20

Lendo sobre cabeçalhos HTTP acabei deparando-me com uma função filter que removia tanto caracteres inválidos do valor do campo de cabeçalho (header field), quanto múltiplos caracteres CRLF. Este segundo sobre o pretexto de evitar o HTTP response splitting. Pelo o que entendi superficialmente, este ataque consiste em você definir o valor do campo contendo pelo menos dois CRLF e desta forma ter controle total do corpo da requisição.

Por exemplo:

Fake: foo\r\n\r\nHello world

Este campo de cabeçalho seria interpretado como:

Fake: foo

Hello world

Onde, então, Hello world passaria a ser interpretado como o corpo da requisição devido a linha em branco separando os cabeçalhos do conteúdo, vide especificação do HTTP. Ou melhor, se a resposta HTTP possuir algo como:

HTTP/1.1 200 OK
Fake: foo\r\n\r\nHTTP/1.1 200 OK\r\n\r\nHello World

Será interpretado como:

HTTP/1.1 200 OK
Fake: foo

HTTP/1.1 200 OK

Hello World

Ou seja, duas respostas HTTP distintas, que define o nome response splitting.

  • HTTP response splitting é isso mesmo ou entendi de forma errada?
  • Quais seriam os riscos para a aplicação não tratar essa vulnerabilidade?
  • Servidores, como Apache e Nginx, já possuem algum tipo de segurança contra isso?

Se possível, dar exemplos de requisições que fazem uso de HTTP response splitting para aproveitar-se da vulnerabilidade do servidor.

1
  • Não chega a ser uma resposta para todas as suas perguntas, porém isso não deixa de ser uma injeção a nível de cabeçalho. Só acontece se você usar algum valor digitado pelo usuário em um header sem tratamento. Ou seja, é um problema de segurança a nível de aplicação. O risco é permitir que um atacante retorne o que quiser usando um endpoint seu. Sobre a sua última pergunta, eu acredito que isso deva ser tratado a nível de aplicação e não diretamente no servidor. É responsabilidade da sua aplicação tratar os headers, potencialmente com URL encoding. 10/07/2017 às 9:20

2 Respostas 2

4
+50

Segundo a OWASP, o ataque HTTP response splitting é um meio para um fim, não um fim em si mesmo - ou seja, é uma brecha utilizada para realizar outros tipos de ataque. Na sua raiz, o ataque é direto: um invasor passa dados mal-intencionados para um aplicativo vulnerável e o aplicativo inclui os dados em um cabeçalho de resposta HTTP.

O "HTTP response splitting" ocorre quando:

  • Os dados entram em uma aplicação Web através de uma fonte não confiável, o mais freqüentemente é uma solicitação HTTP.
  • Os dados são incluídos em um cabeçalho de resposta HTTP enviado a um usuário da web sem serem validados para caracteres mal-intencionados.

Para montar um ataque bem-sucedido, o aplicativo deve permitir a entrada que contém caracteres CR (carriage return,representado por %0d ou \r) e LF (line feed, representado por %0a ou \n) no cabeçalho e a plataforma subjacente deve ser vulnerável à injeção de tais caracteres. Esses caracteres não só dão aos atacantes o controle dos cabeçalhos restantes e o corpo da resposta que o aplicativo pretende enviar, mas também permitem que eles criem respostas adicionais sob seu controle.

Acredito que, em geral, essa vulnerabilidade tenha sido corrigida na maioria dos servidores de aplicativos modernos, independentemente do idioma em que o código foi escrito. Pelo menos nas questões pertinentes que encontrei em https://security.stackexchange.com/search?q=HTTP+Response+Splitting (Comunidade Stack Exchange voltada para segurança) quase todas não são necessáriamente um ataque. Mas alguns têm em comum o fato de que utilizam de brechas em proxy e não necessáriamente o servidor web em sí, então ainda é possível que estes ataques ocorram hoje em dia.

Se você está preocupado com esse risco você deve testar na sua atual plataforma se ela permite caracteres CR ou LF sejam injetados em cabeçalhos. O exemplo abaixo usa um exemplo de Java, mas esse problema foi corrigido em praticamente todos os servidores de aplicativos Java EE modernos. Se você está preocupado com esse risco, você deve testar na plataforma de preocupação para ver se a plataforma subjacente permite que os caracteres CR ou LF sejam injetados em cabeçalhos.

Para um exemplo prático vamos tomar a requisição:

 HTTP/1.1 200 OK
 Date: Thu, 13 Jul 2017 02:02:45 GMT
 Last-Modified:Mon, 10 Jul 2017 21:30:06 GMT
 Accept-Ranges:  none
 Connection: close
 Content-Type: text/html; charset=UTF-8
 Cookie: test=114&username=João

 <html>
 [...]

No entanto, como o valor do cookie é formado de entrada de usuário não validada eu posso alterar meu nome de usuário 'João' e incluir CRLF (como expliquei acima) no campo. Um atacante poderia então injetar um conteúdo malicioso na página, por exemplo, seria possível configurar o username para 'João\r\n\r\nconteúdo malicioso ... `, o que resultaria na seguinte resposta HTTP:

 HTTP/1.1 200 OK
 Date: Thu, 13 Jul 2017 02:02:45 GMT
 Last-Modified:Mon, 10 Jul 2017 21:30:06 GMT
 Accept-Ranges:  none
 Connection: close
 Content-Type: text/html; charset=UTF-8
 Cookie: test=114&username=João

 <script>conteúdo malicioso ... </script>
 <html>
 ...

Neste exemplo um código JavaScript foi injetado na página. Esta é uma forma de injecção XSS/DOM através do ataque de "splitting" mas não necessáriamente um HTTP response splitting, mas utiliza da mesma técnica para injetar algum código malicioso na página.

Vamos agora por exemplo alterar o código malicioso para algo como "João\r\n\r\nContent-Length: 45\r\n\r\nconteúdo malicioso ... ", a resposta HTTP seria dividida em uma resposta imposter seguida pela resposta original , Que agora é ignorado:

 HTTP/1.1 200 OK
 Date: Thu, 13 Jul 2017 02:02:45 GMT
 Last-Modified:Mon, 10 Jul 2017 21:30:06 GMT
 Accept-Ranges:  none
 Connection: close
 Content-Type: text/html; charset=UTF-8
 Cookie: test=114&username=João
 Content-Length: 45

 <html>conteúdo malicioso ... </html>
 <html>conteúdo original começa após o 46º caracter e é ignorado.[...]

Em um servidor desprotegido você poderia enviar os caracteres CRLF através da querystring:

http://www.yoursite.com/somepage.php?page=%0d%0aContent-Type: text/html%0d%0aHTTP/1.1 200 OK%0d%0aContent-Type: text/html%0d%0a%0d%0a%3Cscript%3Ealert(1)%3C/script%3E

O cliente iria ver o resultado do script, que nesse caso é um simples alert:

<script>alert(1)</script>    

Se ao fazer um teste como esse em sua aplicação, e for possível ver o alert seu sistema está vulnerável a injeção CRLF, logo vulnerável à HTTP response splitting.

A capacidade do atacante para construir respostas HTTP didividas com o HTTP response splitting, permite vários outros ataques resultantes, incluindo: Cross-User Defacement, Cache Poisoning, Cross-site Scripting (XSS) and Page Hijacking.

2
  • Dúvida: Este cache poisoning se dá quando a aplicação faz o cache da resposta modificada e, assim, todos os usuários da aplicação são afetados ao acessar a página cacheada?
    – Woss
    14/07/2017 às 13:48
  • @AndersonCarlosWoss Só se o cache for externo (servidores de cache de um ISP ou proxy por exemplo) poderia estar afetando mais de um usuário. O cache privado (service worker, disk cache, etc) fica armazenado na computador do cliente, afetando apenas um cliente específico. 14/07/2017 às 13:51
2

Não se pode ter dois responses para um request. O nome vem da possibilidade de se retornar dois conteúdos no mesmo response - um falso e o outro verdadeiro, mas esse segundo será ignorado.

Usando o exemplo do Wikipedia HTTP Response Splitting:

Se vc faz um request onde o retorno se baseia na querystring, por exemplo:

GET /consoto.com/author/Jane+Smith
HTTP/1.1 200 OK
...
Set-Cookie: author=Jane Smith
...

Se se fizer o mesmo request, com injeção de CR+LF:

GET /contoso.com/author/Jane+Smith\r\nContent-Length:45\r\n\r\n...
...
Set-Cookie: author=Jane Smith
Content-Length: 999

<html>conteúdo malicioso...</html> (até 999 caracteres neste exemplo)

O conteúdo original do response irá começar a partir do caractere 1000, no que será ignorado pelo browser.

Imagine que sua aplicação, para exibir dados do perfil do seus usuario seja algo /usuarios/Anderson+Woss, um ataque seria criar uma URL /usuario/Anderson+Woss+<um formulario pedindo dados bancários> e enviar para milhares de emails. Usando seu dominio e sua credibilidade para obter vantagens ilícitas.

Não existe motivo de publicadores web se "protegerem" disso, pois é possível que esse seja um request válido para sua aplicação. Depende do seu negócio.

Para prevenir isso, existem recursos de HTTP Filters. Isso em qualquer tecnologia web. E por lá vc pode prevenir esse tipo de exploit.

5
  • E a pergunta mais importante: quais são os riscos potenciais para a aplicação? Pois pelo o que entendi ambas as respostas só serão entregues ao atacante, então qual seria o problema?
    – Woss
    10/07/2017 às 12:02
  • 1
    Imagine que sua aplicação, para exibir dados do perfil do seus usuario seja algo /usuarios/Anderson+Woss, um ataque seria criar uma URL /usuario/Anderson+Woss+<um formulario pedindo dados bancários> e enviar para milhares de emails. Usando seu dominio e sua credibilidade para obter vantagens ilícitas. 10/07/2017 às 14:09
  • se são informações pertinentes a pergunta, peço que as insira diretamente na resposta, não nos comentários.
    – Woss
    10/07/2017 às 16:37
  • 1
    De acordo, está lá. 10/07/2017 às 16:44
  • Que negativou, favor se manifestar. 18/07/2017 às 6:26

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .