Smarter by Design.Simpler for Business
TR7Enterprise Application Delivery & Security Platform
HTTP Request Smuggling nedir?
Kısa cevap
HTTP Request Smuggling, önde duran bir proxy ya da load balancer ile arkadaki sunucunun aynı isteğin nerede bittiğini farklı yorumlamasından yararlanır: saldırgan Content-Length ve Transfer-Encoding header'larını çelişkili biçimde göndererek tek bir bağlantıya ikinci, gizli bir istek sıkıştırır; amaç güvenlik denetimlerini atlatmak, önbelleği zehirlemek ya da başka kullanıcıların isteklerini etkilemektir (CWE-444, RFC 9112). TR7'de ilk savunma HTTP ayrıştırmasıdır: TR7 isteği Kurum Servisine iletmeden önce kendisi ayrıştırıp yeniden çerçeveler ve birden çok Content-Length ya da Content-Length ile Transfer-Encoding'i birlikte taşıyan istekleri varsayılan olarak 400 ile reddeder. WAF'ta yerleşik Signature & Rule Library'nin HTTP Request Smuggling kategorisi (8 kural) bu kalıpları ayrıca arar; Bot Protection'ın Protocol Mismatch faktörü de bu header birleşimlerini, ayrıştırmayı gevşeten URL Normalization seçeneği açıkken bot score'a katar.
TR7'de Nerede Kullanılır
| Nerede | Alan / etiket | Ne için |
|---|---|---|
| Configuration Menu → WAF → Signature & Rule Library; vService'in OWASP Rules ekranı | Signature Category kolonu (varsayılan gizli); Filter → Signature Categories → HTTP Request Smuggling | Kategorideki kuralları listeleme; durumunu ya da puanını değiştirme |
| WAF Event Logs ve Global WAF Event Log | Category kolonu (varsayılan gizli), filtre şeridinde Category sekmesi, kayıt önizlemesinde Category satırı | İsteğin bu kategorideki bir imzaya takıldığını görme |
| Load Balancer → Actions → URL Normalization | Accept headers not compatible with RFC7230 HTTP/0.9,HTTP/1.0 (Condition independent) | Varsayılan katı ayrıştırmayı gevşeten seçenek; koşuldan bağımsız olarak bütün vService trafiğine uygulanır |
| Bot/DDoS Protected vService → Bot/DDoS Management → Bot Protection → Factors | Protocol Hygiene → Protocol Mismatch | İki kez gönderilen Content-Length ya da birlikte gelen Content-Length ve Transfer-Encoding'i bot score'a katma; varsayılan ayrıştırma bu istekleri zaten 400 ile reddettiğinden bu kollar yalnızca gevşetme seçeneği açıkken devreye girer |
- Smuggling ve parameter pollution'a karşı korumanın ayrıntısı ve yapılandırma adımları: HTTP request smuggling ve parameter pollution saldırılarına karşı koruma var mı?
- Kategorinin 8 kuralından 2 puanlı (Low) 3'ü yalnızca Aggressive koruma düzeyinde taranır.
Sık Karıştırılan Noktalar
- "Tek sunuculu yapıda risk yoktur." Risk, istemci ile uygulama arasındaki iki HTTP katmanının (ADC, CDN, reverse proxy) aynı isteği farklı yorumlamasından doğar; önde bir ara katman olan her mimaride değerlendirilir.
- "Smuggling isteğin içeriğinde saldırı taşır." Asıl sorun isteğin sınırlarının belirsizleştirilmesidir; içerik temiz görünebilir.
- "Bu korumayı WAF imzaları sağlar." İlk ve belirleyici katman TR7'nin isteği kendisi ayrıştırıp yeniden çerçevelemesidir; imzalar ve bot faktörü ek katmandır.
Dokümantasyonda nasıl yapılır
