO WA KUJIUNGA**](https://github.com/sponsors/carlospolop)!
* Gundua [**Familia ya PEASS**](https://opensea.io/collection/the-peass-family), mkusanyiko wetu wa kipekee wa [**NFTs**](https://opensea.io/collection/the-peass-family)
* Pata [**swag rasmi ya PEASS & HackTricks**](https://peass.creator-spring.com)
* **Jiunge na** [**💬**](https://emojipedia.org/speech-balloon/) [**Kikundi cha Discord**](https://discord.gg/hRep4RUj7f) au [**kikundi cha telegram**](https://t.me/peass) au **nifuatilie** kwenye **Twitter** 🐦[**@carlospolopm**](https://twitter.com/hacktricks_live)**.**
* **Shiriki mbinu zako za kudukua kwa kuwasilisha PR kwenye [repo ya hacktricks](https://github.com/carlospolop/hacktricks) na [repo ya hacktricks-cloud](https://github.com/carlospolop/hacktricks-cloud)**.

</details>