技能介绍

应对前后端解析差异导致的 HPP 漏洞

在 Web 应用安全测试中，当同一个参数名在请求中出现多次时，不同组件（如前端框架、反向代理、后端应用）的解析逻辑往往不一致。这种 HTTP 参数污染（HPP）可能导致访问控制绕过、逻辑缺陷甚至注入攻击。本技能旨在为安全工程师和渗透测试人员提供一套系统化的 HPP 测试方法论，帮助在复杂的 Web 架构中精准定位参数处理缺陷。

核心能力与测试步骤

当触发该技能时，系统会加载完整的 HPP 操作清单，并按顺序指导你完成测试：

重复参数注入：构造包含多个相同参数的请求，观察服务器的响应行为。
解析差异分析：对比前端校验与后端处理逻辑，识别 server-side 和 client-side 的解析分歧。
WAF 绕过尝试：利用 HPP 的特性构造 payload，测试是否能够绕过 Web 应用防火墙（WAF）的过滤规则。
上下文适用性评估：针对当前目标架构，评估每种利用模式的可行性。
进度追踪与建议：记录已完成的检查项，并根据初步发现推荐下一步的测试方向。

适用边界与注意事项

该技能主要面向授权的安全测试场景，用于验证 Web 应用对参数处理的健壮性。在实际应用中，需注意不同框架和中间件（如 PHP、ASP.NET、Node.js）对重复参数的处理机制存在显著差异。测试时应结合具体的技术栈进行验证，避免盲目套用通用 payload 导致误报或遗漏。此外，HPP 本身通常不直接构成高危漏洞，但常作为逻辑绕过或注入攻击的辅助手段，需结合业务逻辑进行深度利用。