HTTP Parameter Pollution
La pollution de paramètres HTTP est une attaque où l'attaquant répète le même nom de paramètre dans une requête, exploitant les différences de sélection de valeur selon les frameworks pour contourner la validation.
Objectif
Comprendre les différences d'analyse et les contournements dus aux paramètres répétés ; un défaut courant des WAF et de la validation d'entrées.
Mécanisme
Pour la requête ?id=1&id=2, les frameworks prennent la première valeur, la dernière ou un tableau. Si un WAF vérifie la première valeur id=1 et passe, tandis que le backend utilise la dernière id=2, la protection est contournée. Défenses : stratégie unifiée de sélection de valeur, rejet des paramètres dupliqués.
Cas d’usage
- Contournement de WAF
- Audit de validation d'entrées
- Sécurité de l'analyse de paramètres
Outils associés
Référence des codes HTTP
Reference table of common HTTP status codes (1xx-5xx) with names, categories, and descriptions. Gratuit, privé et 100% côté client. OUTIL
Analyseur d'URL
Parse a URL into its components: protocol, host, path, query, hash, port, username, and password. Gratuit, privé et 100% côté client. OUTIL