Pabeidziet CONNECT galveņu parsēšanu pirms klienta straumes pārsūtīšanas

Starpniekserveris, kas pārsūta tikai pēc pieprasījuma rindas, var nosūtīt savu Host galveni uz mērķa TLS portu.

Pēc CONNECT pieprasījuma rindas šie baiti joprojām pieder starpniekam:

CONNECT service.example:443 HTTP/1.1\r\n
Host: service.example:443\r\n
User-Agent: example-client\r\n
\r\n

Pārsūtot Host vai User-Agent uz 443 portu, mērķis saņem vienkārša teksta galvenes tur, kur tas gaida TLS. Šī kļūda var rasties vēl pirms šifra izvēlei ir nozīme.

  1. Lasiet un parsējiet līdz galveņu beigām ar tukšu rindu, iestatīšanas termiņa un galveņu izmēra ierobežojuma ietvaros.
  2. Piemērojiet starpnieka autentifikāciju un mērķa politiku.
  3. Izveidojiet apstiprināto savienojumu ar mērķi.
  4. Nosūtiet veiksmīgo CONNECT atbildi un pārejiet tuneļa režīmā.

Saglabājiet buferētos baitus pēc robežas atbilstošajam nākamajam stāvoklim. Neizmetiet tos un neuzskatiet starpnieka pieprasījuma galvenes par vēlāku vietnes pieprasījumu.

Klientam ir atbilstošs pienākums atbildes pusē: pabeidziet veiksmīgās CONNECT atbildes lasīšanu pirms tuneļa protokola sākšanas. Abām pusēm jāvienojas par robežu, kur straume maina lomu.

Saistītie raksti