Parameter Pollution
Last updated
Last updated
Impara e pratica Hacking AWS:HackTricks Training AWS Red Team Expert (ARTE) Impara e pratica Hacking GCP: HackTricks Training GCP Red Team Expert (GRTE)
L'Inquinamento dei Parametri HTTP (HPP) è una tecnica in cui gli attaccanti manipolano i parametri HTTP per cambiare il comportamento di un'applicazione web in modi non intenzionati. Questa manipolazione avviene aggiungendo, modificando o duplicando i parametri HTTP. L'effetto di queste manipolazioni non è direttamente visibile all'utente, ma può alterare significativamente la funzionalità dell'applicazione sul lato server, con impatti osservabili sul lato client.
Un URL di transazione di un'applicazione bancaria:
URL Originale: https://www.victim.com/send/?from=accountA&to=accountB&amount=10000
Inserendo un ulteriore parametro from:
URL Manipolato: https://www.victim.com/send/?from=accountA&to=accountB&amount=10000&from=accountC
La transazione potrebbe essere erroneamente addebitata a accountC invece di accountA, dimostrando il potenziale dell'HPP di manipolare transazioni o altre funzionalità come il ripristino della password, le impostazioni 2FA o le richieste di chiavi API.
Il modo in cui i parametri vengono analizzati e prioritizzati dipende dalla tecnologia web sottostante, influenzando come l'HPP può essere sfruttato.
Strumenti come Wappalyzer aiutano a identificare queste tecnologie e i loro comportamenti di parsing.
Caso di Manipolazione OTP:
Contesto: Un meccanismo di login che richiede una Password Usa e Getta (OTP) è stato sfruttato.
Metodo: Intercettando la richiesta OTP utilizzando strumenti come Burp Suite, gli attaccanti hanno duplicato il parametro email nella richiesta HTTP.
Risultato: L'OTP, destinato all'email iniziale, è stato invece inviato al secondo indirizzo email specificato nella richiesta manipolata. Questa vulnerabilità ha consentito l'accesso non autorizzato eludendo la misura di sicurezza prevista.
Questo scenario evidenzia una grave svista nel backend dell'applicazione, che ha elaborato il primo parametro email per la generazione dell'OTP ma ha utilizzato l'ultimo per la consegna.
Caso di Manipolazione della Chiave API:
Scenario: Un'applicazione consente agli utenti di aggiornare la propria chiave API tramite una pagina delle impostazioni del profilo.
Vettore di Attacco: Un attaccante scopre che aggiungendo un ulteriore parametro api_key alla richiesta POST, può manipolare l'esito della funzione di aggiornamento della chiave API.
Tecnica: Utilizzando uno strumento come Burp Suite, l'attaccante crea una richiesta che include due parametri api_key: uno legittimo e uno malevolo. Il server, elaborando solo l'ultima occorrenza, aggiorna la chiave API al valore fornito dall'attaccante.
Risultato: L'attaccante ottiene il controllo sulla funzionalità API della vittima, potenzialmente accedendo o modificando dati privati in modo non autorizzato.
Questo esempio sottolinea ulteriormente la necessità di una gestione sicura dei parametri, specialmente in funzionalità critiche come la gestione delle chiavi API.
Il modo in cui le tecnologie web gestiscono i parametri HTTP duplicati varia, influenzando la loro suscettibilità agli attacchi HPP:
Flask: Adozione del primo valore del parametro incontrato, come a=1 in una stringa di query a=1&a=2, privilegiando l'istanza iniziale rispetto ai duplicati successivi.
PHP (su Apache HTTP Server): Al contrario, privilegia l'ultimo valore del parametro, optando per a=2 nell'esempio fornito. Questo comportamento può involontariamente facilitare gli exploit HPP onorando il parametro manipolato dall'attaccante rispetto all'originale.
Impara e pratica Hacking AWS:HackTricks Training AWS Red Team Expert (ARTE) Impara e pratica Hacking GCP: HackTricks Training GCP Red Team Expert (GRTE)
