Znečištění parametru HTTP - HTTP parameter pollution - Wikipedia

HTTP
Vyžádejte si metody
Pole záhlaví
Stavové kódy
Bezpečnostní metody řízení přístupu
Zranitelnosti zabezpečení

Znečištění parametrů HTTP nebo HPP ve zkratce je zranitelnost, ke které dochází v důsledku předávání více parametrů se stejným názvem. Tady není žádný RFC standard, co by mělo být provedeno při předání více parametrů. Tato chyba zabezpečení byla poprvé objevena v roce 2009.[1] HPP lze použít k překlenutí znečištění napříč kanály CSRF ochrana a WAF vstupní validační kontroly.[2]

Chování

Při předávání více parametrů se stejným názvem se chová backend

Chování
TechnologieVýsledek analýzyPříklad
ASP.NET/IISVšechny výskyty zřetězené čárkouparam = val1, val2
ASP / IISVšechny výskyty zřetězené čárkouparam = val1, val2
PHP / ApachePouze poslední výskytparam = val2
PHP / ZeusPouze poslední výskytparam = val2
JSP, Servlet / Apache TomcatPouze první výskytparam = val1
JSP, servlet / aplikační server OraclePouze první výskytparam = val1
JSP, Servlet / JettyPouze první výskytparam = val1
IBM Lotus DominoPouze poslední výskytparam = val2
IBM HTTP ServerPouze první výskytparam = val1
mod_perl, libapreq2 / ApachePouze první výskytparam = val1
Perl CGI / ApachePouze první výskytparam = val1
mod_wsgi (Python) / ApachePouze první výskytparam = val1
Python / ZopeVšechny výskyty v seznamu (pole)param = ['val1', 'val2']

[1]

Typy

Na straně klienta

  • První objednávka / odráží HPP[3]
  • Druhá objednávka / uložené HPP[3]
  • Třetí objednávka / DOM HPP[3]

Na straně serveru

  • Standardní HPP[3]
  • HPP druhé objednávky[3]

Prevence

Správné ověření vstupu a povědomí o webové technologii na HPP je ochrana před znečištěním parametrů HTTP.[4]

Viz také

Reference

  1. ^ A b „WSTG - nejnovější: Testování znečištění parametrů HTTP“.
  2. ^ „Chyby zabezpečení týkající se znečištění parametrů HTTP ve webových aplikacích“ (PDF). 2011.
  3. ^ A b C d E Luca Carettoni a Stefano Di Paola. „Znečištění parametrů HTTP“ (PDF).CS1 maint: používá parametr autoři (odkaz)
  4. ^ „Jak detekovat útoky na znečištění parametrů HTTP“.