web缓存欺骗

前言

是否遇到过，打开登录过的某网站，出现的却是别人的信息？

是否被要求过接口返回的手机号要用星号打码？

如果网站被黑客用缓存攻击，就可能展示的是别人的信息；若返回的手机号被打码，那泄露的这些信息就没那么大的影响

 

什么是web缓存欺骗

缓存是很多网站都会开启的，可以减少网络传输，提升用户体验等等

但若缓存和服务器的配置存在如下情况，则有可能被攻击

1、攻击者登录过example.com网站，然后打开http://www.example.com/home.php/non-existent.css

2、后端服务器，返回http://www.example.com/home.php（其中包含私人信息手机号等），并增加不缓存的http头

3、缓存服务器，根据后缀.css判断是静态文件，于是缓存，建立home.php缓存，并保存内容为私人信息

4、其他用户打开http://www.example.com/home.php，得到的是缓存过non-existent.css内容，会返回攻击者的私人信息

若攻击者将http://www.example.com/home.php/non-existent.css发送给受害者访问，然后攻击者就可以获取到受害者的私人信息

PayPal曾经被这样攻击过，参考：https://omergil.blogspot.com/2017/02/web-cache-deception-attack.html

 

解决方法

1、缓存服务器根据http头或content-type决定是否缓存

2、配置服务器对于http://www.example.com/home.php/non-existent.css请求 返回404