Houd een regeleinde uit een header

Een login moet de lezer vaak doorsturen: terug naar de pagina die hij wilde zien voordat hem werd gevraagd in te loggen. Je leeslijst kan dat sinds het begin van dit hoofdstuk. POST /login?next=/books beantwoordt een correcte login met 303 en een header location. De functie die het antwoord bouwt, is nieuw en kwam mee met het project van dit hoofdstuk:

def login_response(request, user):
    """Return the answer to a correct login: 303 to next when the target names one, or 200."""
    params = parse_qs(urlsplit(request["target"]).query)
    if "next" in params:
        return redirect(303, params["next"][0])
    return json_response(200, {"user": user})

Hij neemt tekst uit het verzoek en schrijft die in een header. Les 3 noemde dat een plek waar data overgaat in tekst die wordt geparset. Kijk hoe het gebeurt op je eigen server:

python pl_sec.py injection

Het scenario heeft vier delen, één voor elke plek die dit hoofdstuk bewaakt. Deze les gaat over het eerste:

--- a header: ana logs in, and next carries an encoded line break ---
POST /login?next=/%0d%0aSet-Cookie:%20note=written-by-the-attacker  -> 303
the head of the reply, line by line:
  location: /
  Set-Cookie: note=written-by-the-attacker
  content-length: 0
  set-cookie: __Host-session=4AxVgGU18_wz0Copyj-ihA; HttpOnly; Max-Age=28800; Path=/; SameSite=Lax; Secure
  cache-control: no-store
the request wrote a line of your reply: Set-Cookie: note=written-by-the-attacker

Je sessie-id zal anders zijn. De tweede headerregel is niet van jou. Je server heeft geen cookie met de naam note. De resultaatregel zegt 4 of 4 attacks worked, en de andere drie delen wachten op de volgende lessen.

Hoe de regel daar kwam

Volg de waarde door drie stappen.

Het verzoekdoel bevat %0d%0a, zes onschuldige tekens. parse_qs decodeert de procenttekens in querywaarden, zoals het hoort, en %0d%0a wordt een carriage return en een line feed, kortweg CR en LF. Dus params["next"][0] is de tekst /, een echt regeleinde, en daarna Set-Cookie: note=written-by-the-attacker.

redirect() zet die tekst zoals hij is in de header location. http_adapter schrijft elke header als zijn naam, een dubbele punt, de waarde en een regeleinde, en hij schrijft de waarde zoals hij hem krijgt.

Een client beëindigt een header bij het regeleinde. Hij leest location: /, en daarna een tweede header.

Een header is één regel, en je server liet tekst uit een verzoek bepalen waar die regel eindigt. Dit is header-injectie (header injection). Een aanvaller die iemand zo’n verzoek laat versturen, kan een cookie naar keuze van de aanvaller in de browser van die persoon zetten, en met twee regeleinden achter elkaar de kop beëindigen en een body schrijven. De sessiefixatie uit hoofdstuk 4 begon bij een cookie die een aanvaller had gekozen.

Weiger, repareer niet

Eén oplossing is de regeleinden weghalen en de rest houden. Zulke reparaties nodigen uit tot een tweede truc. Haal alleen \n weg, en een losse \r staat er nog. Haal het paar \r\n weg, en dan gebeurt dit:

repaired = "/\r\r\n\nSet-Cookie: note=x".replace("\r\n", "")
print(repaired == "/\r\nSet-Cookie: note=x")

Het drukt True af. Door één paar weg te halen, schoven de tekens eromheen tegen elkaar aan tot een nieuw paar, en de gerepareerde waarde heeft weer een regeleinde.

Er is een eenvoudigere regel, en die kost niets, want een headerwaarde met een regeleinde erin is nooit eerlijke invoer. header_value(text) werpt ValueError("a header value must be one line") op als de tekst \r, \n of het NUL-teken \x00 bevat, dat evenmin iets in een headerwaarde te zoeken heeft. Anders geeft hij de tekst onveranderd terug.

Bewaak de plek die schrijft

De controle zou in login_response kunnen, naast de waarde die het probleem veroorzaakte. Les 3 gaf de betere regel: de verdediging hoort waar de tekst wordt gebruikt. redirect() is de ene functie die tekst omzet in een header location, dus die schrijft header_value(location). Elke doorverwijzing van de dienst gaat dan door de controle, ook die voor de oude paden /v0/books, en dat geldt ook voor elke doorverwijzing die je later toevoegt.

redirect() werpt nu een exception op voor zo’n waarde, en login_response moet antwoorden. Die vangt de ValueError op en geeft json_error(400, "next must be one line") terug.

Eén meegeleverd detail maakt die weigering schoon. De loginbranch van route() roept eerst login_response aan, en start de sessie alleen als de status van het antwoord onder 400 ligt. Een login die met 400 wordt geweigerd, laat geen sessie achter en zet geen cookie.

Je taak

Schrijf eerst de aanval. Voeg in tests/test_attacks.py test_attack_next_cannot_add_a_header_line toe:

1. Bouw de state met reading_server.sample_state(), en de headers met {"Authorization": helpers.basic("ana", "correct horse")}.

2. Log in met het doel /login?next=/books en controleer met een assert dat de status 303 is. Dit laat zien dat een schone next werkt.

3. Log in met het doel /login?next=/%0d%0aSet-Cookie:%20note=written-by-the-attacker. Controleer voor elke header van het antwoord dat zijn waarde geen "\r", geen "\n" en niet de tekst written-by-the-attacker bevat.

De test controleert wat nooit mag gebeuren, en niet welke status de server kiest. Voer hem uit:

python -m pytest -q

Hij eindigt met 1 failed, 22 passed, en de fout is een carriage return die in de waarde van location werd gevonden.

Daarna, in reading_server.py:

1. Schrijf header_value(text).

2. Schrijf in redirect() header_value(location) in de header.

3. Vang in login_response de ValueError op en antwoord 400.

Voer de tests opnieuw uit, 23 passed, en daarna het scenario:

--- a header: ana logs in, and next carries an encoded line break ---
POST /login?next=/%0d%0aSet-Cookie:%20note=written-by-the-attacker  -> 400
the head of the reply, line by line:
  content-type: application/json
  content-length: 34
  cache-control: no-store
the body of the reply: {"error": "next must be one line"}
no line of the reply came from the request

De resultaatregel zegt nu 3 of 4 attacks worked. Een verkeerd wachtwoord wordt beantwoord zoals eerst: 401, wat next ook bevat.

Druk daarna op Check my work. Lees het tweede deel van het scenario voordat je verdergaat. Een next van //other.example/welcome is één schone regel, dus header_value laat hem door, en het antwoord stuurt de lezer naar een andere site. Dat is de volgende les.