HTTP Parameter Override (HTTP Parameter Pollution)

Was bedeutet HTTP Parameter Override (HTTP Parameter Pollution)?

Wenn ein Programm eine Benutzereingabe in URLs auf unsichere Weise einbettet, treten Sicherheitslücken in Bezug auf die HTTP-Parameterverunreinigung (HPP) auf. Ein Angreifer kann diese Sicherheitsanfälligkeit verwenden, um eine URL zu erstellen, die, wenn sie von einem anderen Anwendungsbenutzer besucht wird, URLs in der Antwort ändert, indem zusätzliche Abfragezeichenfolgeparameter eingefügt und manchmal vorhandene überschrieben werden. Dies kann zu Links und Formularen führen, die unerwartete Nebenwirkungen haben. Es ist beispielsweise möglich, ein Einladungsformular mithilfe von HPP zu ändern, sodass die Einladung an einen unerwarteten Empfänger übermittelt wird.

Die Sicherheitsauswirkungen dieses Problems hängen weitgehend von der Art der Anwendungsfunktionalität ab. Auch wenn es keine direkten Auswirkungen hat, kann es ein Angreifer in Verbindung mit anderen Schwachstellen einsetzen, um den Gesamtschweregrad zu erhöhen.

Tipp

Überprüfen Sie die Sicherheit Ihrer Website mit unserem kostenlosen Security Crawler oder mit der OSG Performance Suite Free Version.

Lösung

Stellen Sie sicher, dass die Benutzereingabe URL-codiert ist, bevor sie in eine URL eingebettet wird.

Stellen Sie beim Datenaustausch zwischen Komponenten sicher, dass beide Komponenten dieselbe Zeichencodierung verwenden und an jeder Schnittstelle die richtige Kodierung angewendet wird. Legen Sie die von Ihnen verwendete Kodierung explizit fest, wenn das Protokoll dies zulässt.

Datenbanklink zur Schwachstellt

https://cwe.mitre.org/data/definitions/20.html

https://cwe.mitre.org/data/definitions/233.html

https://portswigger.net/kb/issues/00501400_client-side-http-parameter-pollution-reflected

 


Sie haben noch Fragen?

Kontaktieren Sie uns

Kostenloser SEO-Check der OSG


Weitere Inhalte