After the HTTP Desync Attack announcement, the bugbounty hunters and corporate security personnel seem to be very busy. Albino recently announced that he would be writing additional articles, and new post were posted on the portswigger blog.

HTTP Desync Attack 발표 이후 버그바운티 헌터들이나 각 기업보안 담당자는 굉장히 바빠진 것 같습니다. 겸사겸사 최근에 알비노가 추가 글을 쓰겠다고 공표했었고, portswigger 블로그에 글이 더 올라왔습니다.

F5 등을 비롯해서 벤더에도 영향을 많이 끼쳤었는데, golang도 있었군요.. https://groups.google.com/forum/#!topic/golang-announce/cszieYyuL9Q

Anyway, i going to summarize some of the new additional vectors! 아무튼 추가로 더 발견된 신규 벡터들 정리해봅니다.

wow! / https://i.giphy.com/l0MYEqEzwMWFCg8rm.gif

1. Desync Attack with Normalization Attack

Use IDN Char(%f9).. 안그래도 IDN 문자 때문에 다른 공격도 벡터가 엄청 생기는 상태인데, 디싱크도 예외는 아니였나 봅니다..

Transfer-Encoding: chùnked

####

2. \x00

Transfer-Encoding: \x00chunked

없는 문자 처리된 것 같은데, 비슷한 형태의 패턴들은 유사하게 가능할수도 있겠네요.. 예를들면, \x09 같은..

3. Bypass WAF

Foo: bar\r\n\rTransfer-Encoding: chunked

Tips

최신 HTTP Request Smuggler(>=v1.02) 에선 위 패턴들이 추가됬고, lazygrep 을 설정하면 테스팅이 가능합니다. 참고하시면 좋아요 :)

Reference

https://portswigger.net/research/http-desync-attacks-what-happened-next