Перейти к навигации Перейти к поиску
| HTTP |
|---|
| Способы запроса |
| Поля заголовка |
| Коды состояния |
| Методы управления безопасным доступом |
| Уязвимости безопасности |
HTTP Parameter Pollution или коротко HPP - это уязвимость, которая возникает из-за передачи нескольких параметров с одинаковыми именами. Не существует стандарта RFC о том, что следует делать при передаче нескольких параметров. Эта уязвимость была впервые обнаружена в 2009 году. [1] HPP можно было использовать для кросс-канального загрязнения, минуя защиту CSRF и проверки входных данных WAF . [2]
Поведение [ править ]
Вот как ведет себя бэкэнд при передаче нескольких параметров с одинаковым именем
| Технологии | Результат разбора | Пример |
|---|---|---|
| ASP.NET/IIS | Все вхождения объединяются запятой | параметр = значение1, значение2 |
| ASP / IIS | Все вхождения объединяются запятой | параметр = значение1, значение2 |
| PHP / Apache | Только последнее появление | param = val2 |
| PHP / Зевс | Только последнее появление | param = val2 |
| JSP, сервлет / Apache Tomcat | Только первое появление | param = val1 |
| JSP, сервлет / сервер приложений Oracle | Только первое появление | param = val1 |
| JSP, сервлет / пристань | Только первое появление | param = val1 |
| IBM Lotus Domino | Только последнее появление | param = val2 |
| IBM HTTP Server | Только первое появление | param = val1 |
| mod_perl, libapreq2 / Apache | Только первое появление | param = val1 |
| Perl CGI / Apache | Только первое появление | param = val1 |
| mod_wsgi (Python) / Apache | Только первое появление | param = val1 |
| Python / Zope | Все вхождения в списке (массив) | param = ['значение1', 'значение2'] |
[1]
Типы [ править ]
На стороне клиента [ править ]
- ГЭС первого порядка / отраженная [3]
- ГЭС второго порядка / сохраняемая [3]
- ГЭС третьего порядка / ДОМ [3]
На стороне сервера [ править ]
- Стандартная ГЭС [3]
- ГЭС второго порядка [3]
Профилактика [ править ]
Надлежащая проверка ввода и осведомленность о веб-технологиях на HPP - это защита от загрязнения параметров HTTP. [4]
См. Также [ править ]
- Разделение HTTP-ответа
- Контрабанда HTTP-запросов
Ссылки [ править ]
- ^ a b «WSTG - Последняя версия: Тестирование на предмет загрязнения параметров HTTP» .
- ^ "Уязвимости, связанные с загрязнением параметров HTTP в веб-приложениях" (PDF) . 2011 г.
- ^ a b c d e Лука Кареттони и Стефано Ди Паола. «Загрязнение параметров HTTP» (PDF) . CS1 maint: использует параметр авторов ( ссылка )
- ^ «Как обнаружить атаки с загрязнением параметров HTTP» .