HTTPリクエスト・スマグリング検出ツールの仕組みを理解する - Shikata Ga Nai
Hello there, ('ω')ノ HTTPリクエスト・スマグリング（HRS）は、フロントエンドとバックエンドの リクエスト解釈の食い違い を突いて「隠れたリクエスト」を密輸する攻撃です。2005年に最初に報告され、2019年には James Kettle（@albinowax）が DEF CON / Black Hat で再び注目させました。 ここでは、攻撃者がどのように脆弱性を検出するか、そして紹介されている Python ツールがどのように動作するのかを、初心者にもわかりやすく解説します。 なぜ時間遅延で検出できるのか？ 攻撃者は「フロントとバックでリクエストの終わりをどう解釈するか」を揺さぶります。その結果、サーバーが次のリクエストを待ち続けて応答が遅れることがあります。これが検出のサインです。 代表的な2つの手法 1. CL.TE（Content-Length と Trans
rjとtとjqコマンドでHTTPレスポンスを試験する - ゆーすけべー日記
Web 開発者は HTTP レスポンスをよく見る。 以前 CDN を導入する際に、キャッシュがヒットしているかどうか、どこのエッジがキャッシュを返しているかを確認するためにヘッダをよく見ていた。また、ヘッダだけではなく、TTFB といったレスポンスタイムも気にしている。とにかく HTTP レスポンスをよく見る。 HTTP レスポンスを確認する３つの方法 Chrome さえあれば DevTools を見て一目瞭然である。 とはいえ、コマンドラインで確認したい時がしばしばある。 GUI を操作するよりも手軽である。 その場合はcurlコマンドを叩けばよい。 これでプロトコル、ステータス、ヘッダが分かる。 また、レスポンスタイムを測りたければ、その名もttfb.shというcurlをラップしたコマンドラインツールがある。 https://github.com/jaygooby/ttfb.sh この
GitHub - mehrdadrad/tcpprobe: Modern TCP tool and service for network performance observability.
TCPProbe is a modern TCP tool and service for network performance observability. It exposes information about socket’s underlying TCP session, TLS and HTTP (more than 60 metrics). you can run it through command line or as a service. the request is highly customizable and you can integrate it with your application through gRPC. it runs in a Kubernetes cluster as cloud native application and by addi
社内プロキシ下でもCntlmを使って快適に開発する - なっく日報
概要 社内プロキシ下での開発にはCntlmを使うといいよという話。 注意事項 この記事の内容を導入する場合、自己責任でお願いします。 コレ的な設定は会社のセキュリティ的にグレーになるパターンが多いと思われるので、セキュリティ担当部署に導入して良いか相談してみるのが良いでしょう。 対象とする読者 社内プロキシ下での開発に苦しんだことのある開発者。 パスワードが変わったからアプリとかCLIツールの設定を全部変えないとダメじゃん！ curl で社内のAPI叩くときはプロキシ通したくないのに社外のときは通さないとダメとかやってられん！ この言語のパッケージマネージャーのプロキシ設定ってあるのか？また調べないとダメなんか・・・ などなど。 社内プロキシとは？ 会社によってはインターネットに出るときに通さねばならないプロキシ。 多くの場合PCでログインするときと同じユーザ名・パスワードを設定する必要が
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
GitHub - rcoh/angle-grinder: Slice and dice logs on the command line
GitHub - 1buran/rHttp: REPL for HTTP
GitHub - queercat/BannerGrab: A simple Python script that tries to grab a HTTP, FTP, and SMTP banners.
Zgrab2 helper script to include the http(s) port in the output
A Detailed Guide on httpx
GitHub - noptrix/httpgrep: Scans for HTTP servers and finds given strings in HTTP body and HTTP response headers.
GitHub - servicex-sh/homebrew-tap: Homebrew Formula for httpx cli
GitHub - httpie/cli: 🥧 HTTPie CLI — modern, user-friendly command-line HTTP client for the API era. JSON support, colors, sessions, downloads, plugins & more.
hacks/mirror at master · tomnomnom/hacks
HTTP経由で世界中のネームサーバーを使いDNSクエリを実行する - Qiita
GitHub - kgoins/headergrep
GitHub - neex/http2smugl
GitHub - defparam/smuggler: Smuggler - An HTTP Request Smuggling / Desync testing tool written in Python 3
GitHub - projectdiscovery/httpx: httpx is a fast and multi-purpose HTTP toolkit that allows running multiple probes using the retryablehttp library.