Джеймс Кеттл: Browser-Powered Desync — нова ера HTTP Request Smuggling

Виступ на DEF CON 30 про новий клас атак на основі HTTP Request Smuggling, у яких браузер жертви перетворюється на інструмент для десинхронізації запитів.

Показано, як за допомогою кросдоменних запитів і помилок серверної обробки можна отруювати connection pool браузера, встановлювати бекдори та поширювати desync-червів. Атаки демонструються на популярних платформах і сервісах — зокрема Apache, Akamai, Varnish, Amazon та веб-VPN.