Nether Portal Desync (HUUP)

"Viajo no por caminos establecidos, sino que salto libremente a través del vacío. Si me empaquetas mal, entregaré un secreto en la puerta equivocada."

Descripción

El desafío presenta una aplicación HTTP/3 (QUIC) sobre UDP. Debido a que UDP no tiene estado y el proxy no aplica límites estrictos de solicitudes HTTP como TCP, es posible desincronizar el proxy y el servidor backend. Un atacante puede colar una solicitud HTTP oculta dentro de otra solicitud.

Notas: la longitud máxima del mensaje es de 1024 bytes, solo las solicitudes GET funcionarán realmente, y los mensajes se descartan después de 10 segundos

Objetivo: byuctf.xyz:40011

Análisis de la vulnerabilidad

• Vulnerabilidad: HTTP Request Smuggling (sobre UDP/QUIC)
• Causa raíz: Análisis inconsistente de los límites de la carga útil HTTP entre el proxy frontal y la aplicación backend en protocolos no confiables.

En esta implementación específica, un middleware de Python (udp_server.py) escucha en el puerto 40000 el texto entrante. Este servidor reenvía las solicitudes al servidor web real una vez que se encuentra un \r\n\r\n. Debido a que esto es UDP, hay una alta probabilidad de que los paquetes lleguen parcialmente, lo que provoca desincronización si se envían varias solicitudes rápidamente o si se manipulan los límites de los paquetes.

Writeup

Para resolver este desafío, debes tener en cuenta la naturaleza no confiable de UDP y la forma específica en que el middleware maneja los límites de las solicitudes.

1. Reconocimiento: Acceder al endpoint raíz / revela una pista sobre la inestabilidad de la conexión Nether.
2. Descubrimiento de endpoints: Navega a /endpoints.txt para encontrar una lista de 200 posibles endpoints ocultos.
3. Fuerza bruta: Uno de estos endpoints contiene la bandera, mientras que otros tres devuelven falsos positivos.
4. Dominio del protocolo: Debido al middleware UDP, una solicitud estándar de navegador puede fallar al recibir el cuerpo completo de la respuesta (solo podrían llegar las cabeceras antes de que la conexión se cierre o expire).
5. Automatización: Escribe un script (ver solve.py) para enviar solicitudes HTTP crudas sobre UDP al objetivo. El script debe iterar sobre los endpoints y solicitar repetidamente cada uno hasta que se reciba una respuesta completa (que contenga un cuerpo).

Mitigación

• Asegúrate de que el frontend y el backend usen exactamente la misma lógica para analizar los límites de las solicitudes.
• Rechaza cualquier solicitud con cabeceras de longitud ambiguas o caracteres ilegales en el flujo de cabeceras.
• Usa bibliotecas HTTP/3 establecidas en lugar de lógica personalizada de reenvío UDP a TCP.

Pistas

• ¿Has mapeado cómo el proxy frontal se comunica con el proxy trasero?
• ¡Comprueba el protocolo en uso! ¡UDP no garantiza la entrega!

Bandera

CH4KR4X2{P0D5_bl0ckch41n_br34ch}

Hosting

Este desafío ejecuta un servidor Flask en el puerto 1337 y udp_server.py en el puerto 40000.

Build:

sudo docker build -t huup .
sudo docker network create -d bridge huup

Run:

sudo docker run -p 40011:40000/udp --detach --name huup --network huup huup:latest