Contaminación de parámetros Http

Ya habíamos hablado del tema de la contaminación de parámetros Http (polución, decían) en Contaminación de parámetros HTTP (HPP), PAPAS: ¿Somos vulnerables a la polución de parámetros HTTP? y Polución de parámetros del protocolo HTTP.
Esencialmente, se trataba de añadir parámetros extra en las peticiones que, dependiendo del servidor y la aplicación podían utilizarse para obtener algún beneficio.

En [PDF] Http Parameter contamination, vemos cómo se puede llevar el tema por otro camino: aprovechar la forma en que interpretan los servidores web determinados caracteres para saltarse los cortafuegos de aplicaciones. Por ejemplo, algunos servidores y configuraciones cambiarían el caracter “]” por el carácter “_”.

Uno no puede fiarse de nada.

8 pensamientos en “Contaminación de parámetros Http

  1. Lo de saltarse cortafuegos de aplicaciones (WAF), ya fué presentado en la OWASP Conference de Polonia en el 2009, no es nada nuevo.

  2. Pingback: Bitacoras.com

  3. Ya. Pero una cosa es repetir parámetros para engañar a esos filtros y otra cosa ligeramente diferente (aunque basada en la idea del HPP, como citan en el artículo) es aprovechar cómo algunas infraestructuras cambian algunos caracteres de las peticiones. Creo que esa es la novedad.

    • Tienes razón, tras volver a leer los papers que he enlazado no he visto la explotación de la normalización de caracteres… Estaba convencido de que en el WarGame que propusieron no solo jugaban con eludir las firmas sino también con la normalización de los caracteres que hacía el IIS… debo haberlo confundido, lo siento.

      Un saludo.

      • Me extrañaba lo que decías pero todo puede ser. Gracias por comentar, en todo caso ;)

Responder

Introduce tus datos o haz clic en un icono para iniciar sesión:

Logo de WordPress.com

Estás comentando usando tu cuenta de WordPress.com. Cerrar sesión / Cambiar )

Imagen de Twitter

Estás comentando usando tu cuenta de Twitter. Cerrar sesión / Cambiar )

Foto de Facebook

Estás comentando usando tu cuenta de Facebook. Cerrar sesión / Cambiar )

Google+ photo

Estás comentando usando tu cuenta de Google+. Cerrar sesión / Cambiar )

Conectando a %s