إلغاء تزامن بوابة النيذر (HUUP)

"لا أسلك الطرق المعبدة بل أقفز بحرية عبر الفراغ. إذا حزمتني خطأ، فسأوصل السر إلى العتبة الخطأ."

الوصف

يتضمن التحدي تطبيق HTTP/3 (QUIC) مبني فوق UDP. نظرًا لأن UDP عديم الحالة ولا يفرض الوكيل حدودًا صارمة لطلبات HTTP مثل TCP، فمن الممكن إلغاء تزامن الوكيل والخادم الخلفي. يمكن للمهاجم تهريب طلب HTTP مخفي داخل طلب آخر.

ملاحظات - أقصى طول للرسالة هو 1024 بايت، فقط طلبات GET ستعمل بالفعل، ويتم تجاهل الرسائل بعد 10 ثوانٍ

الهدف: byuctf.xyz:40011

تحليل الثغرة

• الثغرة: تهريب طلب HTTP (عبر UDP/QUIC)
• السبب الجذري: تحليل غير متسق لحدود حمولات HTTP بين الوكيل الأمامي والتطبيق الخلفي في ظل بروتوكولات غير موثوقة.

في هذا التنفيذ المحدد، يستمع وسيط Python (udp_server.py) على المنفذ 40000 للنصوص الواردة. يقوم هذا الخادم بتمرير الطلبات بمجرد العثور على \r\n\r\n إلى خادم الويب الفعلي. نظرًا لأن هذا UDP، هناك احتمال كبير لتسليم الحزم بشكل جزئي، مما يؤدي إلى إلغاء التزامن إذا تم إرسال طلبات متعددة بسرعة أو تم التلاعب بحدود الحزم.

الحل

لحل هذا التحدي، يجب أن تراعي الطبيعة غير الموثوقة لـ UDP والطريقة المحددة التي يعالج بها الوسيط حدود الطلبات.

1. الاستطلاع: الوصول إلى نقطة النهاية الجذر / يكشف عن تلميح حول عدم استقرار اتصال النيذر.
2. اكتشاف نقاط النهاية: انتقل إلى /endpoints.txt للعثور على قائمة تضم 200 نقطة نهاية مخفية محتملة.
3. القوة العمياء: تحتوي إحدى نقاط النهاية هذه على العلم، بينما تعيد ثلاث أخرى نتائج إيجابية كاذبة.
4. إتقان البروتوكول: بسبب وسيط UDP، قد يفشل طلب المتصفح القياسي في تلقي كامل جسم الاستجابة (قد يتم إرجاع الرؤوس فقط قبل إغلاق الاتصال أو انتهاء المهلة).
5. الأتمتة: اكتب سكريبت (انظر solve.py) لإرسال طلبات HTTP خام عبر UDP إلى الهدف. يجب أن يتكرر السكريبت عبر نقاط النهاية ويطلب كل منها بشكل متكرر حتى يتم تلقي استجابة كاملة (تحتوي على جسم).

التخفيف

• تأكد من أن كلاً من الواجهة الأمامية والخلفية تستخدم نفس المنطق تمامًا لتحليل حدود الطلبات.
• ارفض أي طلبات تحتوي على رؤوس طول غامضة أو أحرف غير قانونية في تيار الرؤوس.
• استخدم مكتبات HTTP/3 الراسخة بدلاً من منطق التوجيه المخصص من UDP إلى TCP.

تلميحات

• هل قمت برسم خريطة لكيفية تواصل الوكيل الأمامي مع الوكيل الخلفي؟
• تحقق من البروتوكول المستخدم—UDP لا يضمن التسليم!

العلم

CH4KR4X2{P0D5_bl0ckch41n_br34ch}

الاستضافة

يقوم هذا التحدي بتشغيل خادم Flask على المنفذ 1337 وudp_server.py على المنفذ 40000.

البناء:

sudo docker build -t huup .
sudo docker network create -d bridge huup

التشغيل:

sudo docker run -p 40011:40000/udp --detach --name huup --network huup huup:latest