搜索

[16403] 2021-02-05_一种新的滥用缓存密钥规范化的缓存投毒技术分享

文档创建者：s7ckTeam
浏览次数：14
最后更新：2025-01-18
2021-02-05_一种新的滥用缓存密钥规范化的缓存投毒技术分享 一 种 新 的 滥 用 缓 存 密 钥 规 范 化 的 缓 存 投 毒 技 术 分 享 A l p h a _ h 4 c k   F r e e B u f   2 0 2 1 - 0 2 - 0 5 众 所 周 知 ， 如 今 的 网 站 会 包 含 大 量 的 J a v a S c r i p t 文 件 / 代 码 ， 而 这 些 代 码 一 般 都 取 自 于 T y p e S c r i p t 、 S C S S 和 W e b p a c k 等 复 杂 的 实 现 栈 。 为 了 减 少 标 准 网 页 的 加 载 时 间 ， 开 发 人 员 会 利 用 缓 存 来 减 少 服 务 器 上 的 负 载 并 减 少 用 户 的 延 迟 。 虽 然 缓 存 通 常 是 为 了 帮 助 提 高 服 务 的 可 靠 性 ， 使 其 更 易 于 用 户 访 问 ， 但 一 些 自 定 义 缓 存 配 置 可 能 会 引 入 拒 绝 服 务 漏 洞 ， 导 致 服 务 易 受 攻 击 。 缓 存 投 毒 缓 存 投 毒 D o S 基 础 知 识 基 础 知 识 当 攻 击 者 利 用 目 标 设 备 中 的 缓 存 来 向 每 一 个 请 求 资 源 的 其 他 用 户 发 送 更 改 响 应 时 ， 便 有 可 能 触 发 缓 存 投 毒 漏 洞 ， 下 面 给 出 的 是 缓 存 投 毒 拒 绝 服 务 攻 击 的 演 示 样 例 ： 背 景 内 容 背 景 内 容 大 家 可 以 看 到 ， 实 现 D o S 攻 击 所 需 的 只 是 一 个 未 缓 存 的 H e a d e r ， 它 将 强 制 源 服 务 器 发 送 格 式 错 误 的 请 求 。 因 此 ， 我 决 定 通 过 应 用 以 下 方 法 ， 在 一 些 私 人 应 用 程 序 中 寻 找 潜 在 的 D o S 漏 洞 ： 通 过 识 别 特 定 的 缓 存 H e a d e r （ X - C a c h e 和 c f - c a c h e - s t a t u s 等 ） 来 检 测 使 用 了 缓 存 服 务 的 所 有 子 域 名 ； 使 用 P a r a m   M i n e r 来 爆 破 潜 在 的 未 缓 存 的 H e a d e r ； 没 花 多 少 时 间 ， 我 就 在 a s s e s t s . r e d a c t e d . c o m 中 找 到 了 一 个 缓 存 投 毒 D o S 漏 洞 ， 而 这 个 子 域 名 负 责 托 管 其 中 一 个 私 人 应 用 程 序 所 使 用 的 全 部 J S 和 C S S 文 件 。 这 个 漏 洞 是 由 F a s t i f y 的 A c c e p t - V e r s i o n   H e a d e r 所 导 致 的 ， 它 将 允 许 客 户 端 返 回 资 源 的 版 本 描 述 信 息 ， 我 可 以 使 用 下 列 方 法 来 利 用 该 功 能 ： 由 于 缓 存 密 钥 中 没 有 包 含 A c c e p t - v e r s i o n   H e a d e r ， 因 此 任 意 请 求 J S 文 件 资 源 的 用 户 都 将 收 到 缓 存 4 0 4 响 应 。 令 我 惊 讶 的 是 ， 这 个 漏 洞 竟 然 让 我 拿 到 了 2 0 0 0 美 金 的 漏 洞 奖 励 ， 因 为 F a s t i f y 并 没 有 提 供 金 禁 用 A c c e p t - v e r s i o n   H e a d e r 的 选 项 ， G E T   / a s s e t s / l o g i n . j s ? c b = 1                                     G E T   / a s s e t s / l o g i n . j s ? c b = 1 H o s t :   a s s e t s . r e d a c t e d . c o m                                     H o s t :   a s s e t s . r e d a c t e d . c o m A c c e p t - V e r s i o n :   i u s t i n H T T P / 1 . 1   4 0 4   N o t   F o u n d                                           H T T P / 1 . 1   4 0 4   N o t   F o u n d X - C a c h e :   M i s s                                                             X - C a c h e :   H i t
该 漏 洞 目 前 已 被 标 记 为 了 C V E - 2 0 2 0 - 7 7 6 4 。 然 而 ， 在 测 试 了 更 多 的 主 机 之 后 ， 越 来 越 明 显 的 是 ， 我 将 无 法 用 这 种 技 术 找 到 更 多 的 易 受 攻 击 的 目 标 。 因 此 ， 我 决 定 对 其 他 可 能 的 缓 存 投 毒 D o S 小 工 具 做 一 些 额 外 的 研 究 。 研 究 过 程 中 ， 我 发 现 大 多 数 技 术 都 讨 论 了 非 缓 存 键 输 入 如 何 导 致 D o S ， 但 它 们 忽 略 了 缓 存 键 输 入 ， 比 如 说 主 机 H e a d e r 或 路 径 等 等 。 因 此 ， 我 能 够 想 出 两 个 新 的 攻 击 方 式 ， 并 成 功 复 现 一 次 之 前 的 漏 洞 。 技 术 一 ： 主 机 技 术 一 ： 主 机 H e a d e r 大 小 写 规 范 化 大 小 写 规 范 化 根 据 R F C - 4 3 4 3 的 定 义 ， F Q D N （ 全 限 定 域 名 ） 必 须 是 大 小 写 敏 感 的 ， 但 是 在 某 些 情 况 下 ， 框 架 并 不 会 严 格 遵 循 这 一 点 。 有 趣 的 是 ， 由 于 主 机 值 应 该 不 区 分 大 小 写 ， 一 些 开 发 人 员 会 假 设 在 将 主 机 头 值 引 入 c a c h e k e y 时 写 入 小 写 字 符 会 是 安 全 的 ， 而 不 会 更 改 发 送 到 后 端 服 务 器 的 实 际 请 求 。 在 将 这 两 种 行 为 配 对 时 ， 我 能 够 使 用 自 定 义 配 置 的 V a r n i s h 作 为 缓 存 解 决 方 案 在 主 机 上 实 现 以 下 D o S 攻 击 ： 注 意 上 面 大 写 的 主 机 H e a d e r 值 ， 它 将 导 致 4 0 4 错 误 ， 然 后 V a r n i s h 将 使 用 c a c h e 键 中 主 机 H e a d e r 的 规 范 化 值 来 缓 存 该 数 据 。 在 将 该 漏 洞 上 报 之 后 ， 我 又 拿 到 了 8 0 0 美 金 的 漏 洞 奖 励 。 分 析 过 程 中 ， 我 还 发 现 它 的 负 载 均 衡 器 （ H A P r o x y ） 在 接 收 到 了 大 写 的 H e a d e r 值 时 ， 便 会 响 应 4 0 4 错 误 。 除 了 主 机 H e a d e r 之 外 ， 参 数 和 路 径 在 注 入 到 c a c h e k e y 之 前 也 可 以 是 小 写 的 ， 因 此 我 们 应 该 检 查 缓 存 处 理 这 些 数 据 时 所 采 用 的 机 制 。 技 术 二 ： 路 径 规 范 化 技 术 二 ： 路 径 规 范 化 在 使 用 缓 存 识 别 子 域 时 ， 我 发 现 了 一 个 托 管 图 像 的 特 定 子 域 。 请 求 一 张 图 片 的 请 求 类 似 如 下 ： 跟 之 前 一 样 ， P a r a m   M i n e r 无 法 找 到 任 何 隐 藏 H e a d e r ， 因 此 我 决 定 深 入 分 析 一 下 。 就 我 目 前 所 知 ， 路 径 中 的 最 后 三 个 数 字 是 用 来 告 诉 服 务 器 应 该 返 回 映 射 的 哪 一 部 分 范 围 。 我 研 究 了 半 天 ， 但 啥 也 没 获 取 到 。 起 初 ， 我 认 为 1 . 0 . 5 只 是 一 个 版 本 号 ， 所 以 我 没 有 太 过 关 注 ， 但 令 我 惊 讶 的 是 ， 当 我 尝 试 1 . 0 . 4 时 ， 竟 然 出 现 了 缓 存 命 中 的 情 况 。 当 然 ， 我 认 为 其 他 一 些 A P I 可 能 使 用 的 是 旧 版 本 ， 所 以 我 测 试 了 1 . 0 . 0 ， 它 也 返 回 了 缓 存 命 中 的 响 应 。 没 过 多 久 我 就 意 识 到 ， 无 论 我 用 什 么 替 换 1 . 0 . 5 ， 它 都 会 返 回 2 0 0   O K 和 一 个 X - C a c h e 命 中 响 应 H e a d e r 。 于 是 乎 ， 我 想 出 了 以 下 方 法 ： 同 样 ， 在 试 图 提 高 缓 存 命 中 率 时 ， 开 发 人 员 没 有 考 虑 到 潜 在 的 D o S 攻 击 ， 这 使 得 我 可 以 注 入 % 2 e % 2 e （ U R L 编 码 . . ） ， 并 将 请 求 重 定 向 到 服 务 器 上 不 存 在 的 / m a p / 4 / 7 7 / 1 6 . p n g ， 从 而 导 致 4 0 4 错 误 。 G E T   / i m a g e s / p o s i o n . p n g ? c b = 1                                 G E T   / i m a g e s / p o s i o n . p n g ? c b = 1     H o s t :   C d n . r e d a c t e d . c o m                                           H o s t :   c d n . r e d a c t e d . c o m H T T P / 1 . 1   4 0 4   N o t   F o u n d                                           H T T P / 1 . 1   4 0 4   N o t   F o u n d X - C a c h e :   M i s s                                                             X - C a c h e :   H i t G E T   / m a p s / 1 . 0 . 5 / m a p / 4 / 1 5 1 / 1 6 . p n g H o s t :   m a p s . r e d a c t e d . c o m G E T   / m a p s / % 2 e % 2 e / m a p / 4 / 7 7 / 1 6 . p n g                     G E T   / m a p s / 1 . 0 . 5 / m a p / 4 / 7 7 / 1 6 . p n g H o s t :   m a p s . r e d a c t e d . c o m                                       H o s t :   m a p s . r e d a c t e d . c o m H T T P / 1 . 1   4 0 4   N o t   F o u n d                                         H T T P / 1 . 1   4 0 4   N o t   F o u n d X - C a c h e :   M i s s                                                           X - C a c h e :   H i t
精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理