為了減少WEB響應(yīng)時延并減小WEB服務(wù)器負擔(dān)，現(xiàn)在WEB緩存技術(shù)已經(jīng)用的非常普遍了，除了專門的CDN，負載均衡以及反向代理現(xiàn)在也會緩存一部分的網(wǎng)頁內(nèi)容。這里我要介紹一種WEB緩存欺騙攻擊技術(shù)，這種攻擊技術(shù)針對Paypal有成功的攻擊案例。
背景原理
先簡單介紹一下WEB緩存技術(shù)，它主要是緩存一些靜態(tài)的，公開的文件，如CSS文件，JS文件，圖片等。緩存分兩類，一類是本地緩存，通過在瀏覽器上緩存實現(xiàn)，緩存之后通過F5刷新是不會重新獲取已緩存文件的，通過Ctrl +F5強制刷新才會重新獲取。另一類是在服務(wù)端實現(xiàn)，也就是在CDN、負載均衡、反向代理（后面統(tǒng)稱緩存服務(wù)器）上實現(xiàn)，這次介紹的攻擊技術(shù)就是針對這一種緩存。服務(wù)端的緩存原理是：客戶端請求一個靜態(tài)文件，如果緩存服務(wù)器沒有緩存過這個文件，就會像WEB服務(wù)器請求，獲取到靜態(tài)文件返回給客戶端，同時將這個文件緩存下來，下次再遇到同樣的請求時就直接返回，直到這個緩存文件過期。
接下來講一下WEB服務(wù)器解析的問題。假設(shè)客戶端請求http://www.example.com/home.php/nonexistent.css 這個URL，其中home.php是真實存在的，而nonexistent.css不存在，那WEB服務(wù)器會怎么處理呢？針對這種情況的處理跟WEB服務(wù)器用的技術(shù)以及配置相關(guān)，有的會返回404 not found，有的會返回200 OK，然后把home.php返回回來。如果服務(wù)器返回200 OK就要注意了，這時緩存服務(wù)器拿到的請求是http://www.example.com/home.php/nonexistent.css，是一個靜態(tài)頁面，而WEB服務(wù)器返回給緩存服務(wù)器的結(jié)果是http://www.example.com/home.php，不是一個靜態(tài)頁面，但是緩存服務(wù)器并不知道。
攻擊方法
根據(jù)上面的背景原理介紹，攻擊方法也很容易總結(jié)出來了：
1.攻擊者引誘已登錄的用戶（受害者）訪問https://www.bank.com/account.do/logo.png
2.受害者請求https://www.bank.com/account.do/logo.png
3.緩存服務(wù)器接收到請求，沒查到這個頁面，于是向WEB服務(wù)器請求
4.WEB服務(wù)器返回https://www.bank.com/account.do，狀態(tài)碼是200 OK
5.緩存服務(wù)器收到結(jié)果，由于狀態(tài)碼是200 OK，會認為URL保持不變，然后由于這個URL以.png結(jié)尾，認為它是一個靜態(tài)文件，于是會緩存這個文件
6.受害者得到正常結(jié)果
7.攻擊者訪問https://www.bank.com/account.do/logo.png，請求到達緩存服務(wù)器，緩存服務(wù)器直接返回受害者的緩存賬戶頁面給攻擊者，攻擊完成。
這里有一個問題，就是HTTP header里面有一個Cache-Control，用于指示是否要緩存該頁面，但是很多情況下，緩存服務(wù)器是不看這個的，直接根據(jù)文件后綴判斷。
這種攻擊的結(jié)果就是將受害者的個人頁面變?yōu)榱艘粋�緩存在服務(wù)器上，可以公開訪問的頁面。這個頁面可能包含受害者敏感信息，如銀行卡號，也可能有這個受害者的會話標(biāo)識、密保問題答案、CSRF token等，有可能讓攻擊者獲取到受害者賬號的控制權(quán)。
攻擊成功的條件
我們再來梳理一下這個攻擊的條件：
1.WEB服務(wù)器會將類似http://www.example.com/home.php/nonexistent.css這種頁面解析為home.php
2.緩存服務(wù)器會無視http header，只根據(jù)文件后綴來判斷是否緩存該文件
3.受害者訪問該頁面時必須已登錄
那么，那些組件滿足這些條件呢？（以下具體的配置請參見文末所附鏈接）
符合條件1的WEB服務(wù)器有：
l  原生的PHP
l  通常配置下的基于python的WEB框架Django
l  某些配置下的ASP.NET
符合條件2的緩存服務(wù)器有：
l  某些配置下的Nginx
l  某些配置下的Cloudflare
l  某些配置下的IIS ARR
從這個總結(jié)可以看出，多數(shù)情況下這個是可以通過配置避免的，所以有些人認為這不算是個漏洞，所以也并沒有什么補丁來解決這個問題，估計這個問題在很多地方都存在。
防御建議
根據(jù)觸發(fā)條件我們給出的修改建議如下：
1.配置緩存服務(wù)器根據(jù)http header來判斷是否緩存頁面；
2.將所有靜態(tài)文件放在指定的目錄，只緩存這個目錄里的文件；
3.配置WEB服務(wù)器在解析類似http://www.example.com/home.php/nonexistent.css 這種頁面時返回404或者302。
原文信息
本文根據(jù)Omer Gil的文章翻譯而成。他創(chuàng)新地顛覆了WEB緩存欺騙利用方式，通過控制 Web 緩存可以保存其它用戶的敏感數(shù)據(jù)，并成功在 Paypal 中實現(xiàn)了攻擊復(fù)現(xiàn)。從 Omer Gil 的演講和報告中可以看到，Web 緩存欺騙是一項厲害且有想像力的技術(shù)，這種技術(shù)可以在多種主要的緩存機制中利用實現(xiàn)，為未來的深入研究提供一個很好的基礎(chǔ)平臺。
隨著應(yīng)用程序安全性的不斷成熟，尋找真正的新技術(shù)變得越來越難，所以在不斷的演化過程中，能看到這種可證實的安全隱患，非常令人耳目一新。因此，這種攻擊技術(shù)被評為2017十大WEB黑客技術(shù)榜單的第二名。