4.1 KiB
升级头部劫持
从零开始学习AWS黑客技术，成为专家 htARTE（HackTricks AWS Red Team Expert）！
支持HackTricks的其他方式：
- 如果您想看到您的公司在HackTricks中做广告或下载PDF格式的HackTricks，请查看订阅计划!
- 获取官方PEASS & HackTricks周边产品
- 探索PEASS家族，我们的独家NFTs
- 加入 💬 Discord群 或 电报群 或 关注我们的Twitter 🐦 @carlospolopm。
- 通过向HackTricks和HackTricks Cloud github仓库提交PR来分享您的黑客技巧。
H2C劫持
明文HTTP2（H2C）
H2C，或明文http2，通过将标准HTTP 连接升级为持久连接，偏离了短暂HTTP连接的常规。这种升级后的连接利用http2二进制协议进行持续通信，而不是明文HTTP的单请求性质。
劫持问题的关键在于反向代理的使用。通常，反向代理处理并转发HTTP请求到后端，然后返回后端的响应。然而，当HTTP请求中存在Connection: Upgrade头部（通常在websocket连接中看到），反向代理会维持客户端和服务器之间的持久连接，从而促进某些协议所需的持续交换。对于H2C连接，遵循RFC需要存在三个特定的头部：
Upgrade: h2c
HTTP2-Settings: AAMAAABkAARAAAAAAAIAAAAA
Connection: Upgrade, HTTP2-Settings
漏洞代理
当升级连接后，反向代理停止管理单个请求，假设其路由工作在连接建立后已完成。利用H2C Smuggling 可以绕过反向代理在请求处理期间应用的规则，如基于路径的路由、身份验证和WAF处理，假设成功启动了一个H2C连接。
受影响的代理
该漏洞取决于反向代理处理 Upgrade 和有时 Connection 头的方式。以下代理在代理传递期间固有地转发这些头，从而固有地启用 H2C smuggling：
- HAProxy
- Traefik
- Nuster
相反，这些服务在代理传递期间不固有地转发这两个头。但是，它们可能配置不安全，允许未经过滤地转发 Upgrade 和 Connection 头：
- AWS ALB/CLB
- NGINX
- Apache
- Squid
- Varnish
- Kong
- Envoy
- Apache Traffic Server
利用
值得注意的是，并非所有服务器固有地转发用于符合 H2C 连接升级所需的头。因此，像 AWS ALB/CLB、NGINX 和 Apache Traffic Server 等服务器自然地阻止 H2C 连接。尽管如此，值得尝试使用不符合标准的 Connection: Upgrade 变体，该变体在 Connection 头中排除了 HTTP2-Settings 值，因为一些后端可能不符合标准。
{% hint style="danger" %}
无论在 proxy_pass URL 中指定的具体 路径 是什么（例如 http://backend:9999/socket.io），建立的连接默认为 http://backend:9999。这允许与该内部端点中的任何路径进行交互，利用这种技术。因此，在 proxy_pass URL 中指定路径不会限制访问。
{% endhint %}
工具 h2csmuggler by BishopFox 和 h2csmuggler by assetnote 通过建立 H2C 连接，有助于尝试绕过代理施加的保护，从而访问被代理屏蔽的资源。
有关此漏洞的更多信息，特别是关于 NGINX 的信息，请参阅 此详细资源。