HTTP Parameter Pollution
HTTP-Parameter-Pollution ist ein Angriff, bei dem der Angreifer denselben Parameternamen in einer Anfrage wiederholt und die Wertauswahl-Unterschiede der Frameworks ausnutzt, um Validierungen zu umgehen.
Zweck
Die Parsing-Unterschiede und Umgehungen durch wiederholte Parameter verstehen; ein häufiger Defekt in WAFs und Eingabevalidierungen.
Mechanismus
Bei der Anfrage ?id=1&id=2 nehmen verschiedene Frameworks den ersten Wert, den letzten oder ein Array. Prüft eine WAF nur den ersten Wert id=1 und lässt ihn passieren, während das Backend den letzten Wert id=2 nutzt, ist der Schutz umgangen. Abwehr: einheitliche Wertauswahl-Strategie, Ablehnung doppelter Parameter.
Anwendungsfälle
- WAF-Umgehung
- Audit der Eingabevalidierung
- Sicherheit des Parameter-Parsings
Verwandte Tools
HTTP-Statuscodes-Referenz
Reference table of common HTTP status codes (1xx-5xx) with names, categories, and descriptions. Kostenlos, privat und 100% clientseitig. WERKZEUG
URL-Parser
Parse a URL into its components: protocol, host, path, query, hash, port, username, and password. Kostenlos, privat und 100% clientseitig. WERKZEUG