tgoop.com/devsecops_weekly/1302
Last Update:
Multipart Parsers: примеры обхода
Всем привет!
Парсеры multipart/form-data не всегда работают корректно и есть разные способы для того, чтобы их обойти.
В статье (~ 27 минут) разбираются некоторые примеры того, как именно это можно сделать.
Начинается статья с того, что Автор описывает стандартные способы проверки (расширение файла, magic bytes, content-type и т.д.) и что такое multipart\form-data.
Дальше – сами техники обхода:
🍭 duplicated name parameter
🍭 breaking the CRLF seuqences
🍭 removing double quotes
🍭 missing closing boundary string
🍭 filename*=utf-8'' in request
Помимо этого, в статье есть информация о том, как можно обходить разные WAF. Каждый пример, приведенный в статье подробно описан, с кодом и пояснениями.
Проверка передаваемых параметров – задача крайне важная и статья может помочь в том, чтобы понять на что обращать внимание и как сделать этот процесс более безопасным.
BY DevSecOps Talks
Share with your friend now:
tgoop.com/devsecops_weekly/1302