新的差分模糊测试工具揭示了新型HTTP请求夹带攻击技术

本文主要是介绍新的差分模糊测试工具揭示了新型HTTP请求夹带攻击技术,希望对大家解决编程问题提供一定的参考价值,需要的开发者们随着小编来一起学习吧!

白皮书系统性地诊察了攻击,同时展示了一系列新的缺陷清单

研究人员发布了一种新的模糊测试工具,用于寻找新型HTTP请求夹带攻击技术技术。

该工具被称为“T-Reqs”,由来自东北大学、波士顿和 Akamai 的团队研发搭建。

在一份白皮书 (PDF) 中,研究人员讨论了他们如何使用模糊测试工具发现大量新漏洞,他们表示漏洞赏金猎人和研究人员都可以使用这些漏洞。

HTTP历史

于2005年首次出现的 HTTP请求夹带攻击会干扰网站处理从用户接收的 HTTP 请求序列的方式。负载平衡器(又名反向代理)通常通过同一网络连接将多个 HTTP 请求连续转发到后端服务器。

如果前端和后端服务器之间存在差异,它可以允许攻击者通过代理夹带隐藏的请求。这可能会产生深远的影响,并导致帐户劫持和缓存中毒等情况。

先前对该漏洞的研究针对的是Content-Length和 Transfer-Encoding请求头。

这项新研究转向将HTTP 请求夹带作为一个系统交互问题来关注,该问题涉及流量路径上至少两个 HTTP 协议处理器。

论文中写道:“这些协议处理器可能不一定是独立的错误;但是当一起使用时,它们在给定 HTTP 请求的解析或语义上存在分歧,这会导致漏洞。

“HRS的关键一层在之前的工作中没有被探索到。再者,以前的攻击集中在对上述两个 HTTP 请求头的恶意操作。

“是否可以篡改剩余HTTP 请求头或 HTTP 请求的其余部分以引起类似的处理差异仍然是未知数。”

HTTP历史

T-Reqs 是“两个请求”的简写,是一个基于语法的HTTP漏洞检查工具,它生成 HTTP 请求并修改它们以触发潜在的服务器处理异常。

它使用同样的修改过的请求在两个目标服务器执行,并比较其返回结果以识别导致夹带攻击的不一样的地方。

Akamai 的 Kaan Onarlioglu 在接受 The Daily Swig 采访时说:“T-Reqs 是一个运行在实验设备服务器的漏洞检查工具。

“它是一种发现新型夹带漏洞的工具。这对服务器开发人员特别有用,事实上我们论文中提到的几家供应商现在正在使用它进行内部测试。

“T-Reqs不是为测试实时 Web 应用程序而设计的;它不是重复以前已知的夹带payloads的渗透测试工具。Burp Suite 的 HTTP Request Smuggler 扩展程序更适合这种情况。

“我们设想社区将加强和使用 T-Reqs 来发现新的漏洞,然后将这些payloads与他们的测试工具和流程集成。”

Onarlioglu 说,他们决定研究这个主题是因为 HTTP 规范非常复杂,因此团队认为“存在大量带有异常的服务器技术”,而且“肯定存在大量夹带请求的机会”。

研究人员说:“我们的研究验证了这一假设。我们对主流的10种代理/服务器技术与HTTP请求各个部分形成的所有组合都做了测试。我们发现了一系列全新漏洞!”

白皮书包含有关漏洞的更多信息以及更多技术细节。

以系统为中心

Onarlioglu 告诉 The Daily Swig:“请求夹带的迷人之处在于它是一个系统问题。即使我们能想出一个神奇的开发过程并开始打造完美的服务器,面对请求夹带,它们仍然会失败。

“安全组件不一定构成安全系统;安全性是整个系统的一个紧急属性。

“研究人员并不从传统角度看待安全性,但随着越来越普遍的攻击,如夹带、缓存中毒和缓存欺骗,这种情况正在发生变化。

“我的团队坚信以系统为中心的观点是阻止下一代网络攻击的关键,因此我们正在积极研究这个领域。”


资源分享

下方这份完整的软件测试视频学习教程已经上传CSDN官方认证的二维码,朋友们如果需要可以自行免费领取 【保证100%免费】

在这里插入图片描述

在这里插入图片描述

这篇关于新的差分模糊测试工具揭示了新型HTTP请求夹带攻击技术的文章就介绍到这儿,希望我们推荐的文章对编程师们有所帮助!



http://www.chinasem.cn/article/421859

相关文章

Java利用JSONPath操作JSON数据的技术指南

《Java利用JSONPath操作JSON数据的技术指南》JSONPath是一种强大的工具,用于查询和操作JSON数据,类似于SQL的语法,它为处理复杂的JSON数据结构提供了简单且高效... 目录1、简述2、什么是 jsONPath?3、Java 示例3.1 基本查询3.2 过滤查询3.3 递归搜索3.4

Python中随机休眠技术原理与应用详解

《Python中随机休眠技术原理与应用详解》在编程中,让程序暂停执行特定时间是常见需求,当需要引入不确定性时,随机休眠就成为关键技巧,下面我们就来看看Python中随机休眠技术的具体实现与应用吧... 目录引言一、实现原理与基础方法1.1 核心函数解析1.2 基础实现模板1.3 整数版实现二、典型应用场景2

SpringBoot使用OkHttp完成高效网络请求详解

《SpringBoot使用OkHttp完成高效网络请求详解》OkHttp是一个高效的HTTP客户端,支持同步和异步请求,且具备自动处理cookie、缓存和连接池等高级功能,下面我们来看看SpringB... 目录一、OkHttp 简介二、在 Spring Boot 中集成 OkHttp三、封装 OkHttp

Go语言中最便捷的http请求包resty的使用详解

《Go语言中最便捷的http请求包resty的使用详解》go语言虽然自身就有net/http包,但是说实话用起来没那么好用,resty包是go语言中一个非常受欢迎的http请求处理包,下面我们一起来学... 目录安装一、一个简单的get二、带查询参数三、设置请求头、body四、设置表单数据五、处理响应六、超

web网络安全之跨站脚本攻击(XSS)详解

《web网络安全之跨站脚本攻击(XSS)详解》:本文主要介绍web网络安全之跨站脚本攻击(XSS)的相关资料,跨站脚本攻击XSS是一种常见的Web安全漏洞,攻击者通过注入恶意脚本诱使用户执行,可能... 目录前言XSS 的类型1. 存储型 XSS(Stored XSS)示例:危害:2. 反射型 XSS(Re

如何使用Docker部署FTP和Nginx并通过HTTP访问FTP里的文件

《如何使用Docker部署FTP和Nginx并通过HTTP访问FTP里的文件》本文介绍了如何使用Docker部署FTP服务器和Nginx,并通过HTTP访问FTP中的文件,通过将FTP数据目录挂载到N... 目录docker部署FTP和Nginx并通过HTTP访问FTP里的文件1. 部署 FTP 服务器 (

Qt实现发送HTTP请求的示例详解

《Qt实现发送HTTP请求的示例详解》这篇文章主要为大家详细介绍了如何通过Qt实现发送HTTP请求,文中的示例代码讲解详细,具有一定的借鉴价值,感兴趣的小伙伴可以跟随小编一起学习一下... 目录1、添加network模块2、包含改头文件3、创建网络访问管理器4、创建接口5、创建网络请求对象6、创建一个回复对

springMVC返回Http响应的实现

《springMVC返回Http响应的实现》本文主要介绍了在SpringBoot中使用@Controller、@ResponseBody和@RestController注解进行HTTP响应返回的方法,... 目录一、返回页面二、@Controller和@ResponseBody与RestController

SpringBoot项目注入 traceId 追踪整个请求的日志链路(过程详解)

《SpringBoot项目注入traceId追踪整个请求的日志链路(过程详解)》本文介绍了如何在单体SpringBoot项目中通过手动实现过滤器或拦截器来注入traceId,以追踪整个请求的日志链... SpringBoot项目注入 traceId 来追踪整个请求的日志链路,有了 traceId, 我们在排

如何使用Java实现请求deepseek

《如何使用Java实现请求deepseek》这篇文章主要为大家详细介绍了如何使用Java实现请求deepseek功能,文中的示例代码讲解详细,感兴趣的小伙伴可以跟随小编一起学习一下... 目录1.deepseek的api创建2.Java实现请求deepseek2.1 pom文件2.2 json转化文件2.2