当 CDN/反向代理/负载均衡与源站对 HTTP…

适用于怀疑前端代理与源站在 Content-Length/Transfer-Encoding 或 H2 降级等消息边界上不一致，需要验证 CL.TE、TE.CL、TE.TE、H2 走私或客户端去同步的场景。

适用场景

解决思路

1. 路由预检：若 HTTP 客户端库为 Apache HttpClient <= 4.5.9（HTTPCLIENT-1974/1978），加载 ghost-bits-cast-attack；向 header value 注入 `瘍瘊`（U+760D U+760A，低字节 `\r\n`），使 char-to-byte writer 输出字面 CRLF，分裂请求，不依赖 CL/TE 不一致。
2. 先被动确认 front-end + origin 两跳路径，再选择最小干扰探针；生产环境降低并发。
3. CL.TE 首次探测：假设前端优先 Content-Length、后端优先 Transfer-Encoding: chunked；使用很短 CL 让前端接受假结束，后端继续 chunk 解析并留下剩余字节。发送：`POST / HTTP/1.1\r\nHost: target.example\r\nContent-Type: application/x-www-form-urlencoded\r\nContent-Length: 13\r\nTransfer-Encoding: chunked\r\n\r\n0\r\n\r\nSMUGGLED`；前端按 `Content-Length: 13` 只读 `0\r\n\r\nSMUGGLED` 共 13 字节并认为请求完成，后端解析 chunked 在 `0` 结束块后把 `SMUGGLED` 及后续当作下一请求起始字节流。
4. TE.CL 首次探测：假设前端解析 chunked、后端只读 Content-Length；设置 CL 等于 chunk-length line 字节数（通常 `4`：两个十六进制字符 + `\r\n`），让后端只消耗长度行，剩余缓冲供后续请求拼接。嵌入第二请求，所有行结尾为 CRLF；`35` 十六进制 chunk length = 53 bytes。发送：`POST / HTTP/1.1\r\nHost: target.example\r\nContent-Type: application/x-www-form-urlencoded\r\nContent-Length: 4\r\nTransfer-Encoding: chunked\r\n\r\n35\r\nGET /admin HTTP/1.1\r\nHost: target.example\r\nFoo: x\r\n\r\n0\r\n\r\n`；在线上 chunk body 必须恰好 53 bytes；若改 path/headers，重算 chunk length 并更新 hex length line。
5. 安全注意：仅在授权范围测试；并发走私可污染连接池、破坏缓存或影响其他租户；优先隔离环境或低流量窗口。
6. CL.TE 模式与精确示例：前端信任 Content-Length，后端信任 Transfer-Encoding: chunked；同时存在 `Content-Length: 13` 和 `Transfer-Encoding: chunked`，body 为 `0\r\n\r\nSMUGGLED`；字节数 `0`+`\r\n`+`\r\n`+`SMUGGLED`=13。后端视角：chunked 流在 `0\r\n\r\n` 结束；若 `SMUGGLED` 以 `METHOD SP` 或其他有效请求前缀开头，就成为走私请求行前缀。
7. CL.TE 调优：若目标对重复 header、大小写或空格敏感，最小调整 Transfer-Encoding 变体（见 TE.TE 变体）并保持语义，匹配前端忽略 TE、后端执行 TE 的组合。
8. TE.CL 模式与意图：前端解析 chunked；后端只读 Content-Length（或 CL 太短）；前端把整个恶意字节流当 body，后端只读 CL 长度，剩余字节缓冲以与后续合法请求拼接。
9. TE.CL 完整嵌入第二请求：使用 `Content-Length: 4` 与首个 chunk-length 行 `35\r\n`。后端 CL 只读 message body 起始 4 字节 `3` `5` `\r` `\n`，标记 body 完成，并把剩余字节留在 TCP 读缓冲；前端 TE 把 `GET /admin...` 作为已关闭第一请求的 body 转发/消费（产品相关）；边界解释不匹配形成 TE.CL。
10. TE.CL 更长走私：例如 `POST` + `Content-Length: 11` + `x=1`，chunk length 约 `76`（hex `0x76`=118 bytes）；`Content-Length: 4` 仍可让后端只读长度行。
11. TE.CL 实践注意：chunk length 必须为有效 hex；第二请求必须满足目标对 Host、path、session cookie 的期望；时间窗口与连接复用策略决定是否命中其他用户请求。
12. TE.TE 模式：前后端都声称处理 Transfer-Encoding，但对哪个 TE 值有效或合法不同，导致一边 chunked、一边不是，仍产生等价 desync。
13. TE.TE 探测变体（单行显示；`\t` 表示真实 TAB）：`Transfer-Encoding: xchunked`；`Transfer-Encoding : chunked`；重复两次 `Transfer-Encoding: chunked`；`Transfer-Encoding: x`；`Transfer-Encoding:\tchunked`（将 `[TAB]` 替换为真实 `\x09`）；行首一个空格的 ` Transfer-Encoding: chunked`；`X: X` 后一行 `Transfer-Encoding: chunked`（利用 line continuation/宽松 header 解析，使某跳错误合并或拆分；分隔符可能为 `\n` 或 `\r\n`，取决于目标栈）；`Transfer-Encoding` 与 `: chunked` 分处不同物理行（某些解析器仍视为有效）。
14. TE.TE 策略：对每个 (front, back) 对，枚举哪侧接受每个变体为 chunked，然后映射到等价 CL.TE 或 TE.CL。
15. H2→H1 降级常见场景：边缘支持 HTTP/2、源站使用 HTTP/1.1；若实现不严格规范化 header fields 与 body boundaries，可观察 pseudo-header 到 regular-header 映射顺序错误、禁止 headers（如某些 Connection 组合）被错误转发、重复 header 合并规则与源站不一致。
16. Pseudo-header/header-injection smuggling：攻击面来自下游 H1 解析器把某些字节当作新请求开始；在 header 值中放置近似请求字节，例如 `header ignored\r\n\r\nGET / HTTP/1.1\r\nHost: target`；若一跳将完整字符串保留在 header 值，下一跳在 H1 重建时于 `\r\n\r\n` 处错误分割，可能开始新 `GET / HTTP/1.1`。
17. H2 测试方向：检查 H2 中 `Transfer-Encoding` / `Content-Length` 的重复和大小写处理（H2 要求小写，但翻译层可失败）；测试 `:method` 或 `:path` 包含异常字符时的降级行为；检查 tunneling 或 extended CONNECT 与 smuggling 的交互。
18. Client-side desync 场景：浏览器请求体处理与中间件/源站不同，或 `no-cors` + preflight exemptions 允许异常消息，产生类似经典 CL.TE/TE.CL 的队列效应（架构相关）。
19. HEAD + GET chain：某些栈历史处理 HEAD 响应 body、后续 pipelining 或连接复用不当；用具体浏览器版本和目标代理行为验证。
20. JavaScript PoC：用 `fetch` 向 `https://target.example/vulnerable` 发 POST，设置 `mode: no-cors`、`credentials: include`，body 为原始字节 `GET /admin HTTP/1.1\r\nHost: target.example\r\n\r\n`。
21. Client-side desync 注意：浏览器安全模型限制直接可读性；成功常表现为同连接其他请求的副作用或异常服务器日志/行为，而非直接读取响应；结合 SOP、CORS、扩展/代理因素评估。
22. 工具：Burp Suite — HTTP Request Smuggler（BApp Store）用于自动 desync 检测、常见变体、timing-delta checks。
23. 工具：defparam/smuggler（GitHub）用于 Python 脚本批量生成/发送 smuggling probes。
24. 工具：dhmosfunk/simple-http-smuggler-generator（GitHub）用于快速组装原始 CL.TE / TE.CL 消息模板。
25. 工具使用建议：先被动确认 front-end + origin 两跳路径，再选最小干扰探针，生产环境降低并发。
26. 检测决策树起点：若路径中有反向代理/CDN 则进入经典走私检查；若没有，经典走私价值低但仍测试 H2 desync。
27. 检测决策树：判断能否同时发送 TE + CL；不能则测试 H2-only issues（pseudo-header、reset）；能则判断前端偏好。
28. 检测决策树分支：前端偏好 CL wins 则用 CL.TE probes；TE wins 则用 TE.CL probes；errors/connection 则用 TE.TE obfuscation。
29. 检测决策树后续：检查 time/content/queue poisoning signals；调整 chunk sizes 与 CL alignment；对 (front, back) 建立配对矩阵，判断哪跳接受哪个变体。
30. 检测决策树确认：用第二个走私请求（replay-safe）或 Collaborator-style side signal 确认。
31. 高级参考：需要 H2.CL/H2.TE 字节级 payload 示例、CL.0（connection close desync）技术与检测、Fat GET request smuggling、Request smuggling→cache poisoning chain（响应队列错位）、Client-side desync via browser Fetch API with JS PoC templates、CDN/反向代理产品行为矩阵（HAProxy、Nginx、Apache、Cloudflare、AWS ALB、Envoy、Varnish 等）时，加载 H2_SMUGGLING_VARIANTS.md。
32. 相关路由：若输入进入解释器/查询语言/模板（不是 HTTP framing），转 Injection Testing Router，再钻取 XSS、SQLi、SSTI 等。
33. 相关路由：若问题为响应头分割 / Location CRLF，转 CRLF Injection。
34. 相关路由：若问题为缓存与路径键混淆，转 Web Cache Deception。
35. 一旦确认是 HTTP message-boundary 问题而非参数注入，留在本技能，避免误路由到通用注入流程。

适用边界 · 注意事项

• 未授权目标不要测试；并发走私可能污染连接池、破坏缓存或影响其他租户，应仅在授权范围、隔离环境或低流量窗口进行。
• 当问题不是 HTTP 消息边界，而是输入进入解释器/查询语言/模板、响应头 CRLF 分割或缓存路径键混淆时，不适用本技能，应转对应技能。
• 若客户端库是 Apache HttpClient <= 4.5.9 的字符到字节写入 CRLF 问题，优先用 ghost-bits-cast-attack；若不存在代理/源站两跳且无 H2 降级/客户端去同步条件，经典走私价值低。