Cache Poisoning and Cache Deception
最后更新于
最后更新于
使用Trickest可以轻松构建和自动化工作流程，使用世界上最先进的社区工具。 立即获取访问权限：
Web缓存毒化和Web缓存欺骗有何区别？
在Web缓存毒化中，攻击者导致应用程序将一些恶意内容存储在缓存中，并且这些内容从缓存中提供给其他应用程序用户。
在Web缓存欺骗中，攻击者导致应用程序将属于另一个用户的一些敏感内容存储在缓存中，然后攻击者从缓存中检索这些内容。
缓存毒化旨在操纵客户端缓存，以强制客户端加载意外、部分或受攻击者控制的资源。受影响页面的流行程度决定了影响的程度，因为受污染的响应仅提供给在缓存污染期间访问页面的用户。
执行缓存毒化攻击涉及几个步骤：
识别无键输入：这些是虽然不是请求缓存所必需的参数，但可以改变服务器返回的响应。识别这些输入至关重要，因为它们可以被利用来操纵缓存。
利用无键输入：在识别无键输入后，下一步涉及弄清如何滥用这些参数，以使服务器的响应以有利于攻击者的方式进行修改。
确保毒化响应被缓存：最后一步是确保操纵的响应存储在缓存中。这样，任何在缓存被毒化时访问受影响页面的用户都将收到受污染的响应。
通常，当响应被存储在缓存中时，会有一个指示的头部，您可以在此帖子中查看应该注意的头部：HTTP缓存头部。
如果您认为响应被存储在缓存中，可以尝试发送带有错误头部的请求，应该会收到状态码400的响应。然后尝试正常访问请求，如果响应是400状态码，则说明存在漏洞（甚至可以执行DoS攻击）。
您可以在以下位置找到更多选项：
Cache Poisoning to DoS但请注意，有时这种类型的状态码不会被缓存，因此此测试可能不可靠。
您可以使用Param Miner来暴力破解可能改变页面响应的参数和头部。例如，页面可能使用头部X-Forwarded-For来指示客户端从那里加载脚本：
通过识别的参数/标头，检查它是如何被清理以及它在哪里被反映或影响响应的。您能否以任何方式滥用它（执行 XSS 或加载由您控制的 JS 代码？执行 DoS？...）
一旦您确定了可以滥用的页面，要使用的参数/标头以及如何滥用它，您需要将页面缓存。根据您尝试缓存的资源，这可能需要一些时间，您可能需要尝试几秒钟。
响应中的标头**X-Cache可能非常有用，因为当请求未被缓存时，它可能具有值miss，而当它被缓存时，它可能具有值hit。
标头Cache-Control也很有趣，可以了解资源是否被缓存以及下次资源将再次被缓存的时间：Cache-Control: public, max-age=1800
另一个有趣的标头是Vary。此标头通常用于指示其他标头**，即使它们通常是无键的，也被视为缓存键的一部分。因此，如果用户知道受害者的 User-Agent，他可以为使用该特定 User-Agent 的用户毒害缓存。
与缓存相关的另一个标头是**Age**。它定义了对象在代理缓存中存在的秒数。
在缓存请求时，要小心使用标头，因为其中一些可能会意外使用为键，受害者将需要使用相同的标头。始终使用不同的浏览器测试缓存投毒以检查是否有效。
像 X-Forwarded-For 这样的标头在响应中未经清理地反映出来。
您可以发送基本的 XSS 负载并毒害缓存，因此每个访问该页面的人都将受到 XSS 攻击：
Note that this will poison a request to /en?region=uk not to /en
Cookie也可能反映在页面的响应中。如果您可以滥用它来引发跨站脚本攻击，您可能能够利用恶意缓存响应中加载的多个客户端中的跨站脚本攻击。
这篇文章解释了 如何通过类似 https://chat.openai.com/share/%2F..%2Fapi/auth/session?cachebuster=123 的 URL 来窃取 OpenAI API 密钥，因为任何匹配 /share/* 的内容都会被缓存，而 Cloudflare 在请求到达 Web 服务器时并未对 URL 进行规范化。
有时，您需要利用多个未加密的输入来滥用缓存。例如，如果您将 X-Forwarded-Host 设置为您控制的域，并将 X-Forwarded-Scheme 设置为 http，如果服务器将所有HTTP请求转发到 HTTPS，并使用标头 X-Forwarded-Scheme 作为重定向的域名，您可以通过重定向控制页面指向的位置。
Vary 头部如果你发现 X-Host 头部被用作域名来加载一个JS资源，但响应中的 Vary 头部指示了 User-Agent。那么，你需要找到一种方法来窃取受害者的 User-Agent 并使用该用户代理来操纵缓存：
使用GET请求，在URL和正文中发送请求。如果Web服务器使用正文中的请求，但缓存服务器缓存了来自URL的请求，则访问该URL的任何人实际上将使用正文中的参数。就像James Kettle在Github网站发现的漏洞一样：
例如，在 Ruby 服务器中，可以使用字符 ; 而不是 & 来分隔 参数。这可以用来将非键入参数值放入键入参数中并滥用它们。
Portswigger 实验室：https://portswigger.net/web-security/web-cache-poisoning/exploiting-implementation-flaws/lab-web-cache-poisoning-param-cloaking
在这里了解如何通过滥用 HTTP 请求走私来执行 利用 HTTP 缓存投毒攻击。
Web 缓存漏洞扫描器 可用于自动测试 Web 缓存投毒。它支持许多不同的技术，并且高度可定制化。
示例用法：wcvs -u example.com
使用 Trickest 轻松构建和 自动化工作流程，使用世界上 最先进 的社区工具。 立即获取访问权限：
ATS 转发了 URL 中的片段而没有剥离它，并仅使用主机、路径和查询生成缓存键（忽略片段）。因此，请求 /#/../?r=javascript:alert(1) 被发送到后端作为 /#/../?r=javascript:alert(1)，缓存键中不包含有效载荷，只有主机、路径和查询。
在内容类型标头中发送错误值会触发 405 缓存响应。缓存键包含了 cookie，因此只能攻击未经授权的用户。
GitLab 使用 GCP 存储静态内容。GCP 存储桶 支持 头部 x-http-method-override。因此，可以发送头部 x-http-method-override: HEAD 并将缓存投毒为返回空响应主体。它还可以支持方法 PURGE。
在 Ruby on Rails 应用程序中，经常使用 Rack 中间件。Rack 代码的目的是获取 x-forwarded-scheme 头部的值并将其设置为请求的方案。当发送头部 x-forwarded-scheme: http 时，会发生到同一位置的 301 重定向，可能导致对该资源的拒绝服务（DoS）。此外，应用程序可能会识别 X-forwarded-host 头部并将用户重定向到指定的主机。这种行为可能导致从攻击者服务器加载 JavaScript 文件，存在安全风险。
Cloudflare 以前缓存 403 响应。尝试使用不正确的授权标头访问 S3 或 Azure 存储 Blob 会导致缓存的 403 响应。尽管 Cloudflare 已停止缓存 403 响应，但这种行为可能仍存在于其他代理服务中。
缓存通常在缓存键中包含特定的 GET 参数。例如，Fastly 的 Varnish 在请求中缓存了 size 参数。但是，如果还发送了参数的 URL 编码版本（例如，siz%65）并陦有错误值，缓存键将使用正确的 size 参数构建。然而，后端将处理 URL 编码参数中的值。将第二个 size 参数进行 URL 编码会导致缓存中省略该参数，但后端会使用它。将此参数赋值为 0 会导致可缓存的 400 错误请求。
一些开发人员阻止与高流量工具（如 FFUF 或 Nuclei）匹配的用户代理的请求，以管理服务器负载。具有讽刺意味的是，这种方法可能会引入缓存投毒和 DoS 等漏洞。
RFC7230 指定头部名称中可接受的字符。头部包含指定 tchar 范围之外的字符应该触发 400 Bad Request 响应。实际上，服务器并不总是遵循这个标准。一个值得注意的例子是 Akamai，它会转发带有无效字符的头部并缓存任何 400 错误，只要不存在 cache-control 头部。发现了一个可利用的模式，发送带有非法字符的头部，例如 \，会导致可缓存的 400 Bad Request 错误。
https://gist.github.com/iustin24/92a5ba76ee436c85716f003dda8eecc6
缓存欺骗的目标是使客户端加载将由缓存保存的资源及其敏感信息。
首先注意，例如 .css、.js、.png 等扩展名通常被配置为保存在缓存中。因此，如果访问 www.example.com/profile.php/nonexistent.js，缓存可能会存储响应，因为它看到了 .js 扩展名。但是，如果应用程序正在使用存储在 www.example.com/profile.php 中的敏感用户内容进行重放，您可以从其他用户那里窃取这些内容。
其他要测试的内容：
www.example.com/profile.php/.js
www.example.com/profile.php/.css
www.example.com/profile.php/test.js
www.example.com/profile.php/../test.js
www.example.com/profile.php/%2e%2e/test.js
使用较少知名的扩展名，如 .avif
另一个非常明显的例子可以在这篇文章中找到：https://hackerone.com/reports/593712。 在这个例子中，解释了如果加载一个不存在的页面，如 http://www.example.com/home.php/non-existent.css，将返回 http://www.example.com/home.php 的内容（带有用户的敏感信息），并且缓存服务器将保存结果。 然后，攻击者可以在他们自己的浏览器中访问 http://www.example.com/home.php/non-existent.css 并观察之前访问过的用户的机密信息。
请注意，缓存代理应该根据文件的扩展名（.css）而不是根据内容类型来配置文件的缓存。在示例中，http://www.example.com/home.php/non-existent.css 将具有 text/html 内容类型，而不是预期的 text/css MIME 类型（这是 .css 文件的预期类型）。
在这里了解如何执行滥用 HTTP 请求走私来执行 Web 缓存欺骗攻击。
toxicache：Golang扫描器，用于在URL列表中查找Web缓存投毒漏洞并测试多种注入技术。
使用 Trickest 可轻松构建和自动化由全球最先进的社区工具提供支持的工作流程。 立即获取访问权限：
