HTTP Parameter Pollution
La contaminación de parámetros HTTP es el ataque en que el atacante repite el mismo nombre de parámetro en una petición, explotando las diferencias de selección de valor entre frameworks para evadir la validación.
Propósito
Comprender las diferencias de análisis y las evasiones causadas por parámetros repetidos; un defecto común en WAFs y validación de entradas.
Mecanismo
Ante la petición ?id=1&id=2, distintos frameworks toman el primer valor, el último o un array. Si un WAF comprueba el primer valor id=1 y pasa, mientras el backend usa el último id=2, la protección queda evadida. Defensas: estrategia unificada de selección de valor, rechazo de parámetros duplicados.
Casos de uso
- Evasión de WAF
- Auditoría de validación de entradas
- Seguridad del análisis de parámetros
Herramientas relacionadas
Referencia de códigos de estado HTTP
Reference table of common HTTP status codes (1xx-5xx) with names, categories, and descriptions. Gratis, privado y 100% del lado del cliente. HERRAMIENTA
Analizador de URL
Parse a URL into its components: protocol, host, path, query, hash, port, username, and password. Gratis, privado y 100% del lado del cliente. HERRAMIENTA