HTTP请求走私（HTTP Request Smuggling）漏洞与防护

1. 漏洞描述
HTTP请求走私是一种利用HTTP协议处理差异的安全漏洞，攻击者通过构造特殊的HTTP请求，干扰服务器对请求边界的解析，导致请求被错误解释。这种漏洞通常发生在请求经过多个代理服务器或中间件时，由于不同组件对HTTP协议解析不一致，使得攻击者能够"走私"恶意请求。

2. 漏洞原理

• 协议解析差异：前端服务器（如负载均衡器）和后端服务器对HTTP请求的解析规则不一致
• 请求边界混淆：特别是对Content-Length和Transfer-Encoding头的处理存在差异
• 请求队列污染：攻击者通过精心构造的请求污染服务器的请求处理队列

3. 攻击类型详解

3.1 CL.TE攻击（前端使用Content-Length，后端使用Transfer-Encoding）

POST / HTTP/1.1
Host: example.com
Content-Length: 13
Transfer-Encoding: chunked

0

GET /admin HTTP/1.1

• 前端服务器根据Content-Length: 13只读取前13个字节
• 后端服务器优先处理Transfer-Encoding，认为这是分块请求
• 剩余的GET /admin请求会被当作独立请求处理

3.2 TE.CL攻击（前端使用Transfer-Encoding，后端使用Content-Length）

POST / HTTP/1.1
Host: example.com
Content-Length: 4
Transfer-Encoding: chunked

5c
GET /admin HTTP/1.1
Host: example.com
Content-Length: 0

0

• 前端处理Transfer-Encoding，正确解析分块数据
• 后端忽略Transfer-Encoding，使用Content-Length: 4
• 只读取前4个字符（"5c\r\n"），剩余内容成为走私请求

3.3 TE.TE攻击（前后端都支持Transfer-Encoding，但解析存在差异）

POST / HTTP/1.1
Host: example.com
Content-Length: 42
Transfer-Encoding: chunked
Transfer-Encoding: identity

0

GET /admin HTTP/1.1

• 利用服务器对重复头部或非标准头部的处理差异
• 可能一个服务器处理第一个Transfer-Encoding，另一个处理第二个

4. 漏洞检测方法

4.1 时序检测技术

POST /search HTTP/1.1
Host: target.com
Content-Length: 42
Transfer-Encoding: chunked

0

GET /404 HTTP/1.1
Host: target.com

• 发送走私请求后立即发送正常请求
• 观察响应时间差异，延迟可能表明请求队列被阻塞

4.2 响应差异检测

POST / HTTP/1.1
Host: target.com
Content-Length: 44
Transfer-Encoding: chunked

0

GET /admin HTTP/1.1
X-Ignore: x

• 走私请求后跟一个正常请求
• 比较两个请求的响应，寻找异常状态码或内容

5. 攻击影响与危害

5.1 安全绕过

• 绕过安全控制，访问受限接口
• 绕过身份验证和授权检查

5.2 信息泄露

• 窃取其他用户的请求和响应
• 获取敏感数据和会话信息

5.3 权限提升

• 以其他用户身份执行操作
• 进行未授权的管理操作

6. 防护措施

6.1 服务器端防护

# Nginx配置示例
server {
    # 禁用非标准传输编码
    chunked_transfer_encoding off;
    
    # 严格验证请求头
    ignore_invalid_headers on;
    
    # 限制请求头大小
    large_client_header_buffers 4 8k;
}

6.2 应用层防护

// Java Servlet过滤器示例
public class HttpSmugglingFilter implements Filter {
    public void doFilter(ServletRequest request, ServletResponse response, 
                        FilterChain chain) throws IOException, ServletException {
        
        HttpServletRequest httpRequest = (HttpServletRequest) request;
        
        // 验证Content-Length和Transfer-Encoding头部
        if (hasConflictingHeaders(httpRequest)) {
            ((HttpServletResponse) response).setStatus(400);
            return;
        }
        
        // 标准化分块传输处理
        normalizeChunkedEncoding(httpRequest);
        
        chain.doFilter(request, response);
    }
    
    private boolean hasConflictingHeaders(HttpServletRequest request) {
        String contentLength = request.getHeader("Content-Length");
        String transferEncoding = request.getHeader("Transfer-Encoding");
        
        return contentLength != null && transferEncoding != null;
    }
}

6.3 架构层面防护

• 使用同构的代理服务器和后端服务器
• 在所有组件中实施一致的HTTP协议解析规则
• 禁用不必要的HTTP/1.0特性支持

7. 安全开发实践

7.1 请求验证

# Python Flask请求验证示例
from flask import Flask, request, abort
import re

app = Flask(__name__)

def validate_http_headers():
    # 检查冲突的头部
    if 'Content-Length' in request.headers and 'Transfer-Encoding' in request.headers:
        abort(400, 'Conflicting headers detected')
    
    # 验证Transfer-Encoding格式
    if 'Transfer-Encoding' in request.headers:
        te_value = request.headers['Transfer-Encoding'].lower()
        if not re.match(r'^chunked(,\s*\w+)*$', te_value):
            abort(400, 'Invalid Transfer-Encoding header')
    
    # 验证Content-Length格式
    if 'Content-Length' in request.headers:
        try:
            cl_value = int(request.headers['Content-Length'])
            if cl_value < 0:
                abort(400, 'Invalid Content-Length')
        except ValueError:
            abort(400, 'Invalid Content-Length format')

@app.before_request
def before_request():
    validate_http_headers()

7.2 监控与检测

• 实施实时请求监控，检测异常的请求模式
• 记录和告警包含冲突头部的请求
• 定期进行安全扫描和渗透测试

8. 测试验证
使用自动化工具和手动测试验证防护措施的有效性：

• 使用Burp Suite的HTTP Request Smuggler扩展
• 自定义脚本测试各种攻击变体
• 验证错误请求是否被正确拒绝

通过理解HTTP请求走私的原理、掌握检测方法并实施有效的防护措施，可以显著降低此类漏洞的风险，确保Web应用的安全性。