hacktricks/pentesting-web/h2c-smuggling.md

升级头部劫持

从零开始学习AWS黑客技术，成为专家 htARTE（HackTricks AWS Red Team Expert）！

支持HackTricks的其他方式：

• 如果您想看到您的公司在HackTricks中被广告或下载PDF格式的HackTricks，请查看订阅计划!
• 获取官方PEASS & HackTricks周边产品
• 探索PEASS家族，我们独家的NFTs收藏品
• 加入 💬 Discord群组 或 电报群组 或 关注我们的Twitter 🐦 @carlospolopm。
• 通过向HackTricks和HackTricks Cloud github仓库提交PR来分享您的黑客技巧。

找到最重要的漏洞，以便更快地修复它们。Intruder跟踪您的攻击面，运行主动威胁扫描，发现整个技术堆栈中的问题，从API到Web应用程序和云系统。立即免费试用。

{% embed url="https://www.intruder.io/?utm_campaign=hacktricks&utm_source=referral" %}

---

H2C劫持

明文HTTP2（H2C）

H2C，或明文http2，通过将标准HTTP 连接升级为持久连接，偏离了短暂HTTP连接的常规。这种升级后的连接利用http2二进制协议进行持续通信，而不是明文HTTP的单请求性质。

劫持问题的关键在于反向代理的使用。通常，反向代理处理并转发HTTP请求到后端，然后返回后端的响应。然而，当HTTP请求中存在Connection: Upgrade头部（通常在websocket连接中看到），反向代理会维持客户端和服务器之间的持久连接，从而促进某些协议所需的持续交换。对于H2C连接，遵循RFC需要存在三个特定的头部：

Upgrade: h2c
HTTP2-Settings: AAMAAABkAARAAAAAAAIAAAAA
Connection: Upgrade, HTTP2-Settings

漏洞代理

当升级连接后，反向代理停止管理单独的请求，假定其路由工作在连接建立后已完成。利用H2C Smuggling 可以绕过在请求处理期间应用的反向代理规则，如基于路径的路由、身份验证和WAF处理，假定成功启动了一个H2C连接。

受影响的代理

该漏洞取决于反向代理处理 Upgrade 和有时 Connection 头的方式。以下代理在代理传递期间固有地转发这些头，从而固有地启用 H2C smuggling：

• HAProxy
• Traefik
• Nuster

相反，这些服务在代理传递期间不固有地转发这两个头。但是，它们可能配置不安全，允许未经过滤地转发 Upgrade 和 Connection 头：

• AWS ALB/CLB
• NGINX
• Apache
• Squid
• Varnish
• Kong
• Envoy
• Apache Traffic Server

利用

值得注意的是，并非所有服务器固有地转发用于符合 H2C 连接升级所需的头。因此，像 AWS ALB/CLB、NGINX 和 Apache Traffic Server 等服务器自然地阻止 H2C 连接。尽管如此，值得尝试使用不符合标准的 Connection: Upgrade 变体进行测试，该变体在 Connection 头中排除了 HTTP2-Settings 值，因为一些后端可能不符合标准。

{% hint style="danger" %} 无论在 proxy_pass URL 中指定的具体 路径 是什么（例如 http://backend:9999/socket.io），建立的连接默认为 http://backend:9999。这允许与该内部端点中的任何路径进行交互，利用这种技术。因此，在 proxy_pass URL 中指定路径不会限制访问。 {% endhint %}

工具 h2csmuggler by BishopFox 和 h2csmuggler by assetnote 通过建立 H2C 连接，有助于尝试绕过代理施加的保护，从而使得可以访问代理屏蔽的资源。

有关此漏洞的更多信息，特别是关于 NGINX 的信息，请参考 此详细资源。