Golang
Last updated
Last updated
Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Learn & practice GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
Goプログラミング言語では、HTTPリクエストを処理する際の一般的な慣行として、net/httpライブラリを使用してリクエストパスを標準化された形式に自動的に変換することがあります。このプロセスには以下が含まれます：
スラッシュ（/）で終わるパス（例：/flag/）は、スラッシュのない対応するパス/flagにリダイレクトされます。
/../flagのようなディレクトリトラバーサルシーケンスを含むパスは簡略化され、/flagにリダイレクトされます。
/flag/.のように末尾にピリオドがあるパスも、クリーンなパス/flagにリダイレクトされます。
しかし、CONNECTメソッドの使用に関しては例外が見られます。他のHTTPメソッドとは異なり、CONNECTはパスの正規化プロセスをトリガーしません。この動作は、保護されたリソースにアクセスするための潜在的な手段を開きます。curlでCONNECTメソッドを--path-as-isオプションと共に使用することで、標準のパス正規化をバイパスし、制限された領域に到達する可能性があります。
以下のコマンドは、この動作を利用する方法を示しています：
AWSハッキングを学び、練習する：HackTricks Training AWS Red Team Expert (ARTE) GCPハッキングを学び、練習する：HackTricks Training GCP Red Team Expert (GRTE)
