CRLF (%0D%0A) Injection
バグバウンティのヒント: ハッカーによって作成されたプレミアムなバグバウンティプラットフォームである Intigriti に サインアップ してください!今すぐ https://go.intigriti.com/hacktricks に参加して、最大 $100,000 のバウンティを獲得し始めましょう!
CRLF
キャリッジリターン(CR)とラインフィード(LF)は、HTTPプロトコルで使用される特別な文字シーケンスで、行の終わりや新しい行の開始を示すために使用されます。Webサーバーとブラウザは、HTTPヘッダーとレスポンスの本文を区別するためにCRLFを使用します。これらの文字は、ApacheやMicrosoft IISなどのさまざまなWebサーバータイプでHTTP/1.1通信で普遍的に使用されています。
CRLF インジェクション脆弱性
CRLF インジェクションは、CRとLF文字をユーザー提供の入力に挿入することを含みます。このアクションにより、サーバー、アプリケーション、またはユーザーが挿入されたシーケンスを1つのレスポンスの終わりと別のレスポンスの開始と誤解するようになります。これらの文字自体には有害性がないですが、誤用するとHTTPレスポンスの分割やその他の悪意ある活動につながる可能性があります。
例: ログファイル内の CRLF インジェクション
管理パネル内のログファイルを考えてみましょう。フォーマットは次のようになります:IP - 時間 - 訪問したパス
。典型的なエントリは次のようになります:
攻撃者はこのログを操作するためにCRLFインジェクションを悪用できます。HTTPリクエストにCRLF文字をインジェクトすることで、攻撃者は出力ストリームを変更し、ログエントリを偽造することができます。たとえば、インジェクトされたシーケンスによって、ログエントリが次のように変換される可能性があります:
ここで、%0d
と %0a
は CR と LF の URL エンコード形式を表します。攻撃後、ログには誤解を招くように表示されます:
攻撃者は、悪意のある活動をローカルホスト(通常、サーバー環境内で信頼されるエンティティ)がアクションを実行したかのように見せかけます。サーバーは、%0d%0a
で始まるクエリの一部を単一のパラメータとして解釈し、restrictedaction
パラメータは別の独立した入力として解析されます。操作されたクエリは、正当な管理コマンドを模倣する効果的なものとなります:/index.php?page=home&restrictedaction=edit
HTTPレスポンス分割
説明
HTTPレスポンス分割は、攻撃者がHTTPレスポンスの構造を悪用する際に生じるセキュリティ脆弱性です。この構造は、特定の文字シーケンス、キャリッジリターン(CR)に続くラインフィード(LF)でヘッダーと本文を分離します。これらは合わせてCRLFと呼ばれます。攻撃者がレスポンスヘッダーにCRLFシーケンスを挿入することに成功すれば、後続のレスポンスコンテンツを効果的に操作できます。この種の操作は、深刻なセキュリティ問題、特にクロスサイトスクリプティング(XSS)につながる可能性があります。
HTTPレスポンス分割を通じたXSS
アプリケーションは、次のようにカスタムヘッダーを設定します:
X-Custom-Header: UserInput
アプリケーションは、
UserInput
の値をクエリパラメータから取得します。適切な入力検証とエンコーディングが欠如しているシナリオでは、攻撃者はCRLFシーケンスに続く悪意のあるコンテンツを含むペイロードを作成できます。攻撃者は、特別に作成された 'user_input' を含むURLを作成します:
?user_input=Value%0d%0a%0d%0a<script>alert('XSS')</script>
このURLでは、
%0d%0a%0d%0a
はCRLFCRLFのURLエンコード形式です。これにより、サーバーがCRLFシーケンスを挿入し、後続の部分をレスポンス本文として扱うように誤認させます。
サーバーは、攻撃者の入力をレスポンスヘッダーに反映し、悪意のあるスクリプトがブラウザによってレスポンス本文の一部として解釈される意図しないレスポンス構造をもたらします。
リダイレクトにつながるHTTPレスポンス分割の例
ブラウザへ:
そして、サーバーは次のヘッダーを返します:
他の例: (from https://www.acunetix.com/websitesecurity/crlf-injection/)
URLパス内
サーバーからのレスポンスを制御するために、URLパス内にペイロードを送信できます(こちらの例から):
Check more examples in:
HTTPヘッダーインジェクション
HTTPヘッダーインジェクションは、しばしばCRLF(キャリッジリターンおよび改行)インジェクションを介して悪用され、攻撃者がHTTPヘッダーを挿入できるようにします。これにより、XSS(クロスサイトスクリプティング)フィルターやSOP(同一オリジンポリシー)などのセキュリティメカニズムが崩れ、CSRFトークンなどの機密データへの不正アクセスや、クッキーの植え付けを通じたユーザーセッションの操作が可能になります。
HTTPヘッダーインジェクションを介したCORSの悪用
攻撃者はHTTPヘッダーを注入してCORS(クロスオリジンリソース共有)を有効にし、SOPによって課せられた制限をバイパスすることができます。この侵害により、悪意のあるオリジンからのスクリプトが異なるオリジンのリソースとやり取りし、保護されたデータにアクセスする可能性があります。
CRLFを介したSSRFおよびHTTPリクエストインジェクション
CRLFインジェクションを使用して、完全に新しいHTTPリクエストを作成およびインジェクションすることができます。これの注目すべき例は、PHPのSoapClient
クラス内のuser_agent
パラメータにある脆弱性です。このパラメータを操作することで、攻撃者は追加のヘッダーや本文コンテンツを挿入したり、新しいHTTPリクエストを完全にインジェクトしたりすることができます。以下は、この悪用を示すPHPの例です:
リクエストスマグリングへのヘッダーインジェクション
この技術や潜在的な問題についての詳細は、元のソースをチェックしてください。
初期リクエストへの応答後にバックエンドが接続を維持するようにするために、重要なヘッダーをインジェクトできます。
悪用:
悪意のあるプレフィックスインジェクション: この方法は、次のユーザーのリクエストまたはWebキャッシュを毒することを含みます。悪意のあるプレフィックスを指定します。例:
GET /%20HTTP/1.1%0d%0aHost:%20redacted.net%0d%0aConnection:%20keep-alive%0d%0a%0d%0aGET%20/redirplz%20HTTP/1.1%0d%0aHost:%20oastify.com%0d%0a%0d%0aContent-Length:%2050%0d%0a%0d%0a HTTP/1.1
レスポンスキューポイズニングのためのプレフィックスの作成: このアプローチは、トレイリングジャンクと組み合わせると完全な2番目のリクエストが形成されるプレフィックスを作成することを含みます。これにより、レスポンスキューポイズニングがトリガーされる可能性があります。例:
GET /%20HTTP/1.1%0d%0aHost:%20redacted.net%0d%0aConnection:%20keep-alive%0d%0a%0d%0aGET%20/%20HTTP/1.1%0d%0aFoo:%20bar HTTP/1.1
Memcacheインジェクション
Memcacheはクリアテキストプロトコルを使用するキーバリューストアです。詳細は以下を参照してください:
page11211 - Pentesting Memcache詳細については元の解説 を読んでください
プラットフォームがHTTPリクエストからデータを取得し、サニタイズせずにそれを使用してmemcacheサーバーにリクエストを実行する場合、攻撃者はこの動作を悪用して新しいmemcacheコマンドをインジェクトする可能性があります。
たとえば、元の脆弱性の発見では、キャッシュキーが使用され、ユーザーが接続すべきIPとポートを返し、攻撃者はキャッシュを毒して被害者の詳細(ユーザー名とパスワードを含む)を攻撃者のサーバーに送信するmemcacheコマンドをインジェクトできました。
さらに、研究者は、memcacheの応答をデシンクして、攻撃者が知らないユーザーに攻撃者のIPとポートを送信できることを発見しました。
WebアプリケーションでのCRLF / HTTPヘッダーインジェクションの防止方法
WebアプリケーションでのCRLF(キャリッジリターンおよびラインフィード)またはHTTPヘッダーインジェクションのリスクを軽減するために、次の戦略が推奨されます:
レスポンスヘッダーに直接ユーザー入力を避ける: 最も安全なアプローチは、ユーザー提供の入力を直接レスポンスヘッダーに組み込まないことです。
特殊文字のエンコード: 直接ユーザー入力を避けることができない場合は、CR(キャリッジリターン)やLF(ラインフィード)などの特殊文字をエンコードするための専用の関数を使用してください。この実践により、CRLFインジェクションの可能性を防ぎます。
プログラミング言語の更新: Webアプリケーションで使用されるプログラミング言語を定期的に最新バージョンに更新してください。HTTPヘッダーを設定する関数内でCRおよびLF文字のインジェクションをデフォルトで許可しないバージョンを選択してください。
チートシート
自動ツール
ブルートフォース検出リスト
参考文献
バグバウンティのヒント: Intigriti にサインアップしてください。これは、ハッカーによって作成されたプレミアムバグバウンティプラットフォームです!https://go.intigriti.com/hacktricks で参加し、最大**$100,000**のバウンティを獲得しましょう!
Last updated