新的差分模糊测试工具揭示了新型HTTP请求夹带攻击技术

本文主要是介绍新的差分模糊测试工具揭示了新型HTTP请求夹带攻击技术,希望对大家解决编程问题提供一定的参考价值,需要的开发者们随着小编来一起学习吧!

白皮书系统性地诊察了攻击,同时展示了一系列新的缺陷清单

研究人员发布了一种新的模糊测试工具,用于寻找新型HTTP请求夹带攻击技术技术。

该工具被称为“T-Reqs”,由来自东北大学、波士顿和 Akamai 的团队研发搭建。

在一份白皮书 (PDF) 中,研究人员讨论了他们如何使用模糊测试工具发现大量新漏洞,他们表示漏洞赏金猎人和研究人员都可以使用这些漏洞。

HTTP历史

于2005年首次出现的 HTTP请求夹带攻击会干扰网站处理从用户接收的 HTTP 请求序列的方式。负载平衡器(又名反向代理)通常通过同一网络连接将多个 HTTP 请求连续转发到后端服务器。

如果前端和后端服务器之间存在差异,它可以允许攻击者通过代理夹带隐藏的请求。这可能会产生深远的影响,并导致帐户劫持和缓存中毒等情况。

先前对该漏洞的研究针对的是Content-Length和 Transfer-Encoding请求头。

这项新研究转向将HTTP 请求夹带作为一个系统交互问题来关注,该问题涉及流量路径上至少两个 HTTP 协议处理器。

论文中写道:“这些协议处理器可能不一定是独立的错误;但是当一起使用时,它们在给定 HTTP 请求的解析或语义上存在分歧,这会导致漏洞。

“HRS的关键一层在之前的工作中没有被探索到。再者,以前的攻击集中在对上述两个 HTTP 请求头的恶意操作。

“是否可以篡改剩余HTTP 请求头或 HTTP 请求的其余部分以引起类似的处理差异仍然是未知数。”

HTTP历史

T-Reqs 是“两个请求”的简写,是一个基于语法的HTTP漏洞检查工具,它生成 HTTP 请求并修改它们以触发潜在的服务器处理异常。

它使用同样的修改过的请求在两个目标服务器执行,并比较其返回结果以识别导致夹带攻击的不一样的地方。

Akamai 的 Kaan Onarlioglu 在接受 The Daily Swig 采访时说:“T-Reqs 是一个运行在实验设备服务器的漏洞检查工具。

“它是一种发现新型夹带漏洞的工具。这对服务器开发人员特别有用,事实上我们论文中提到的几家供应商现在正在使用它进行内部测试。

“T-Reqs不是为测试实时 Web 应用程序而设计的;它不是重复以前已知的夹带payloads的渗透测试工具。Burp Suite 的 HTTP Request Smuggler 扩展程序更适合这种情况。

“我们设想社区将加强和使用 T-Reqs 来发现新的漏洞,然后将这些payloads与他们的测试工具和流程集成。”

Onarlioglu 说,他们决定研究这个主题是因为 HTTP 规范非常复杂,因此团队认为“存在大量带有异常的服务器技术”,而且“肯定存在大量夹带请求的机会”。

研究人员说:“我们的研究验证了这一假设。我们对主流的10种代理/服务器技术与HTTP请求各个部分形成的所有组合都做了测试。我们发现了一系列全新漏洞!”

白皮书包含有关漏洞的更多信息以及更多技术细节。

以系统为中心

Onarlioglu 告诉 The Daily Swig:“请求夹带的迷人之处在于它是一个系统问题。即使我们能想出一个神奇的开发过程并开始打造完美的服务器,面对请求夹带,它们仍然会失败。

“安全组件不一定构成安全系统;安全性是整个系统的一个紧急属性。

“研究人员并不从传统角度看待安全性,但随着越来越普遍的攻击,如夹带、缓存中毒和缓存欺骗,这种情况正在发生变化。

“我的团队坚信以系统为中心的观点是阻止下一代网络攻击的关键,因此我们正在积极研究这个领域。”


资源分享

下方这份完整的软件测试视频学习教程已经上传CSDN官方认证的二维码,朋友们如果需要可以自行免费领取 【保证100%免费】

在这里插入图片描述

在这里插入图片描述

这篇关于新的差分模糊测试工具揭示了新型HTTP请求夹带攻击技术的文章就介绍到这儿,希望我们推荐的文章对编程师们有所帮助!



http://www.chinasem.cn/article/421859

相关文章

SpringBoot请求参数接收控制指南分享

《SpringBoot请求参数接收控制指南分享》:本文主要介绍SpringBoot请求参数接收控制指南,具有很好的参考价值,希望对大家有所帮助,如有错误或未考虑完全的地方,望不吝赐教... 目录Spring Boot 请求参数接收控制指南1. 概述2. 有注解时参数接收方式对比3. 无注解时接收参数默认位置

Spring 请求之传递 JSON 数据的操作方法

《Spring请求之传递JSON数据的操作方法》JSON就是一种数据格式,有自己的格式和语法,使用文本表示一个对象或数组的信息,因此JSON本质是字符串,主要负责在不同的语言中数据传递和交换,这... 目录jsON 概念JSON 语法JSON 的语法JSON 的两种结构JSON 字符串和 Java 对象互转

MySQL索引的优化之LIKE模糊查询功能实现

《MySQL索引的优化之LIKE模糊查询功能实现》:本文主要介绍MySQL索引的优化之LIKE模糊查询功能实现,本文通过示例代码给大家介绍的非常详细,感兴趣的朋友一起看看吧... 目录一、前缀匹配优化二、后缀匹配优化三、中间匹配优化四、覆盖索引优化五、减少查询范围六、避免通配符开头七、使用外部搜索引擎八、分

SpringMVC获取请求参数的方法

《SpringMVC获取请求参数的方法》:本文主要介绍SpringMVC获取请求参数的方法,本文通过实例代码给大家介绍的非常详细,对大家的学习或工作具有一定的参考借鉴价值,需要的朋友可以参考下... 目录1、通过ServletAPI获取2、通过控制器方法的形参获取请求参数3、@RequestParam4、@

鸿蒙中Axios数据请求的封装和配置方法

《鸿蒙中Axios数据请求的封装和配置方法》:本文主要介绍鸿蒙中Axios数据请求的封装和配置方法,本文给大家介绍的非常详细,对大家的学习或工作具有一定的参考借鉴价值,需要的朋友参考下吧... 目录1.配置权限 应用级权限和系统级权限2.配置网络请求的代码3.下载在Entry中 下载AxIOS4.封装Htt

springboot filter实现请求响应全链路拦截

《springbootfilter实现请求响应全链路拦截》这篇文章主要为大家详细介绍了SpringBoot如何结合Filter同时拦截请求和响应,从而实现​​日志采集自动化,感兴趣的小伙伴可以跟随小... 目录一、为什么你需要这个过滤器?​​​二、核心实现:一个Filter搞定双向数据流​​​​三、完整代码

Nginx中配置HTTP/2协议的详细指南

《Nginx中配置HTTP/2协议的详细指南》HTTP/2是HTTP协议的下一代版本,旨在提高性能、减少延迟并优化现代网络环境中的通信效率,本文将为大家介绍Nginx配置HTTP/2协议想详细步骤,需... 目录一、HTTP/2 协议概述1.HTTP/22. HTTP/2 的核心特性3. HTTP/2 的优

AJAX请求上传下载进度监控实现方式

《AJAX请求上传下载进度监控实现方式》在日常Web开发中,AJAX(AsynchronousJavaScriptandXML)被广泛用于异步请求数据,而无需刷新整个页面,:本文主要介绍AJAX请... 目录1. 前言2. 基于XMLHttpRequest的进度监控2.1 基础版文件上传监控2.2 增强版多

使用Python自建轻量级的HTTP调试工具

《使用Python自建轻量级的HTTP调试工具》这篇文章主要为大家详细介绍了如何使用Python自建一个轻量级的HTTP调试工具,文中的示例代码讲解详细,感兴趣的小伙伴可以参考一下... 目录一、为什么需要自建工具二、核心功能设计三、技术选型四、分步实现五、进阶优化技巧六、使用示例七、性能对比八、扩展方向建

Mybatis 传参与排序模糊查询功能实现

《Mybatis传参与排序模糊查询功能实现》:本文主要介绍Mybatis传参与排序模糊查询功能实现,本文通过实例代码给大家介绍的非常详细,感兴趣的朋友跟随小编一起看看吧... 目录一、#{ }和${ }传参的区别二、排序三、like查询四、数据库连接池五、mysql 开发企业规范一、#{ }和${ }传参的