El contrabando de solicitudes HTTP es una explotación de seguridad en el protocolo HTTP que utiliza la incoherencia entre la interpretación Content-length
y / o los Transfer-encoding
encabezados entre las implementaciones del servidor HTTP en una cadena de servidor proxy HTTP . [1] [2] Fue documentado por primera vez en 2005, y nuevamente fue repopularizado por la investigación de PortSwigger. [3]
Tipos
CL.TE
En este tipo de contrabando de solicitudes HTTP, el front-end procesa la solicitud usando el encabezado Content-Length mientras que el backend procesa la solicitud usando el encabezado Transfer-Encoding. [3]
TE.CL
En este tipo de contrabando de solicitudes HTTP, la interfaz procesa la solicitud mediante el encabezado Transfer-Encoding, mientras que el backend procesa la solicitud mediante el encabezado Content-Length. [3]
Prevención
Se debe usar HTTP / 2 para conexiones de back-end y se debe usar un servidor web que acepte el mismo tipo de encabezado HTTP. [3]
Referencias
- ^ "CWE - CWE-444: Interpretación inconsistente de solicitudes HTTP ('Contrabando de solicitudes HTTP') (4.0)" . cwe.mitre.org . Consultado el 13 de marzo de 2020 .
- ^ "¿Qué es el contrabando de solicitudes HTTP? Tutorial y ejemplos | Web Security Academy" . portswigger.net . Consultado el 13 de marzo de 2020 .
- ^ a b c d "Contrabando de solicitudes HTTP" .