安全研究員 Iustin Ladunca(Youstin)近期針對(duì)許多網(wǎng)站(包括一些高流量的在線服務(wù))進(jìn)行了調(diào)研，結(jié)果發(fā)現(xiàn)了 70 個(gè)具有不同影響的緩存中毒漏洞。

根據(jù)介紹，Web 緩存中毒攻擊的目標(biāo)是網(wǎng)絡(luò)服務(wù)器和客戶端設(shè)備之間的中間存儲(chǔ)點(diǎn)，如 point-of-presence servers、代理和負(fù)載均衡器。中間商通過(guò)存儲(chǔ)本地版本的 Web 內(nèi)容來(lái)加快向 Web 客戶端的傳送速度，從而幫助提高網(wǎng)站的性能。Web 緩存中毒攻擊操縱了緩存服務(wù)器的行為，以及它們?nèi)绾雾憫?yīng)客戶的特定 URL 請(qǐng)求。

Ladunca 自 2020 年 11 月開(kāi)始研究 Web 緩存中毒;然而僅僅幾周后，他就發(fā)現(xiàn)了兩個(gè)新的緩存中毒漏洞：“這讓我意識(shí)到緩存中毒的攻擊面有多大”。他在一篇博客中詳細(xì)介紹了自己是如何發(fā)現(xiàn)和報(bào)告網(wǎng)絡(luò)緩存漏洞的，其中包括有 Apache Traffic Server、GitHub、GitLab、HackerOne 和 Cloudflare 以及其他服務(wù)器。

“一種常見(jiàn)的模式是緩存服務(wù)器被配置為只緩存靜態(tài)文件，這意味著攻擊只限于靜態(tài)文件。即便如此，仍然有很大的影響，因?yàn)楝F(xiàn)代網(wǎng)站嚴(yán)重依賴 JS 和 CSS，刪除這些文件會(huì)真正影響應(yīng)用程序的可用性。”

多個(gè) Web 緩存漏洞導(dǎo)致拒絕服務(wù)(DoS)攻擊。緩存服務(wù)器使用一些 headers 作為 keys 來(lái)存儲(chǔ)和檢索 URL 請(qǐng)求。通過(guò)在 unkeyed headers 中使用無(wú)效值，Ladunca 能夠強(qiáng)制服務(wù)器緩存錯(cuò)誤響應(yīng)，并在之后提供這些響應(yīng)而不是原始內(nèi)容，這會(huì)使得客戶無(wú)法訪問(wèn)目標(biāo)網(wǎng)頁(yè)。

“就所使用的技術(shù)而言，迄今為止最常見(jiàn)的是通過(guò) unkeyed headers 進(jìn)行 CP-DoS，這可能占總發(fā)現(xiàn)的 80%。”

其他 Web 緩存中毒漏洞可能會(huì)導(dǎo)致跨站點(diǎn)腳本(XSS)攻擊。例如，一個(gè)漏洞可以強(qiáng)制緩存服務(wù)器將 JavaScript 文件請(qǐng)求轉(zhuǎn)發(fā)到攻擊者控制的地址。在另一種情況下，Ladunca 還能夠?qū)⒕彺嬲?qǐng)求從一個(gè)主機(jī)重定向到另一個(gè)容易受到基于 DOM 的 XSS 攻擊的主機(jī)。

Ladunca 因其發(fā)現(xiàn)的 70 個(gè)網(wǎng)絡(luò)緩存漏洞，而獲得了總計(jì)約 4 萬(wàn)美元的漏洞賞金。同時(shí)，他也分享了一些相關(guān)經(jīng)驗(yàn)表示，確保 CDN 免受緩存中毒攻擊的一個(gè)好方法是禁用錯(cuò)誤狀態(tài)代碼的緩存，他認(rèn)為這種緩解措施應(yīng)該能阻止很大一部分的 CP-DoS 攻擊。還建議使用 PortSwigger 的 Param Miner，這是一個(gè)開(kāi)源工具，可以識(shí)別隱藏的、未鏈接的參數(shù)。針對(duì) Web 應(yīng)用程序運(yùn)行 Param Miner 可以幫助檢測(cè)可用于 Web 緩存中毒的 unkeyed headers。

不過(guò) Reddit 上有網(wǎng)友對(duì) Ladunca 的建議進(jìn)行了反駁稱，“禁用錯(cuò)誤狀態(tài)代碼的緩存”絕對(duì)不是一個(gè)可行的解決方案。并指出，如果禁用錯(cuò)誤狀態(tài)代碼的緩存，處理錯(cuò)誤響應(yīng)的每個(gè)請(qǐng)求都會(huì)返回到 origin，從而有效地創(chuàng)建了一個(gè)錯(cuò)誤率不斷增加的 DDoS 攻擊;這將使得 origin offline，直到有人干預(yù)。

更多討論詳情可查看此處。