搜索

[12377] 2018-02-19_技术解析Web缓存欺骗测试

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2018-02-19_技术解析Web缓存欺骗测试 技 术 解 析   |   W e b 缓 存 欺 骗 测 试 m 0 9 0 4 6 1 0 5   F r e e B u f   2 0 1 8 - 0 2 - 1 9 * 本 文 原 创 作 者 ： 本 文 原 创 作 者 ： m 0 9 0 4 6 1 0 5 ， 本 文 属 ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 前 言 ： 前 言 ： O m e r   G i l 在 在 B l a c k H a t   U S A   2 0 1 7   和 和 B S i d e s   T e l - A v i v   2 0 1 7   上 ， 对 上 ， 对 W e b   缓 存 欺 骗 技 术 这 种 攻 击 技 术 进 行 了 演 缓 存 欺 骗 技 术 这 种 攻 击 技 术 进 行 了 演 示 ， 在 他 发 布 的 示 ， 在 他 发 布 的 “ W e b   缓 存 欺 骗 技 术 白 皮 书 缓 存 欺 骗 技 术 白 皮 书 ” 中 也 做 了 详 细 的 介 绍 。 在 特 定 情 况 下 ， 中 也 做 了 详 细 的 介 绍 。 在 特 定 情 况 下 ， w e b 缓 存 欺 骗 攻 击 可 以 导 致 缓 存 欺 骗 攻 击 可 以 导 致 攻 击 者 获 得 受 害 者 的 敏 感 信 息 。 攻 击 者 获 得 受 害 者 的 敏 感 信 息 。 W e b 缓 存 是 指 W e b 资 源 以 副 本 的 形 式 介 于 W e b 服 务 器 和 客 户 端 之 间 ， 当 下 一 个 相 同 请 求 来 到 的 时 候 ， 会 根 据 缓 存 机 制 决 定 是 直 接 使 用 副 本 响 应 访 问 请 求 ， 还 是 向 源 服 务 器 再 次 发 送 请 求 。 在 实 际 应 用 中 ， w e b 缓 存 十 分 常 见 ， 主 要 是 W e b 缓 存 有 着 如 下 的 优 点 ： 产 生 极 小 的 网 络 流 量 ， 减 少 对 源 服 务 器 的 请 求 ， 降 低 服 务 器 的 压 力 ，   同 时 能 够 明 显 加 快 页 面 打 开 速 度 。 缓 存 分 为 以 下 几 种 类 型 ： （ 1 ） 数 据 库 缓 存 ， 当 w e b 应 用 的 数 据 库 表 繁 多 ， 为 了 提 供 查 询 的 性 能 ， 会 将 查 询 后 的 数 据 放 到 内 存 中 进 行 缓 存 ， 下 次 从 内 存 缓 存 直 接 返 回 ， 比 如 m e m c a c h e d （ 2 ） 浏 览 器 缓 存 ， 浏 览 器 会 将 一 些 页 面 缓 存 到 客 户 端   ， 不 同 的 浏 览 器 有 着 自 己 的 缓 存 机 制 。 （ 3 ）   服 务 端 缓 存 ： 常 见 的 服 务 端 缓 存 比 如 ： C N D 、 S q u i d 、 N g i n x 反 向 代 理 等 。 0 x 0 0 漏 洞 原 理 漏 洞 原 理 假 设 我 们 要 访 问 的 某 个 网 站 使 用 了 服 务 器 缓 存 技 术 ， 架 构 如 下 ： 当 注 册 的 用 户 成 功 登 入 了 该 网 站 ， 会 跳 转 到 自 己 的 账 户 页 面 m y . p h p ， 该 N g i n x 反 向 代 理 服 务 器 会 将 c s s 、 j s 、 j p g 等 静 态 资 源 缓 存 到 n g i n x 设 定 的 目 录 下 。 受 害 者 不 小 心 在 浏 览 器 中 输 入 了 如 下 的 u r l ： h t t p : / / v i c t i m . c o m / m y . p h p / f a v i c o n . i c o   ， f a v i c o n . i c o   并 不 存 在 ， 此 时 会 发 什 么 神 奇 的 事 情 呢 ？ N g i n x 反 向 代 理 服 务 器 发 现 u r l 以 静 态 文 件 的 扩 展 名 ( . i c o ) 结 尾 ， 由 于 f a v i c o n . i c o   不 存 在 ， 它 的 缓 存 机 制 会 将   m y . p h p   缓 存 到 缓 存 目 录 中 ， 这 时 攻 击 者 访 问 了 ： h t t p : / / v i c t i m . c o m / m y . p h p / f a v i c o n . i c o   ， 之 前   缓 存 的 帐 户 页 面 便 成 功 返 回 给 了 攻 击 者 。 0 x 0 1 利 用 条 件 ： 利 用 条 件 ： 经 过 上 一 步 的 分 析 ， 我 们 知 道 该 漏 洞 要 想 成 功 利 用 需 要 满 足 三 个 条 件 ： 1 . 访 问 h t t p : / / v i c t i m . c o m / m y . p h p / f a v i c o n . i c o   页 面 时 ，   W e b 服 务 器 返 回 了 该 m y . p h p 的 内 容 2 .   服 务 器 的 缓 存 机 制 通 过 u r l 中 的 扩 展 名 来 判 断 是 否 进 行 缓 存 文 件 ， 并 且 忽 略 任 何 缓 存 头 。
3 . 受 害 者 必 须 访 问 过 了 h t t p : / / v i c t i m . c o m / m y . p h p / f a v i c o n . i c o   这 种 页 面 ， 也 就 是 说 受 害 者 已 经 将 m y . p h p 的 内 容 缓 存 到 了 缓 存 服 务 器 上 。 要 想 满 足 以 上 几 个 条 件 ， 需 要 考 虑 到 不 同 的 w e b 服 务 器 、 代 理 机 制 以 及 浏 览 器 着 各 自 的 特 性 。 比 如 ： 我 们 在 t o m c a t 服 务 器 上 访 问 h t t p : / / v i c t i m . c o m / m y . j s p / 1 . c s s ， 服 务 器 无 法 返 回 m y . j s p 的 内 容 ， 因 此 这 种 攻 击 无 法 利 用 在 t o m c a t + j a v a 上 面 。 0 x 0 2 漏 洞 演 示 ： 漏 洞 演 示 ： 通 过 以 上 的 实 验 ， 我 们 知 道 a p a c h e +   p h p , 满 足 第 一 个 条 件 ： 访 问 h t t p : / / v i c t i m . c o m / m y . p h p / f a v i c o n . i c o   页 面 时 ， W e b 服 务 器 返 回 了 该 m y . p h p 的 内 容 。 我 们 的 缓 存 功 能 使 用 的 是 n g i n x 反 向 代 理 中 的 缓 存 功 能 ， n g i n x 的 缓 存 机 制 是 根 据 u r l 中 的 扩 展 名 来 判 断 是 否 进 行 缓 存 文 件 ， 同 时 我 们 设 置 其 忽 略 任 何 缓 存 头 ， 因 此 也 满 足 了 第 二 个 条 件 。 W e b 服 务 器 的 登 入 页 面 和 账 户 页 面 ： 当 用 户 成 功 登 入 之 后 ， 跳 转 到 自 己 的 账 户 页 面 m y . p h p 此 时 我 们 通 过 社 工 的 方 法 诱 使 管 理 员 访 问 了 m y . p h p / 静 态 资 源   的 u r l ， 便 在 n g i n x   缓 存 目 录 中 发 现 了 缓 存 的 管 理 员 的 m y . p h p 页 面 。 t e s t . p h p < ? p h p e c h o   " 1 2 3 " ; ? > L o g i n . p h p < h t m l > < h e a d > < t i t l e > l o g i n < / t i t l e > < / h e a d > < b o d y > < f o r m       a c t i o n = " m y . p h p "   m e t h o d = " p o s t " > < i n p u t   n a m e = " n a m e "   t y p e = " t e x t "   v a l u e = ' < ? p h p   e c h o   $ _ C O O K I E [ " n a m e " ] ;   ? > '   / > < i n p u t   t y p e = " s u b m i t "   n a m e = " s u b m i t "   v a l u e = " L o g i n "   / > < / f o r m > < / b o d y > < / h t m l > M y . p h p < ? p h p     $ n a m e   =   $ _ P O S T [ " n a m e " ] ; $ c o o k i e   =   $ _ C O O K I E [ " n a m e " ] ; i f ( $ n a m e = = " a d m i n " ) { e c h o   " W e l c o m e   " . $ _ P O S T [ ' n a m e ' ]   ; s e t c o o k i e ( " n a m e " , $ n a m e , t i m e ( ) + 6 0 0 ) ; } e l s e { i f ( $ c o o k i e = = ' a d m i n ' ) { e c h o   " W e l c o m e   " . $ _ C O O K I E [ ' n a m e ' ]   ; } e l s e { e c h o   ' < s c r i p t > w i n d o w . l o c a t i o n . h r e f   =   " . / l o g i n . p h p " ; < / s c r i p t > ' ; } } ? >
当 我 换 一 个 浏 览 器 f i r e f o x 访 问   / m y . p h p / 1 . c s s 地 址 的 时 候 ， 成 功 返 回 来 之 前 a d m i n 用 户 缓 存 到 n g i n x 缓 存 目 录 里 面 的 内 容 ， 即 a d m i n 的 账 户 信 息 ！ 0 x 0 3 漏 洞 危 害 及 利 用 漏 洞 危 害 及 利 用 正 如 前 文 所 说 的 漏 洞 利 用 条 件 ， 此 外 还 需 要 结 合 社 工 的 方 法 ， 诱 使 登 入 网 站 的 用 户 特 别 是 有 权 限 的 用 户 （ 管 理 员 ） 等 ， 访 问 h t t p : / / v i c t i m . c o m / m y . p h p / 静 态 资 源   这 种 形 式 的 链 接 。 攻 击 者 通 过 这 种 攻 击 ， 可 以 获 取 到 受 害 者 的 账 户 等 敏 感 信 息 。 0 x 0 4 预 防 措 施 预 防 措 施 预 防 该 类 攻 击 ， 只 要 保 证 以 上 的 攻 击 条 件 中 有 任 何 一 个 不 满 足 即 可 实 现 ， 通 过 以 下 三 个 方 面 来 预 防 ： （ （ 1 ） 合 理 配 置 ） 合 理 配 置 w e b 服 务 器 服 务 器 通 过 配 置 服 务 器 对 于 h t t p : / / v i c t i m . c o m / m y . p h p / f a v i c o n . i c o   这 类 的 请 求 页 面 ， 不 返 回 m y . p h p 页 面 的 内 容 ， 可 以 返 回 4 0 4 或 3 0 2 . （ （ 2 ） 合 理 设 置 缓 存 机 制 ） 合 理 设 置 缓 存 机 制 将 缓 存 文 件 的 缓 存 机 制 配 置 为 仅 当 缓 存 文 件 的 H T T P 缓 存 标 头 允 许 时 才 进 行 缓 存 。 （ （ 3 ） 提 高 管 理 员 等 的 安 全 意 识 ） 提 高 管 理 员 等 的 安 全 意 识 作 为 网 站 的 用 户 ， 禁 止 访 问 h t t p : / / v i c t i m . c o m / m y . p h p / f a v i c o n . i c o 之 类 的 连 接 请 求 。 * 本 文 原 创 作 者 ： 本 文 原 创 作 者 ： m 0 9 0 4 6 1 0 5 ， 本 文 属 ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理