搜索

[2248] 2021-01-20_缓存键规范化

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-16
2021-01-20_缓存键规范化 缓 存 键 规 范 化 原 创   i u s t i n   E D I 安 全   2 0 2 1 - 0 1 - 2 0 缓 存 中 毒 缓 存 中 毒 D O S 在 当 今 的 网 络 中 ， 网 站 通 常 使 用 大 量 的 J a v a s c r i p t 来 构 建 ， 这 些 J a v a s c r i p t 是 从 T y p e s c r i p t ， S C S S ， W e b p a c k 等 复 杂 堆 栈 中 派 生 而 来 的 。 为 了 帮 助 减 轻 标 准 网 页 的 加 载 时 间 ， 利 用 缓 存 来 减 少 服 务 器 上 的 p a y l o a d 并 减 少 用 户 的 延 迟 。 虽 然 缓 存 通 常 旨 在 帮 助 提 高 服 务 的 可 靠 性 ， 使 用 户 更 容 易 访 问 它 ， 但 是 某 些 自 定 义 缓 存 配 置 可 能 会 引 入 拒 绝 服 务 漏 洞 ， 从 而 使 服 务 瘫 痪 。 缓 存 中 毒 缓 存 中 毒 D O S 基 础 基 础 当 缓 存 被 攻 击 者 诱 骗 向 请 求 资 源 的 其 他 所 有 用 户 提 供 更 改 后 的 响 应 时 ， 就 会 出 现 缓 存 中 毒 漏 洞 。 这 是 缓 存 中 毒 拒 绝 服 务 攻 击 的 样 子 ： 背 景 背 景 当 缓 存 被 攻 击 者 诱 骗 向 请 求 资 源 的 其 他 所 有 用 户 提 供 更 改 后 的 响 应 时 ， 就 会 出 现 缓 存 中 毒 漏 洞 。 这 是 缓 存 中 毒 拒 绝 服 务 攻 击 的 样 子 ： 0 1 0 1 0 1 0 1 0 1 0 1 0 1 0 1 0 1 0 1 0 1 0 1 0 1 0 1 0 1 0 1 通 过 标 识 特 定 于 缓 存 的 标 头 （ X - C a c h e ,   c f - c a c h e - s t a t u s ,   e t c ） ， 检 测 使 用 缓 存 服 务 的 所 有 子 域 。 0 2 0 2 0 2 0 2 0 2 0 2 0 2 0 2 0 2 0 2 0 2 0 2 0 2 0 2 0 2 0 2 使 用 P a r a m   M i n e r 暴 力 破 解 潜 在 的 未 缓 存 标 头 。
我 在 C a c h e   P o i s o n i n g   D o S 上 找 到 了 它 a s s e t s . r e d a c t e d . c o m ， 该 子 域 托 管 着 一 个 私 有 程 序 中 使 用 的 每 个 j s ＆ c s s 文 件 。 该 漏 洞 是 由 F a s t i f y 的 A c c e p t - V e r s i o n 标 头 引 起 的 ， 该 标 头 允 许 客 户 端 描 述 要 发 送 回 的 资 源 版 本 。 我 能 像 这 样 使 用 该 功 能 ：     由 于 高 速 缓 存 密 钥 中 不 包 含 A c c e p t - v e r s i o n 标 头 ， 因 此 任 何 请 求 j s 文 件 的 用 户 都 将 收 到 高 速 缓 存 的 4 0 4 响 应 。 这 获 得 了 2 0 0 0 美 元 的 奖 励 ， 因 为 f a s t i f y 无 法 禁 用 该 A c c e p t - V e r s i o n 标 头 ， 因 此 还 分 配 了 C V E - 2 0 2 0 - 7 7 6 4 。     但 是 ， 在 测 试 了 更 多 主 机 之 后 ， 越 来 越 明 显 的 是 ， 我 无 法 使 用 该 技 术 找 到 其 他 易 受 攻 击 的 目 标 。 我 决 定 对 其 他 可 能 的 缓 存 中 毒 D o S 小 工 具 进 行 其 他 研 究 。 我 读 过 的 很 多 研 究 都 讨 论 了 非 密 钥 输 入 （ 例 如 上 面 的 示 例 标 头 ） 如 何 导 致 D o S ， 但 他 们 大 多 忽 略 了 诸 如 主 机 头 或 路 径 之 类 的 密 钥 输 入 。 我 能 够 提 出 以 下 两 个 新 的 攻 击 ， 并 成 功 地 在 漏 洞 赏 金 计 划 中 重 现 了 它 们 。 ＃ 1 主 机 标 头 大 小 写 规 范 化 根 据 R F C   4 3 4 3 的 规 定 ， F Q D N （ 完 全 合 格 的 域 名 ） 应 始 终 不 区 分 大 小 写 ， 但 是 由 于 某 些 原 因 ， 框 架 并 不 总 是 遵 循 此 原 则 。 由 于 主 机 值 应 该 不 区 分 大 小 写 ， 因 此 一 些 开 发 人 员 认 为 将 主 机 头 值 引 入 到 c a c h e k e y 中 时 可 以 安 全 地 将 其 转 换 为 小 写 字 母 ， 而 无 需 更 改 发 送 给 后 端 服 务 器 的 实 际 请 求 。 将 这 两 种 行 为 配 对 时 ， 我 能 使 用 自 定 义 配 置 的 V a r n i s h 作 为 缓 存 解 决 方 案 在 主 机 上 实 现 以 下 D o S 攻 击 。 大 写 的 主 机 头 值 会 导 致 4 0 4 错 误 ， V a r n i s h 会 使 用 缓 存 键 中 主 机 头 的 规 范 化 值 将 其 缓 存 。 该 程 序 告 诉 我 ， 他 们 的 p a y l o a d 平 衡 器 （ H A P r o x y ） 是 提 供 大 写 头 时 响 应 4 0 4 错 误 的 程 序 。 除 了 主 机 头 之 外 ， 在 注 入 高 速 缓 存 键 之 前 ， 参 数 和 路 径 也 可 以 是 小 写 的 ， 因 此 始 终 值 得 检 查 高 速 缓 存 。 ＃ 2 路 径 归 一 化 在 使 用 缓 存 标 识 子 域 时 ， 我 发 现 了 一 个 特 定 的 子 域 托 管 用 于 构 建 地 图 的 图 像 。 请 求 图 像 看 起 来 像 这 样 ： G E T   / m a p s / 1 . 0 . 5 / m a p / 4 / 1 5 1 / 1 6 . p n g     H o s t :   m a p s . r e d a c t e d . c o m
就 像 以 前 一 样 ， P a r a m   M i n e r 无 法 找 到 任 何 隐 藏 的 标 头 ， 所 以 我 决 定 更 深 入 地 研 究 。 据 我 所 知 ， 路 径 中 的 最 后 三 个 数 字 是 范 围 ， 用 于 告 诉 服 务 器 应 返 回 映 射 的 哪 一 部 分 。 最 初 ， 我 以 为 1 . 0 . 5 只 是 版 本 ， 所 以 我 并 没 有 给 予 太 多 关 注 ， 但 是 ， 当 我 尝 试 使 用 时 1 . 0 . 4 ， 我 发 现 我 得 到 了 一 个 缓 存 H I T 。 我 认 为 其 他 一 些 A P I 可 能 正 在 使 用 旧 版 本 ， 因 此 我 测 试 了 1 . 0 . 0 ， 它 还 返 回 了 缓 存 H I T 。 我 花 了 很 长 时 间 才 意 识 到 我 要 替 换 的 目 录 1 . 0 . 5 正 在 返 回 2 0 0   O K 和 一 个 X - C a c h e   H i t r e p s o n s e 标 头 。 我 提 出 了 以 下 D o S   P O C ： 在 尝 试 提 高 缓 存 命 中 率 时 ， 开 发 人 员 没 有 考 虑 潜 在 的 D o S 攻 击 ， 这 使 我 可 以 注 入 % 2 e % 2 e （ U R L 编 码 . . ） 并 将 请 求 重 定 向 到 / m a p / 4 / 7 7 / 1 6 . p n g 服 务 器 上 不 存 在 的 ， 因 此 导 致 4 0 4 这 是 经 过 分 类 的 ， 并 且 团 队 正 在 研 究 解 决 方 法 。 结 论 结 论 当 寻 找 缓 存 中 毒 的 D o S 漏 洞 时 ， 通 过 标 准 化 u r i 的 部 分 来 确 定 缓 存 是 否 正 在 运 行 旨 在 提 高 命 中 率 的 自 定 义 配 置 很 简 单 。 我 还 没 有 研 究 过 在 路 径 / 参 数 上 实 现 小 写 规 范 化 的 频 率 ， 因 此 关 于 u r i 规 范 化 和 缓 存 可 能 还 有 更 多 的 余 地 。 E D I 安 全 安 全 一 个 专 注 渗 透 实 战 经 验 分 享 的 公 众 号 扫 二 维 码 ｜ 关 注 我 们 扫 二 维 码 ｜ 关 注 我 们
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理