Михаил Соловьев. Обход ACL на реверс-прокси за счет разницы URL-парсеров

В докладе покажет, как можно обойти ACL вида location /admin { deny all; } в зависимости от фреймворка на бэкенде. Разница парсеров создает окно для обхода ACL. В данном ресерче — систематический поиск уязвимостей из-за разницы обработки URL между 5 фронтенд-слоями (nginx, Caddy, Traefik, Apache, Envoy) и 11 бэкенд-фреймворками (Express/Sails/Connect/Koa/Nest, Fiber, Flask/Django/FastAPI, H3/srvx, Restify, Go ServeMux, Ruby on Rails, userver, Yii 2, Laravel)