cve-2016-5699-report

Rapport du cours de lecture

Ce dépôt fait référence à un exemple.

simple-client.py est un script Python qui envoie des requêtes HTTP à l'URL passée en argument de commande.
simple-server.py utilise Flask pour construire un simple serveur HTTP qui affiche les en-têtes des requêtes reçues.

Configuration

• Installez virtualenv, pip install virtualenv
• Obtenez deux versions de Python pour la comparaison, une antérieure à 2.7.10, l'autre postérieure à 2.7.10. Ce lien pourrait être utile.
• Créez deux environnements Python avec virtualenv. Par exemple :
  • virtualenv -p [path_to_one_Python_version] venv-one-version
  • virtualenv -p [path_to_the_other_Python_version] venv-the-other-version
• Installez flask dans les deux environnements. Activez l'environnement correspondant, puis pip install flask

Exécution

• Choisissez la version que vous souhaitez utiliser, activez-la avec source ./venv-one-version/bin/activate
• Pour démarrer le serveur, lancez simplement python simple-server.py
• Pour exécuter le client :
  • exécutez python simple-client.py http://127.0.0.1:8000/test-url pour une URL saine
  • exécutez python simple-client.py http://127.0.0.1%0d%0aX-injected:%20header%0d%0ax-leftover:%20:8000/test-url pour une URL malveillante

Références :

• http://blog.blindspotsecurity.com/2016/06/advisory-http-header-injection-in.html
• https://github.com/bunseokbot/CVE-2016-5699-poc
• https://hg.python.org/cpython/rev/1c45047c5102