Segundo a OWASP, o ataque HTTP response splitting
é um meio para um fim, não um fim em si mesmo - ou seja, é uma brecha utilizada para realizar outros tipos de ataque. Na sua raiz, o ataque é direto: um invasor passa dados mal-intencionados para um aplicativo vulnerável e o aplicativo inclui os dados em um cabeçalho de resposta HTTP.
O "HTTP response splitting" ocorre quando:
- Os dados entram em uma aplicação Web através de uma fonte não confiável, o mais freqüentemente é uma solicitação HTTP.
- Os dados são incluídos em um cabeçalho de resposta HTTP enviado a um usuário da web sem serem validados para caracteres mal-intencionados.
Para montar um ataque bem-sucedido, o aplicativo deve permitir a entrada que contém caracteres CR (carriage return,representado por %0d
ou \r
) e LF (line feed, representado por %0a
ou \n
) no cabeçalho e a plataforma subjacente deve ser vulnerável à injeção de tais caracteres. Esses caracteres não só dão aos atacantes o controle dos cabeçalhos restantes e o corpo da resposta que o aplicativo pretende enviar, mas também permitem que eles criem respostas adicionais sob seu controle.
Acredito que, em geral, essa vulnerabilidade tenha sido corrigida na maioria dos servidores de aplicativos modernos, independentemente do idioma em que o código foi escrito. Pelo menos nas questões pertinentes que encontrei em https://security.stackexchange.com/search?q=HTTP+Response+Splitting (Comunidade Stack Exchange voltada para segurança) quase todas não são necessáriamente um ataque. Mas alguns têm em comum o fato de que utilizam de brechas em proxy
e não necessáriamente o servidor web em sí, então ainda é possível que estes ataques ocorram hoje em dia.
Se você está preocupado com esse risco você deve testar na sua atual plataforma se ela permite caracteres CR ou LF sejam injetados em cabeçalhos.
O exemplo abaixo usa um exemplo de Java, mas esse problema foi corrigido em praticamente todos os servidores de aplicativos Java EE modernos. Se você está preocupado com esse risco, você deve testar na plataforma de preocupação para ver se a plataforma subjacente permite que os caracteres CR ou LF sejam injetados em cabeçalhos.
Para um exemplo prático vamos tomar a requisição:
HTTP/1.1 200 OK
Date: Thu, 13 Jul 2017 02:02:45 GMT
Last-Modified:Mon, 10 Jul 2017 21:30:06 GMT
Accept-Ranges: none
Connection: close
Content-Type: text/html; charset=UTF-8
Cookie: test=114&username=João
<html>
[...]
No entanto, como o valor do cookie é formado de entrada de usuário não validada eu posso alterar meu nome de usuário 'João' e incluir CRLF (como expliquei acima) no campo. Um atacante poderia então injetar um conteúdo malicioso na página, por exemplo, seria possível configurar o username
para 'João\r\n\r\nconteúdo malicioso ... `, o que resultaria na seguinte resposta HTTP:
HTTP/1.1 200 OK
Date: Thu, 13 Jul 2017 02:02:45 GMT
Last-Modified:Mon, 10 Jul 2017 21:30:06 GMT
Accept-Ranges: none
Connection: close
Content-Type: text/html; charset=UTF-8
Cookie: test=114&username=João
<script>conteúdo malicioso ... </script>
<html>
...
Neste exemplo um código JavaScript foi injetado na página. Esta é uma forma de injecção XSS/DOM através do ataque de "splitting" mas não necessáriamente um HTTP response splitting
, mas utiliza da mesma técnica para injetar algum código malicioso na página.
Vamos agora por exemplo alterar o código malicioso para algo como "João\r\n\r\nContent-Length: 45\r\n\r\nconteúdo malicioso ... ", a resposta HTTP seria dividida em uma resposta imposter seguida pela resposta original , Que agora é ignorado:
HTTP/1.1 200 OK
Date: Thu, 13 Jul 2017 02:02:45 GMT
Last-Modified:Mon, 10 Jul 2017 21:30:06 GMT
Accept-Ranges: none
Connection: close
Content-Type: text/html; charset=UTF-8
Cookie: test=114&username=João
Content-Length: 45
<html>conteúdo malicioso ... </html>
<html>conteúdo original começa após o 46º caracter e é ignorado.[...]
Em um servidor desprotegido você poderia enviar os caracteres CRLF através da querystring:
http://www.yoursite.com/somepage.php?page=%0d%0aContent-Type: text/html%0d%0aHTTP/1.1 200 OK%0d%0aContent-Type: text/html%0d%0a%0d%0a%3Cscript%3Ealert(1)%3C/script%3E
O cliente iria ver o resultado do script, que nesse caso é um simples alert:
<script>alert(1)</script>
Se ao fazer um teste como esse em sua aplicação, e for possível ver o alert seu sistema está vulnerável a injeção CRLF, logo vulnerável à HTTP response splitting
.
A capacidade do atacante para construir respostas HTTP didividas com o HTTP response splitting
, permite vários outros ataques resultantes, incluindo: Cross-User Defacement, Cache Poisoning, Cross-site Scripting (XSS) and Page Hijacking.