AIKraft/AI/Войти
AIKraft/Skills/http-parameter-pollution

http-parameter-pollution

HTTP Parameter Pollution (HPP): дублирование параметров, которые серверы и WAF трактуют по-разному. Применяется для обхода фильтров, SSRF, логических уязвимостей и путаницы с CSRF-токенами.

yaklang official Другое ★ 2.4k

Что делает навык

Skill предназначен для эксплуатации уязвимости HTTP Parameter Pollution (HPP), возникающей из-за различий в обработке дублирующихся параметров на разных этапах маршрутизации запроса (CDN, WAF, прокси, приложение). Он позволяет обходить фильтры безопасности, реализовывать SSRF, логические уязвимости и путаницу с CSRF-токенами.

Когда применять

  • Обход WAF, когда проверка безопасности читает одно значение параметра, а бизнес-логика — другое.
  • Реализация SSRF путем подмены легитимного URL вредоносным через дублирование параметра.
  • Обход защиты CSRF-токенов, когда система проверяет один токен, а использует другой.
  • Изменение бизнес-логики (например, суммы платежа или прав пользователя) через конфликт значений параметров.

Как работает

  1. Проанализировать полный путь запроса: браузер → CDN/WAF → reverse proxy → app framework → business code.
  2. Сформировать запрос с дублирующимися ключами параметров (например, a=1&a=2), так как на HTTP-уровне это не ошибка.
  3. Протестировать различные сценарии обработки дубликатов (первый, последний, объединение, массив) с использованием матрицы из раздела 1.
  4. Спроектировать цепочки сценариев (раздел 3), эксплуатирующие расхождения в трактовке параметров между WAF и бэкендом.
  5. Применить пейлоады для обхода фильтров или изменения логики (например, подмена user, amount, csrf, url).

Примеры запросов агенту

Проверь уязвимость HPP на параметре id, отправив запрос id=1&id=2.
Попробуй обойти фильтр безопасности с помощью пейлоада id=1&id=1%20OR%201=1.
Испытай SSRF через параметр url, отправив url=https://legit.example&id=https://evil.example.

Описание составлено по SKILL.md навыка, сверено 07.10.2026.

Как подключить

1Скачать навык
# возьмите папку навыка «http-parameter-pollution» из репозитория: # https://github.com/yaklang/hack-skills
2Положить папку с SKILL.md к навыкам ассистента
# положите папку навыка туда, где ассистент ищет skills: cp -r http-parameter-pollution/ ~/.claude/skills/http-parameter-pollution/

Навык — папка с файлом SKILL.md (описание + инструкции) и опциональными скриптами. Ассистент (Claude, Claude Code и совместимые) подхватывает его по описанию и следует шагам.