HTTP 요구 밀수

HTTP request smuggling
HTTP
HTTP logo.svg
요구 방식
헤더 필드
응답 상태 코드
보안 접근 제어 방법
보안 취약성

HTTP 요청 밀수는 HTTP 프록시 서버 [1][2]체인의 HTTP 서버 구현 간에 해석 및/또는 헤더 간 불일치를 사용하는 HTTP 프로토콜의 보안 공격입니다.그것은 2005년 Linhart [3]등에 의해 처음 문서화되었다.

종류들

CL.TE

이런 유형의 HTTP 요구 밀수에서는 프론트 엔드는 Content-Length 헤더를 사용하여 요구를 처리하고 백엔드는 Transfer-Encoding [2]헤더를 사용하여 요구를 처리합니다.

컴퓨터

이런 유형의 HTTP 요구 밀수에서는 프론트 엔드는 Transfer-Encoding 헤더를 사용하여 요구를 처리하고 백엔드는 Content-Length [2]헤더를 사용하여 요구를 처리합니다.

컴퓨터

이런 유형의 HTTP 요구 밀수에서는 프론트엔드와 백엔드가 모두 Transfer-Encoding 헤더를 사용하여 요구를 처리하지만 서버 중 하나가 [2]무시되지 않도록 하는 방법(비표준 공백 포맷이나 중복 헤더 등)으로 헤더를 난독화할 수 있습니다.

예방

HTTP/2는 요청 길이를 결정하기 위해 다른 방법을 사용하기 때문에 요청 밀수 공격에 취약하지 않습니다.공격을 회피하는 또 다른 방법은 프론트 엔드 서버가 HTTP 요구를 백엔드로 전달하기 전에 정규화하고 동일한 방식으로 해석되도록 하는 것입니다.[2]

레퍼런스

  1. ^ "CWE - CWE-444: Inconsistent Interpretation of HTTP Requests ('HTTP Request Smuggling') (4.0)". cwe.mitre.org. Retrieved 2020-03-13.
  2. ^ a b c d e "What is HTTP request smuggling? Tutorial & Examples Web Security Academy". portswigger.net. Retrieved 2020-03-13.
  3. ^ Linhart, Chaim; Klein, Amit; Heled, Ronen; Orrin, Steve (2005). "HTTP request smuggling" (PDF).


Stub icon

이 월드 와이드 웹 관련 기사는 요약본입니다.위키피디아를 확장함으로써 위키피디아를 도울 수 있습니다.