HTTP Parameter Pollution

HTTPパラメータ汚染は、攻撃者がリクエスト内で同じパラメータ名を繰り返し、フレームワークごとの値選択の差異を悪用して検証をバイパスする攻撃である。

目的

重複パラメータが引き起こす解析差異とバイパスを理解する。WAFや入力値検証にありがちな欠陥である。

メカニズム

リクエスト?id=1&id=2に対して、フレームワークは最初の値、最後の値、または配列のいずれかを取る。WAFが最初の値id=1だけを検査して通過し、バックエンドが最後の値id=2を使えば、防御はバイパスされる。対策：値選択戦略の統一、重複パラメータの拒否。

ユースケース

WAFのバイパス
入力バリデーションの監査
パラメータ解析のセキュリティ

関連ツール

HTTP ステータスコードリファレンス

Reference table of common HTTP status codes (1xx-5xx) with names, categories, and descriptions。無料、プライベート、100%クライアントサイド。

URL パーサー

Parse a URL into its components: protocol, host, path, query, hash, port, username, and password。無料、プライベート、100%クライアントサイド。

References