安全研究員 Iustin Ladunca(Youstin)近期針對許多網(wǎng)站(包括一些高流量的在線服務(wù))進(jìn)行了調(diào)研，結(jié)果發(fā)現(xiàn)了 70 個具有不同影響的緩存中毒漏洞。

根據(jù)介紹，Web 緩存中毒攻擊的目標(biāo)是網(wǎng)絡(luò)服務(wù)器和客戶端設(shè)備之間的中間存儲點，如 point-of-presence servers、代理和負(fù)載均衡器。中間商通過存儲本地版本的 Web 內(nèi)容來加快向 Web 客戶端的傳送速度，從而幫助提高網(wǎng)站的性能。Web 緩存中毒攻擊操縱了緩存服務(wù)器的行為，以及它們?nèi)绾雾憫?yīng)客戶的特定 URL 請求。

Ladunca 自 2020 年 11 月開始研究 Web 緩存中毒;然而僅僅幾周后，他就發(fā)現(xiàn)了兩個新的緩存中毒漏洞：“這讓我意識到緩存中毒的攻擊面有多大”。他在一篇博客中詳細(xì)介紹了自己是如何發(fā)現(xiàn)和報告網(wǎng)絡(luò)緩存漏洞的，其中包括有 Apache Traffic Server、GitHub、GitLab、HackerOne 和 Cloudflare 以及其他服務(wù)器。

“一種常見的模式是緩存服務(wù)器被配置為只緩存靜態(tài)文件，這意味著攻擊只限于靜態(tài)文件。即便如此，仍然有很大的影響，因為現(xiàn)代網(wǎng)站嚴(yán)重依賴 JS 和 CSS，刪除這些文件會真正影響應(yīng)用程序的可用性。”

多個 Web 緩存漏洞導(dǎo)致拒絕服務(wù)(DoS)攻擊。緩存服務(wù)器使用一些 headers 作為 keys 來存儲和檢索 URL 請求。通過在 unkeyed headers 中使用無效值，Ladunca 能夠強制服務(wù)器緩存錯誤響應(yīng)，并在之后提供這些響應(yīng)而不是原始內(nèi)容，這會使得客戶無法訪問目標(biāo)網(wǎng)頁。

“就所使用的技術(shù)而言，迄今為止最常見的是通過 unkeyed headers 進(jìn)行 CP-DoS，這可能占總發(fā)現(xiàn)的 80%。”

其他 Web 緩存中毒漏洞可能會導(dǎo)致跨站點腳本(XSS)攻擊。例如，一個漏洞可以強制緩存服務(wù)器將 JavaScript 文件請求轉(zhuǎn)發(fā)到攻擊者控制的地址。在另一種情況下，Ladunca 還能夠?qū)⒕彺嬲埱髲囊粋€主機重定向到另一個容易受到基于 DOM 的 XSS 攻擊的主機。

Ladunca 因其發(fā)現(xiàn)的 70 個網(wǎng)絡(luò)緩存漏洞，而獲得了總計約 4 萬美元的漏洞賞金。同時，他也分享了一些相關(guān)經(jīng)驗表示，確保 CDN 免受緩存中毒攻擊的一個好方法是禁用錯誤狀態(tài)代碼的緩存，他認(rèn)為這種緩解措施應(yīng)該能阻止很大一部分的 CP-DoS 攻擊。還建議使用 PortSwigger 的 Param Miner，這是一個開源工具，可以識別隱藏的、未鏈接的參數(shù)。針對 Web 應(yīng)用程序運行 Param Miner 可以幫助檢測可用于 Web 緩存中毒的 unkeyed headers。

不過 Reddit 上有網(wǎng)友對 Ladunca 的建議進(jìn)行了反駁稱，“禁用錯誤狀態(tài)代碼的緩存”絕對不是一個可行的解決方案。并指出，如果禁用錯誤狀態(tài)代碼的緩存，處理錯誤響應(yīng)的每個請求都會返回到 origin，從而有效地創(chuàng)建了一個錯誤率不斷增加的 DDoS 攻擊;這將使得 origin offline，直到有人干預(yù)。

更多討論詳情可查看此處。