PortSwigger揭露HTTP走私新技術：AI系統HTTP Terminator如何找出「懸空位元組」漏洞

PortSwigger研究總監James Kettle打造一套AI輔助資安研究系統，取名HTTP Terminator。這套系統探索了3萬組候選HTTP去同步化（HTTP Desync）攻擊向量，自主找出並驗證多項新型攻擊技術。PortSwigger另外提到，研究團隊透過人力主導的調查路線，同樣揪出Apache Traffic Server的一個零時差漏洞。

系統如何產生攻擊靈感

Kettle說明，他先把138份HTTP與SMTP相關RFC文件拆成約1萬5千個小片段，餵給系統當作生成靈感，最後產出3萬組獨特的候選攻擊向量。這套系統接著鎖定3萬個網站進行測試，這些網站都已透過臭蟲懸賞或漏洞揭露計畫取得授權，最終篩出約700個具風險目標，再送進更深入的驗證與回應佇列污染（Response Queue Poisoning，RQP）研究。Kettle表示，受影響對象橫跨銀行、政府基礎設施、資安產品業者，甚至一座機場。

這次研究的成果，包括新型去同步化觸發手法、雙重比對Content-Length模式，以及專門用來提升RQP可靠度的「懸空位元組」（Dangling-byte）技術。RQP攻擊一旦得逞，前端伺服器就可能認錯後端回應該對應哪位使用者，讓其他人的回應內容外洩，包括工作階段Cookie或API金鑰都可能因此外流。

另一項採用Content-Type: multipart/byteranges的技術，在多種伺服器實作上都能奏效，測試範圍內就找出逾200個受影響網站，其中包含一家未具名的美國銀行。

懸空位元組如何解決穩定度難題

系統自主測試了16種改善RQP的構想，最後只有懸空位元組技術通過驗證。這項技術的原理是讓走私請求刻意短少一個位元組，後端要等受害者的請求補齊這個缺口，才會產生第二筆回應。過去RQP攻擊常因為競爭條件（Race Condition）問題而難以穩定觸發，這項技術等於直接消除了這個變數。

Apache零時差：修補已完成，公開編號仍待確認

至於人力主導的發現路徑，一則異常格式請求最終讓Apache Traffic Server的去同步化零時差漏洞現形，編號追蹤為CVE-2026-63078。PortSwigger表示問題已經修補完成。不過，外媒8月7日查證時發現，CVE.org與NVD資料庫都還查不到CVE-2026-63078的紀錄，Apache同月稍早發布、涵蓋34項漏洞的公告裡也沒有這個編號。換句話說，防禦端目前還無法把這個編號對應到具體的修補版本，相關細節仍待Apache官方進一步公開確認。

人機協作的分界在哪裡

Kettle表示，共享解析器混淆（Shared-Parser Confusion）這個概念，最早是HTTP Terminator發現伺服器重複使用解析邏輯時，回應處理規則可能被誤套用到請求處理上而浮現的。這個概念由系統提出，但驗證與歸納的工作仍落在Kettle身上。他說：「這項發現，我們兩者單獨都不可能做到。」

這也劃出了這次研究裡人機協作的分界：系統能在沒有人力直接介入的情況下，自主產出並驗證部分技術；但Apache零時差漏洞與共享解析器混淆這兩項成果，仍然少不了Kettle親自介入。

防禦建議

PortSwigger在防禦建議上維持一貫立場，仍建議企業避免在上游架構中使用HTTP/1.1。如果真的無法完全移除HTTP/1.1，則應該在前端與後端兩層都設定方法白名單，並限制可攜帶請求本文（Request Body）的方法種類。

PortSwigger已經把HTTP Terminator開源釋出，研究論文並未具體說明每項自主發現各自使用哪個模型版本，只透露文件擷取與測試案例產生階段採用Claude，調查階段則需要用到Claude Code。另外，研究CRLF走私攻擊的團隊也另行釋出了crlf-desyncs與crlf-powered-desync-scanner等公開工具，供外界研究此類攻擊手法。

本文轉載自TheHackerNews。