Web缓存中毒-攻击示例（五）

2023年2月16日19:59:58评论16 views字数 2692阅读8分58秒阅读模式

在接下来的章节中，将展示如何通过利用缓存系统具体实施实现机制问题来获得更大的Web缓存中毒攻击面。将亚你就为什么缓存键生成方式的缺陷有时会使网站容易受到缓存中毒的影响，而这些漏洞通常被认为是不可利用的。另外还将展示如何进一步使用经典技术来潜在地破坏应用程序级缓存，通常会带来毁灭性的结果。

缓存参数隐藏

如果缓存将一个无害的参数排除在缓存键外，而又不能根据完整的URL找到任何可利用的小工具，那么可能就会认为已经进入死胡同。

但如果能够弄清楚缓存是如何解析URL以识别和删除不需要的参数，那么可能会发现一些有趣的特性。

尤其值得注意的是缓存和应用程序之间的解析差异，这可能允许通过将任意参数“隐藏”在一个排除的参数中，从而将其偷偷带入应用程序逻辑。

例如，如果参数是查询字符串中的第一个，那么它的前面会有一个"？"或者一个"&"，一些写的很差的解析算法会处理任意"？"后作为一个新参数的开始，不管它是不是第一个。

假设从缓存键中排除参数的算法以这种方式表现，但服务器的算法只接受第一个"？"作为分隔符，那么看下下面这个请求：

在这种情况下，缓存将识别两个参数，并从缓存键中排除第二个参数。但是，服务器不接受第二个"？"作为分隔符，而只看到一个参数"example"，其值是查询字符串的其余部分，包括payload。如果"example"的值被传递到一个有用的小工具中，那么就成功注入了payload，而不会影响缓存键。

利用参数解析的特性

类似参数隐蔽问题可能出现在相反的情况下，即后端识别出不同的参数，而缓存没有。

例如，Ruby on Rails框架将"&"和"；"都解释为分隔符，当与不允许这样做的缓存一起使用时，可能会利用另一个奇怪的特性来覆盖应用程序逻辑中键控参数的值。

看下下面的请求：

正如名字所示的，"keyed_param"包含在缓存键中，但"exclusion_param"不包含，许多缓存区只将其理解为两个参数，以"&"为界:

一旦解析算法删除"excluded_param"后，缓存键将只包含"keyed_param=abc"，然后在后端，Ruby On Rails看到分号，会将查询字符串分成三个独立的参数：

但现在有一个重复的"keyed_param"，这就是第二个怪异特性发挥作用的地方。如果有重复的参数，每个参数都有不同的值，Ruby on Rails将优先考虑最后出现的参数。最终结果是缓存键包含一个正常的、预期的参数值，允许缓存响应正常地提供给其他用户。然后在后端，相同的参数有一个完全不同的值，这就是我们注入的payload。也正是这个第二个值将被传递到小工具中，并反映在中毒的响应中。

如果这个漏洞能够控制将要执行的函数，那么会特别强大。

例如，如果网站使用JSONP进行跨域请求，通常会包含一个回调参数，对返回的数据执行给定的函数。