Herramientas de Prueba de Vulnerabilidades de Desync HTTP/1

Este repositorio contiene herramientas de seguridad defensiva para detectar vulnerabilidades de contrabando de solicitudes (desync) HTTP/1 basadas en la innovadora investigación de James Kettle de PortSwigger.

Atribución de la Investigación

Este trabajo está directamente inspirado en e implementa técnicas de:

• "HTTP/1 Must Die" por James Kettle (PortSwigger Research)
  • Investigación Original: https://portswigger.net/research/http1-must-die
  • Investigador: James Kettle (@albinowax)
  • Empresa: PortSwigger Web Security

Los patrones de ataque, técnicas y métodos de detección implementados en estas herramientas se basan en el trabajo pionero de James Kettle que reveló fallas fundamentales en la implementación del protocolo HTTP/1.1 en los principales proveedores de infraestructura web.

Impacto de la Investigación

La investigación de James Kettle demostró vulnerabilidades que afectaban a:

• Cloudflare, T-Mobile, GitLab, Netlify, Akamai
• Obtuvo más de $350,000 en recompensas por errores
• Llevó a correcciones críticas de infraestructura en toda la web

Visión General

Las definiciones ambiguas de los límites de las solicitudes en HTTP/1.1 crean lo que James Kettle denominó "ambigüedad extrema" sobre dónde comienzan y terminan las solicitudes. Esto lleva a discrepancias en el análisis sintáctico entre servidores front-end y back-end, permitiendo ataques sofisticados de contrabando de solicitudes. Estas herramientas ayudan a identificar dichas vulnerabilidades para realizar pruebas de seguridad defensiva.

Herramientas Incluidas

1. Herramienta de Prueba en Go (http1-desync-test.go)

Un completo probador de vulnerabilidades de desync HTTP/1 que implementa múltiples patrones de ataque.

Características

• V-H (Visible-Hidden) Desync: Prueba discrepancias de análisis sintáctico visible-oculto
• 0.CL (Zero Content-Length) Desync: Explota diferencias en el manejo de Content-Length: 0
• Expect Header Desync: Utiliza Expect: 100-continue para el contrabando de solicitudes
• Double-Desync: Prueba vulnerabilidades de envenenamiento de la cola de respuestas
• CL.TE Desync: Prueba conflictos entre Content-Length y Transfer-Encoding

Instalación

# Clonar el repositorio
git clone https://github.com/nconsolo/echteeteepee.git
cd echteeteepee

# Instalar dependencias
go mod download

# Compilar la herramienta
go build -o http1-desync-test http1-desync-test.go

Uso

# Probar todos los patrones de ataque
./http1-desync-test -target https://example.com

# Probar un patrón de ataque específico
./http1-desync-test -target https://example.com -test vh

# Habilitar salida detallada
./http1-desync-test -target https://example.com -verbose

# Establecer tiempo de espera personalizado
./http1-desync-test -target https://example.com -timeout 10s

Opciones de Línea de Comandos

• -target: URL objetivo (requerido)
• -test: Tipo de prueba: all, vh, 0cl, expect, double, clte (por defecto: all)
• -timeout: Tiempo de espera de la solicitud (por defecto: 5s)
• -verbose: Habilitar salida detallada para ver solicitudes/respuestas sin procesar

2. Plantilla Nuclei (nuclei-templates/http1-desync.yaml)

Plantilla de escaneo automatizado para Nuclei para detectar vulnerabilidades de desync HTTP/1 a gran escala.

Instalación

# Instalar Nuclei (si aún no está instalado)
go install -v github.com/projectdiscovery/nuclei/v3/cmd/nuclei@latest

# Copiar la plantilla al directorio de plantillas de Nuclei
cp nuclei-templates/http1-desync.yaml ~/.nuclei-templates/

Uso

# Escanear un único objetivo
nuclei -u https://example.com -t nuclei-templates/http1-desync.yaml

# Escanear múltiples objetivos
nuclei -l targets.txt -t nuclei-templates/http1-desync.yaml

# Escanear con limitación de velocidad
nuclei -u https://example.com -t nuclei-templates/http1-desync.yaml -rl 10

Patrones de Ataque Explicados

Todos los patrones de ataque se basan en los hallazgos de la investigación de James Kettle y técnicas de explotación probadas.

V-H (Visible-Hidden) Desync

Fuente: Investigación de James Kettle "HTTP/1 Must Die" Explota discrepancias donde el proxy front-end ve un límite de solicitud mientras que el servidor back-end ve otro. El payload del ataque incrusta una solicitud oculta dentro de lo que parece ser datos de cabecera para el front-end, pero es interpretado como una solicitud separada por el back-end.

Ejemplo de la investigación: Utilizado para demostrar diferencias en el análisis sintáctico en los principales proveedores de CDN.

0.CL (Zero Content-Length) Desync

Fuente: Hallazgos de vulnerabilidades de James Kettle en IIS y T-Mobile Aprovecha las diferentes interpretaciones de las cabeceras Content-Length: 0 entre servidores. Algunos servidores ignoran el cuerpo cuando CL=0, mientras que otros aún lo procesan, lo que lleva a confusión en los límites de las solicitudes.

Impacto en el mundo real: Explotado con éxito contra servidores IIS y la infraestructura de T-Mobile.

Expect Header Desync

Fuente: Investigación de James Kettle sobre T-Mobile y LastPass Explota el mecanismo Expect: 100-continue donde el front-end y el back-end manejan la continuación de manera diferente. Esto crea oportunidades para contrabandear solicitudes mientras el front-end espera una respuesta 100-continue.

Contexto de la investigación: Demostrado contra los sistemas de autenticación de T-Mobile y LastPass.

Double-Desync (Envenenamiento de la Cola de Respuestas)

Fuente: Metodología avanzada de desync de James Kettle Encadena múltiples ataques de desync para envenenar la cola de respuestas, permitiendo a los atacantes controlar qué respuestas reciben otros usuarios. Esto representa uno de los ataques más sofisticados de la investigación.

Hallazgo crítico: Permite la toma completa del sitio al servir respuestas maliciosas a usuarios legítimos.

Conflictos CL.TE / TE.CL

Fuente: Investigación central sobre ambigüedad HTTP/1.1 por James Kettle Explota conflictos entre las cabeceras Content-Length y Transfer-Encoding: chunked. Diferentes servidores priorizan estas cabeceras de manera diferente, creando discrepancias en el análisis sintáctico que permiten el contrabando de solicitudes.

Fundamento: Estos conflictos representan la falla fundamental que James Kettle identificó en la especificación HTTP/1.1.

Indicadores de Detección

Basados en la metodología de investigación de James Kettle, las herramientas buscan:

Indicadores Primarios (de la investigación original)

• Respuestas inesperadas 404/403/401: Indica solicitudes contrabandeadas que llegan a endpoints no autorizados
• Respuesta que contiene rutas de administración/restringidas: Sugiere contrabando de solicitudes exitoso a áreas protegidas
• Múltiples respuestas HTTP en una sola conexión: Señal de envenenamiento de la cola de respuestas
• Respuestas de error del analizador (400 Bad Request): Puede indicar una confusión de desync exitosa

Métodos Avanzados de Detección

• Anomalías en el tiempo de respuesta: Retrasos que sugieren confusión en el procesamiento del lado del servidor
• Inconsistencias en Content-Length: Respuestas con longitudes de cuerpo incorrectas
• Artefactos de inyección de cabeceras: Evidencia de cabeceras contrabandeadas en las respuestas
• Indicadores de envenenamiento de caché: Respuestas en caché inesperadas que afectan a otros usuarios