Tugurium/GTI

Glosario Terminología Informática

HTTP response smuggling

0 contrabando de respuestas HTTP
Mejora de la técnica básica de división de respuestas HTTP, que puede eludir las medidas anti división de respuestas HTTP. Utiliza técnicas similares al contrabando de peticiones HTTP para explotar las discrepancias entre lo que un mecanismo anti división de respuestas HTTP consideraría ser el flujo de respuesta HTTP y el flujo de respuesta analizado por un servidor proxy o un navegador.
Algunos mecanismos anti división de respuestas HTTP utilizados por algunos motores de aplicación prohíben que la aplicación inserte un encabezado que contenga CR+LF en la respuesta. Sin embargo, un atacante puede forzar a la aplicación a insertar un encabezado que contenga CR, eludiendo así el mecanismo de defensa. Algunos servidores proxy pueden seguir tratando a CR (sólo) como un separador de encabezado (y respuesta), y como tal, la combinación de servidor web y servidor proxy seguirá siendo vulnerable a un ataque que puede envenenar la caché del proxy.
2019-11-22