HTTP विभाजन और HTTP तस्करी के बीच अंतर?

Question

HTTP स्प्लिटिंग HTTP स्मगलिंग के बीच प्रमुख अंतर क्या है?

प्रमुख समानता HTTP विभाजन HTTP स्मगलिंग क्या है?

Answer 1

वेब एप्लिकेशन की कमजोरियों का शोषण करना या विभिन्न एजेंटों ने HTTP संदेशों की व्याख्या करने के तरीके में विशिष्टताओं का शोषण किया। यह खंड दो अलग-अलग हमलों का विश्लेषण करेगा कि लक्ष्य विशिष्ट HTTP हेडर:

पहला हमला जो सीआर और वामो वर्ण सम्मिलित करने के लिए आवेदन प्रतिक्रिया और के शीर्ष लेख के लिए 'में एक घुसपैठिए की अनुमति देता है इनपुट सफ़ाई की कमी कारनामे विभाजित ' जो दो अलग-अलग HTTP संदेशों में जवाब देता है। का लक्ष्य हमला स्क्रिप्टिंग साइट पर कैश विषाक्तता से भिन्न हो सकता है।

दूसरे हमले में, हमलावर तथ्य है कि कुछ विशेष रूप से तैयार HTTP संदेशों पार्स किया जा सकता और एजेंट है कि उन्हें प्राप्त करता है पर निर्भर करता है अलग तरीके से व्याख्या दोहन करता है। HTTP smuggling को विभिन्न एजेंट के बारे में जानकारी के कुछ के बारे में जानकारी है जो HTTP संदेश (वेब ​​सर्वर, प्रॉक्सी, फ़ायरवॉल) को प्रबंधित कर रहे हैं और इसलिए केवल ग्रे बॉक्स परीक्षण अनुभाग में शामिल किया जाएगा।

https://www.owasp.org/index.php/Testing_for_HTTP_Splitting/Smuggling_(OTG-INPVAL-016)

Answer 2

HTTP बंटवारेप्रतिक्रियाओं या अनुरोध HTTP में (अक्सर प्रतिक्रियाएं) बंटवारे की सच्चाई है। आपके पास ऐसा करने के कई तरीके हैं। कुछ अनुप्रयोग कस्टम HTTP रीडायरेक्ट (30x) में उपयोग किए गए होस्टनामों में लाइनों के अंत को रोकने के लिए भूल जाएंगे, उदाहरण के लिए, या पिछले ब्राउज़र में डाइजेस्ट HTTP प्रमाणीकरण उपयोगकर्ता नामों में लाइनों के अंत का उपयोग करते समय विभाजित अनुरोध में धोखा दिया जा सकता है।

जब आपके पास इस तरह की समस्या है (एप्लिकेशन त्रुटियां) तो आप अंतिम उपयोगकर्ता (जैसे एक्सएसएस के साथ) को ट्रिगर करने वाले हमलों का निर्माण कर सकते हैं, जिससे उपयोगकर्ताओं को यूआरएल का अनुरोध करने के लिए, पहली प्रतिक्रिया में सामग्री इंजेक्ट करने और नियमित प्रतिक्रिया देने के लिए विभाजन का उपयोग करके एक अतिरिक्त प्रतिक्रिया के रूप में त्याग दिया। जिसका अर्थ है कि आप अनुरोध को विभाजित कर सकते हैं लेकिन एक यूआरएल से प्रतिक्रिया सामग्री भी इंजेक्ट कर सकते हैं, यह एक बहुत ही विशिष्ट संयोजन है, यूआरएल पूरे हमले को ले जा सकता है।

लेकिन एक HTTP सर्वर (जैसे डबल Content-Length हेडर) द्वारा प्रोटोकॉल पार्सिंग में सीधे एक दोष का उपयोग करके विभाजन त्रुटियों के बिना विभाजन भी किया जा सकता है। यूआरएल हमले नहीं लेता है। यहां विभाजन एक तथ्य है, (हमले के बाद विभाजित एक अनुरोध या प्रतिक्रिया है), लेकिन इसका कोई प्रत्यक्ष परिणाम नहीं है। वह उपकरण है।

HTTP स्मगलिंग HTTP विभाजन के उपयोग से, एक और वैश्विक बात है, लेकिन न केवल। एक आवेदन के दोष के बिना, एक पूर्ण तस्करी हमले (कैश विषाक्तता या सुरक्षा फ़िल्टर बाईपास की ओर अग्रसर) करने के लिए, आपको ट्रांसमीटरों, वेब एजेंटों जैसे प्रॉक्सीज़ की आवश्यकता होती है, जो विभाजित हमले और लक्ष्य (जैसे कैश) को विभाजित करते हैं जो विभाजन से प्रभावित होते हैं।

This post may interest you for details।