H2SpaceX

Biblioteca de baixo nível HTTP/2 baseada em Scapy que pode ser usada para Single Packet Attack (Race Condition em H2)

• Esta biblioteca fez parte de uma pesquisa acadêmica com o título de QUIC-er Races: HTTP/3 won’t save you from TOCTOU vulnerabilities.

Mergulhe no Artigo Single Packet Attack

Escrevi um artigo e o publiquei no InfoSec Write-ups:

• Dive into Single Packet Attack

TODO

• Single Packet Attack - POST
  • implementar
• Single Packet Attack - GET
  • Método Content-Length: 1
  • Requisição POST com cabeçalho x-override-method: GET
• Análise de Resposta
  • implementar
  • implementar analisador de resposta com threads
  • adicionar tempos de resposta em nanossegundos para ataques de temporização
  • Descompressão de Corpo
    • gzip
    • br
    • deflate
• Proxy
  • Proxy Socks5

Registro de Alterações & Versões Beta

• 1.2.2

  • empacotamento: configuração de build consolidada em pyproject.toml e removido setup.py
    • corrigidas seções [options] inválidas para que a descoberta de pacotes seja definida corretamente
    • exposto o extra dev (twine) que o erro de digitação do antigo setup.py havia removido
  • limpeza de código
    • removido import não utilizado e uma chamada redundante de normalização de cabeçalhos no construtor de requisições GET
    • requisições GET agora respeitam check_headers_lowercase=False (consistente com outros métodos de requisição)
  • adicionado tests/ (testes unitários para utilitários de cabeçalhos) e CONTRIBUTING.md (guia de build & release)

• 1.2.1

  • merge do PR-6
    • implementar setup_connection para H2Connection (sem TLS)
  • merge do PR-7
    • normalizar nomes de cabeçalhos HTTP usando Parser em vez de regex
  • corrigido Issue 8
    • problema de análise com frames de dados brutos (pacotes)

Mais Pesquisa

Algumas das afirmações a seguir são apenas ideias e não foram testadas ou implementadas.

• Mais Requisições em um Único Pacote
  • Aumentar MSS (Ideia de James Kettle)
  • Pacotes TCP Fora de Ordem (Ideia de James Kettle)
  • Fragmentação IP
• Encaminhar a Requisição de Pacote Único através de SOCKS
• Single Packet Attack em Requisições GET
  • Método Content-Length: 1 (Ideia de James Kettle)
  • Método x-override-method: GET (Ideia de James Kettle)
  • Indexar Cabeçalhos HPACK para Tornar Requisições GET Menores
  • Frame HEADERS sem Flag END_HEADER
  • Frame HEADERS Sem Alguns Pseudo Cabeçalhos

Instalação

H2SpaceX funciona com Python 3 (preferencial: >=3.8.8)

pip install h2spacex

Erro na Instalação

se você receber erros do scapy:

pip install --upgrade scapy

Início Rápido

Você pode importar a Conexão HTTP/2 TLS e configurar a conexão. Após configurar a conexão, você pode fazer outras coisas:

from h2spacex import H2OnTlsConnection

h2_conn = H2OnTlsConnection(
    hostname='http2.github.io',
    port_number=443,
    ssl_log_file_path="PATH_TO_SSL_KEYS.log"  # optional (if you want to log ssl keys to read the http/2 traffic in wireshark)
)

h2_conn.setup_connection()
...

veja mais exemplos na Página Wiki

Exemplos

Veja exemplos que contêm alguns exemplos de race condition do Portswigger.

Página de Exemplos

Método Aprimorado de Single Packet Attack (Black Hat 2024) para Ataques de Temporização

James Kettle introduziu uma versão aprimorada do Single Packet Attack na Black Hat 2024 para ataques de temporização:

Você pode implementar este método facilmente usando o método send_ping_frame().

Veja esta Wiki e a parte Parse Response (Threaded) + Response Times for Timing Attacks:

• New Method README (WIKI)

Improved Version of SPA Sample Exploit

Referência do Método Aprimorado:

• Listen to the whispers: web timing attacks that actually work

Referências & Recursos

• James Kettle DEF CON 31 Presentation
• Portswigger Research Page
• HTTP/2 in Action Book

Também obtive algumas ideias de uma biblioteca desenvolvida anteriormente h2tinker.

Por fim, agradeço novamente a James Kettle por ajudar diretamente e apontar algumas outras técnicas.