Web安全之请求走私攻击（HTTP Request Smuggling）详解

1. 攻击背景与基本概念

HTTP请求走私是一种利用HTTP协议解析差异的攻击技术，主要发生在前后端服务器（如反向代理与后端应用服务器）对HTTP请求解析不一致时。攻击者通过构造特殊的HTTP请求，使同一TCP连接中的多个请求被后端服务器错误解析，导致请求"走私"到其他用户的会话中，从而窃取数据或执行未授权操作。

核心问题：

• 前端服务器（如负载均衡器、CDN）和后端服务器可能对Content-Length（CL）和Transfer-Encoding（TE）头部处理逻辑不同。
• 协议允许CL和TE共存，但规范要求优先处理TE，部分服务器未严格遵循。

2. 攻击原理与解析差异

2.1 关键头部冲突

• Content-Length：明确指定请求体长度（字节数）。
• Transfer-Encoding: chunked：使用分块编码，请求体以0\r\n\r\n结束。

风险场景：
若请求同时包含CL和TE，不同服务器可能选择不同的方式解析请求边界，例如：

• 前端代理优先使用CL，后端服务器优先使用TE。
• 前端代理忽略TE（如因安全配置禁用分块编码），后端仍支持TE。

3. 攻击类型与构造示例

3.1 CL-TE冲突（前端认CL，后端认TE）

攻击请求构造：

POST /api HTTP/1.1
Host: example.com
Content-Length: 6
Transfer-Encoding: chunked

0\r\n
\r\n
GET /admin HTTP/1.1

解析过程：

• 前端代理根据CL=6，认为请求体为0\r\n\r\nG（仅6字节），将剩余数据ET /admin...视为下一个请求。
• 后端服务器根据TE处理，读到0\r\n\r\n即结束当前请求，将后续GET /admin...当作新请求发送给其他用户。

3.2 TE-CL冲突（前端认TE，后端认CL）

攻击请求构造：

POST /api HTTP/1.1
Host: example.com
Content-Length: 3
Transfer-Encoding: chunked

8\r\n
SMUGGLED\r\n
0\r\n
\r\n

解析过程：

• 前端代理根据TE处理，读到0\r\n\r\n结束，认为整个请求已完成。
• 后端服务器根据CL=3，只读取8\r\n（3字节）作为请求体，剩余数据SMUGGLED...被附加到下一个用户请求前。

4. 攻击危害与利用场景

1. 窃取用户数据：将走私请求与正常用户请求绑定，获取其他用户的私密响应（如Cookie、个人信息）。
2. 绕过安全控制：访问本应受限的后端接口（如/admin）。
3. 缓存投毒：污染CDN缓存，向用户返回恶意内容。
4. 反射型XSS升级：通过走私请求携带恶意脚本，扩大XSS影响范围。

5. 防御策略

5.1 服务器端配置

• 禁用冗余头部：统一规范，拒绝同时包含CL和TE的请求。
• 强制使用HTTP/2：HTTP/2使用帧机制，天然避免解析歧义。
• 后端校验：对可疑请求（如路径异常、方法非法）进行严格校验。

5.2 开发与测试

• 测试解析一致性：在前后端之间进行模糊测试，检测解析差异。
• 使用标准化中间件：避免自定义HTTP解析逻辑，采用经过安全审计的库。

5.3 网络层防护

• 连接隔离：为不同用户分配独立的TCP连接，避免请求交叉。
• 代理严格模式：配置代理服务器严格遵循RFC标准（如优先处理TE）。

6. 检测与排查方法

1. 时间延迟检测：向服务器发送模糊请求，观察响应时间差异（解析错误可能导致延迟）。
2. 差分测试：分别发送正常请求与走私构造请求，对比响应内容是否异常。
3. 工具自动化：使用Burp Suite的HTTP Request Smuggler插件或类似工具扫描漏洞。

总结

HTTP请求走私是Web安全中较复杂的攻击手法，其根源在于协议实现的歧义性。防御需前后端协同，严格遵循标准并加强测试。理解其原理有助于在设计分布式系统时提前规避风险。