Herramientas de Prueba de Vulnerabilidades de Desync HTTP/1

Este repositorio contiene herramientas de seguridad defensiva para detectar vulnerabilidades de contrabando de solicitudes (desync) HTTP/1 basadas en la innovadora investigación de James Kettle de PortSwigger.

Atribución de la Investigación

Este trabajo está directamente inspirado en e implementa técnicas de:

• "HTTP/1 Must Die" por James Kettle (PortSwigger Research)
  • Investigación Original: https://portswigger.net/research/http1-must-die
  • Investigador: James Kettle (@albinowax)
  • Empresa: PortSwigger Web Security

Los patrones de ataque, técnicas y métodos de detección implementados en estas herramientas se basan en el trabajo pionero de James Kettle que reveló fallas fundamentales en la implementación del protocolo HTTP/1.1 en los principales proveedores de infraestructura web.

Impacto de la Investigación

La investigación de James Kettle demostró vulnerabilidades que afectaban a:

• Cloudflare, T-Mobile, GitLab, Netlify, Akamai
• Obtuvo más de $350,000 en recompensas por errores
• Llevó a correcciones críticas de infraestructura en toda la web

Visión General

Las definiciones ambiguas de los límites de las solicitudes en HTTP/1.1 crean lo que James Kettle denominó "ambigüedad extrema" sobre dónde comienzan y terminan las solicitudes. Esto lleva a discrepancias en el análisis sintáctico entre servidores front-end y back-end, permitiendo ataques sofisticados de contrabando de solicitudes. Estas herramientas ayudan a identificar dichas vulnerabilidades para realizar pruebas de seguridad defensiva.

Herramientas Incluidas

1. Herramienta de Prueba en Go (http1-desync-test.go)

Un completo probador de vulnerabilidades de desync HTTP/1 que implementa múltiples patrones de ataque.

Características

• V-H (Visible-Hidden) Desync: Prueba discrepancias de análisis sintáctico visible-oculto
• 0.CL (Zero Content-Length) Desync: Explota diferencias en el manejo de Content-Length: 0
• Expect Header Desync: Utiliza Expect: 100-continue para el contrabando de solicitudes
• Double-Desync: Prueba vulnerabilidades de envenenamiento de la cola de respuestas
• CL.TE Desync: Prueba conflictos entre Content-Length y Transfer-Encoding

Instalación

# Clonar el repositorio
git clone https://github.com/nconsolo/echteeteepee.git
cd echteeteepee

# Instalar dependencias
go mod download

# Compilar la herramienta
go build -o http1-desync-test http1-desync-test.go

Uso

# Probar todos los patrones de ataque
./http1-desync-test -target https://example.com

# Probar un patrón de ataque específico
./http1-desync-test -target https://example.com -test vh

# Habilitar salida detallada
./http1-desync-test -target https://example.com -verbose

# Establecer tiempo de espera personalizado
./http1-desync-test -target https://example.com -timeout 10s

Opciones de Línea de Comandos

• -target: URL objetivo (requerido)
• -test: Tipo de prueba: all, vh, 0cl, expect, double, clte (por defecto: all)
• -timeout: Tiempo de espera de la solicitud (por defecto: 5s)
• -verbose: Habilitar salida detallada para ver solicitudes/respuestas sin procesar

2. Plantilla Nuclei (nuclei-templates/http1-desync.yaml)

Plantilla de escaneo automatizado para Nuclei para detectar vulnerabilidades de desync HTTP/1 a gran escala.

Instalación

# Instalar Nuclei (si aún no está instalado)
go install -v github.com/projectdiscovery/nuclei/v3/cmd/nuclei@latest

# Copiar la plantilla al directorio de plantillas de Nuclei
cp nuclei-templates/http1-desync.yaml ~/.nuclei-templates/

Uso

# Escanear un único objetivo
nuclei -u https://example.com -t nuclei-templates/http1-desync.yaml

# Escanear múltiples objetivos
nuclei -l targets.txt -t nuclei-templates/http1-desync.yaml

# Escanear con limitación de velocidad
nuclei -u https://example.com -t nuclei-templates/http1-desync.yaml -rl 10

Patrones de Ataque Explicados

Todos los patrones de ataque se basan en los hallazgos de la investigación de James Kettle y técnicas de explotación probadas.

V-H (Visible-Hidden) Desync

Fuente: Investigación de James Kettle "HTTP/1 Must Die" Explota discrepancias donde el proxy front-end ve un límite de solicitud mientras que el servidor back-end ve otro. El payload del ataque incrusta una solicitud oculta dentro de lo que parece ser datos de cabecera para el front-end, pero es interpretado como una solicitud separada por el back-end.

Ejemplo de la investigación: Utilizado para demostrar diferencias en el análisis sintáctico en los principales proveedores de CDN.

0.CL (Zero Content-Length) Desync

Fuente: Hallazgos de vulnerabilidades de James Kettle en IIS y T-Mobile Aprovecha las diferentes interpretaciones de las cabeceras Content-Length: 0 entre servidores. Algunos servidores ignoran el cuerpo cuando CL=0, mientras que otros aún lo procesan, lo que lleva a confusión en los límites de las solicitudes.

Impacto en el mundo real: Explotado con éxito contra servidores IIS y la infraestructura de T-Mobile.

Expect Header Desync

Fuente: Investigación de James Kettle sobre T-Mobile y LastPass Explota el mecanismo Expect: 100-continue donde el front-end y el back-end manejan la continuación de manera diferente. Esto crea oportunidades para contrabandear solicitudes mientras el front-end espera una respuesta 100-continue.

Contexto de la investigación: Demostrado contra los sistemas de autenticación de T-Mobile y LastPass.

Double-Desync (Envenenamiento de la Cola de Respuestas)

Fuente: Metodología avanzada de desync de James Kettle Encadena múltiples ataques de desync para envenenar la cola de respuestas, permitiendo a los atacantes controlar qué respuestas reciben otros usuarios. Esto representa uno de los ataques más sofisticados de la investigación.

Hallazgo crítico: Permite la toma completa del sitio al servir respuestas maliciosas a usuarios legítimos.

Conflictos CL.TE / TE.CL

Fuente: Investigación central sobre ambigüedad HTTP/1.1 por James Kettle Explota conflictos entre las cabeceras Content-Length y Transfer-Encoding: chunked. Diferentes servidores priorizan estas cabeceras de manera diferente, creando discrepancias en el análisis sintáctico que permiten el contrabando de solicitudes.

Fundamento: Estos conflictos representan la falla fundamental que James Kettle identificó en la especificación HTTP/1.1.

Indicadores de Detección

Basados en la metodología de investigación de James Kettle, las herramientas buscan:

Indicadores Primarios (de la investigación original)

• Respuestas inesperadas 404/403/401: Indica solicitudes contrabandeadas que llegan a endpoints no autorizados
• Respuesta que contiene rutas de administración/restringidas: Sugiere contrabando de solicitudes exitoso a áreas protegidas
• Múltiples respuestas HTTP en una sola conexión: Señal de envenenamiento de la cola de respuestas
• Respuestas de error del analizador (400 Bad Request): Puede indicar una confusión de desync exitosa

Métodos Avanzados de Detección

• Anomalías en el tiempo de respuesta: Retrasos que sugieren confusión en el procesamiento del lado del servidor
• Inconsistencias en Content-Length: Respuestas con longitudes de cuerpo incorrectas
• Artefactos de inyección de cabeceras: Evidencia de cabeceras contrabandeadas en las respuestas
• Indicadores de envenenamiento de caché: Respuestas en caché inesperadas que afectan a otros usuarios

Evaluación de la Gravedad de la Vulnerabilidad

Siguiendo la clasificación de impacto de James Kettle:

• Crítico: Envenenamiento de la cola de respuestas que permite la suplantación de usuarios
• Alto: Contrabando de solicitudes a endpoints de administración
• Medio: Discrepancias en el análisis sintáctico sin prueba de explotación
• Bajo: Comportamientos de desync benignos sin impacto en la seguridad

Uso Responsable

Estas herramientas están diseñadas para:

• Pruebas de seguridad defensiva en sistemas autorizados
• Evaluación de vulnerabilidades con los permisos adecuados
• Investigación de seguridad en entornos controlados

NO utilice estas herramientas:

• Contra sistemas que no posea o para los que no tenga autorización para probar
• Con fines maliciosos o acceso no autorizado
• En entornos de producción sin las precauciones adecuadas

Detalles Técnicos de Implementación

Gestión de Conexiones

Siguiendo la metodología de James Kettle, las herramientas mantienen conexiones HTTP/1.1 persistentes para probar adecuadamente las condiciones de desync. Cada prueba crea una única conexión TCP y envía múltiples solicitudes para observar diferencias en el análisis sintáctico.

Elaboración de Solicitudes

Los payloads de ataque se elaboran cuidadosamente basándose en los patrones exactos que James Kettle utilizó en su investigación, asegurando la compatibilidad con los comportamientos del servidor que documentó.

Análisis de Respuestas

La lógica de detección implementa los mismos indicadores que James Kettle utilizó para identificar ataques de desync exitosos durante su investigación de recompensas por errores de más de $350,000.

Impacto de la Vulnerabilidad y Remedios

Basados en los hallazgos y recomendaciones de James Kettle:

Categorías de Impacto

1. Toma completa del sitio: Mediante el envenenamiento de la cola de respuestas
2. Robo de credenciales: A través del contrabando de solicitudes a endpoints de autenticación
3. Envenenamiento de caché: Sirviendo contenido malicioso a usuarios legítimos
4. Escalada de privilegios: Acceso a endpoints de administración a través de solicitudes contrabandeadas

Estrategias de Remedio (según James Kettle)

1. Solución Principal: Migrar las conexiones ascendentes a HTTP/2
2. Intermedio: Habilitar la normalización de solicitudes HTTP
3. Detección: Implementar escaneo regular de vulnerabilidades de desync
4. Monitoreo: Implementar detección de anomalías a nivel de conexión

Recomendaciones de Pruebas

• Realizar pruebas durante ventanas de mantenimiento para evitar interrupciones del servicio
• Usar limitación de velocidad al escanear sistemas de producción
• Coordinar con los equipos de seguridad antes de realizar pruebas a gran escala
• Documentar los hallazgos utilizando la clasificación de vulnerabilidades de James Kettle

Referencias y Créditos

Investigación Principal

• "HTTP/1 Must Die" - James Kettle (PortSwigger Research) https://portswigger.net/research/http1-must-die
• "HTTP Desync Attacks: Request Smuggling Reborn" - James Kettle https://portswigger.net/research/http-desync-attacks-request-smuggling-reborn
• Presentación en Black Hat USA 2019 - James Kettle "HTTP Desync Attacks: Smashing into the Cell Next Door"

Recursos Adicionales

• Contrabando de Solicitudes HTTP - PortSwigger Academy
• Extensión HTTP Request Smuggler de Burp Suite
• CWE-444: Interpretación Inconsistente de Solicitudes HTTP

Créditos de la Herramienta

• James Kettle (@albinowax): Investigación original y metodología de ataque
• PortSwigger: Publicación de la investigación y herramienta HTTP Request Smuggler
• ProjectDiscovery: Marco de escaneo Nuclei

Licencia

Licencia MIT - Consulte el archivo LICENSE para obtener más detalles

Aviso Legal

Estas herramientas se proporcionan únicamente con fines educativos y de seguridad defensiva. Los usuarios son responsables de asegurarse de tener la autorización adecuada antes de probar cualquier sistema. Los autores no asumen ninguna responsabilidad por el mal uso o los daños causados por estas herramientas.