关于Malformed HTTP Requests的分析、意图解码及相关技术问询

我完全懂你碰到这类乱码请求时的头疼——一堆看起来毫无意义的控制字符和乱码，既看不懂意图，又担心是恶意攻击。下面我来帮你拆解这类请求的来龙去脉、解码方法，还有对应的防护建议：

这类畸形请求的常见背景 #

• 你看到的[[#数字]]其实是ASCII控制字符的标记（比如[[#1]]对应ASCII的SOH起始头字符，[[#22]]对应SYN同步空闲字符），这类混杂控制字符、乱码字节的请求，大多来自自动化扫描工具或恶意脚本。
• 攻击者的核心逻辑是“广撒网碰运气”：很多老旧的Web服务器、应用框架在处理非标准HTTP请求时，可能存在解析漏洞、缓冲区溢出问题，攻击者批量发送这类畸形请求，就是为了试探你的服务有没有未修补的漏洞。

如何解码这类请求的意图 #

要搞清楚它们的目的，可以按这几步来：

1. 转换控制字符：先把[[#X]]格式的标记转换成对应的ASCII字符。你可以手动查ASCII对照表，或者写个简单的Python脚本批量处理：

   import re
   def decode_control_markup(raw_request):
       def replace_control(match):
           char_code = int(match.group(1))
           return chr(char_code)
       return re.sub(r'\[\[#(\d+)\]\]', replace_control, raw_request)
   

2. 尝试不同编码解码：转换后如果还是乱码，试试用不同的字符编码（比如Latin-1、UTF-16）去解析——攻击者可能故意用错误编码绕过服务端的解析逻辑，不过很多时候这类请求本身就是无意义的垃圾，目的只是触发服务端异常。
3. 观察请求模式：如果这类请求批量打向你多个服务端点，大概率是漏洞扫描：比如试探你的服务是否支持旧版HTTP方法、有没有畸形URL解析漏洞，或者针对特定CVE（比如早年Apache Struts、Tomcat的解析漏洞）的定向扫描。

这类请求的潜在危害 #

• 资源消耗型危害：大量这类请求会占用服务器的带宽、CPU和连接数，导致正常用户的请求被阻塞，属于DoS攻击的一种变体。
• 漏洞利用风险：如果你的服务端软件存在未修补的解析漏洞，这类畸形请求可能触发代码执行、目录遍历或者数据泄露——比如部分老旧服务器会错误地将控制字符解析为请求路径的一部分，导致越权访问。

实用防护建议 #

• 启用Web应用防火墙（WAF）：WAF能自动识别并拦截这类非标准的畸形请求，大部分云服务商的WAF都内置了成熟的规则来过滤这类恶意流量。
• 及时更新服务端软件：确保你的Web服务器（Nginx、Apache）、应用框架（Spring、Django等）都是最新版本，修补已知的解析类漏洞。
• 配置请求过滤规则：在服务器配置里限制请求的最大长度，只允许标准的HTTP方法（GET、POST、PUT等），直接拒绝包含ASCII控制字符的请求。
• 监控并拉黑恶意IP：用日志分析工具监控这类请求的来源IP，如果发现某个IP批量发送畸形请求，直接将其加入服务器的防火墙黑名单。

备注：内容来源于stack exchange，提问作者Elhitch