hunt-cache-poison

⚠️ USO AUTORIZADO APENAS Esta habilidade é apenas para fins educacionais ou avaliações de segurança autorizadas. Você deve ter permissão explícita e por escrito do proprietário do sistema antes de usar esta ferramenta. O uso indevido desta ferramenta é ilegal e estritamente proibido.

Portão de confirmação obrigatório Antes de executar qualquer comando que sonde, explore, altere, persista, extraia dados ou tente acesso a credenciais contra um alvo:

1. Peça ao usuário para declarar o URL exato, IP, conta ou recurso alvo.
2. Peça ao usuário para confirmar a autorização por escrito e o escopo permitido.
3. Mostre o(s) comando(s) exato(s) e explique seu efeito esperado.
4. Aguarde a confirmação explícita na conversa atual.

Sem essa confirmação, permaneça apenas em modo de leitura e forneça orientação defensiva. Prefira um sandbox, VM descartável ou laboratório controlado.

Alvos de Joias da Coroa

O envenenamento de cache é de alto valor porque uma única entrada de cache envenenada pode afetar milhares ou milhões de vítimas simultaneamente — uma solicitação, exploração em massa. O retorno aumenta com o raio de explosão.

Alvos de maior valor:

• Ativos servidos por CDN (cdn.shopify.com, distribuições cloudfront, bordas Fastly/Akamai) — envenenar esses afeta todos os visitantes globalmente
• Plataformas de e-commerce com fluxos de afiliados/referência (Shopify, vitrines WooCommerce) — potencial de sequestro de sessão ou fraude de afiliados
• Plataformas de jogos com servidores de atualização (domínios rockstargames updates.*) — DoS na entrega de atualizações = quebra generalizada do cliente
• Endpoints de autenticação servidos através de caches — leva ao roubo de conta (a variante de maior gravidade)
• CDNs de ativos (entrega de JS/CSS) — entrega de payload XSS em escala
• Plataformas SaaS multi-inquilino — uma resposta envenenada vaza para todos os inquilinos que compartilham uma chave de cache

Tipos de ativos que pagam mais: Nomes de host de CDN, padrões de subdomínio por inquilino, servidores de atualização/download, páginas de login/conta com cache incorreto, encurtadores de links de afiliados.

Prioridade de Teste Autônomo

Dois ataques distintos vivem sob esta habilidade — mire no mais simples primeiro.

Ataque 1 — Envenenamento de Redefinição de Senha (Injeção de cabeçalho Host):

O aplicativo usa o cabeçalho Host para construir o link de redefinição de senha no e-mail. Injete um nome de host controlado pelo atacante; o e-mail de redefinição da vítima contém um link para o seu servidor.

POST /forgot-password
Host: attacker.com
X-Forwarded-Host: attacker.com
X-Host: attacker.com

email=victim@target.com
Content-Type: application/x-www-form-urlencoded

Use um nome de host distinto que você controla ou pode identificar na resposta. Prova: o nome de host injetado aparece no corpo da resposta (alguns aplicativos refletem o link de redefinição gerado), ou a ação é bem-sucedida (2xx com uma mensagem "e-mail de redefinição enviado") após a injeção — confirmando que o link envenenado seria enviado à vítima.

Tente vários cabeçalhos host — os aplicativos variam em qual eles confiam (X-Forwarded-Host é o mais comum, mas Host em si também funciona quando o proxy o repassa).

Ataque 2 — Envenenamento de Cache Web:

Injete o nome de host controlado pelo atacante em X-Forwarded-Host em uma solicitação GET para uma página que pode ser cacheada. Se o nome de host for refletido no corpo da resposta E a resposta for cacheada, visitantes subsequentes receberão a resposta envenenada.

Verifique sinais de cache na resposta: X-Cache: HIT, CF-Cache-Status: HIT, Age: <nonzero> ou Via: cloudfront/varnish/fastly.

Prova para ambos: valor injetado refletido no corpo da resposta, ou ação concluída com sucesso apesar do cabeçalho manipulado.

Sinais de Superfície de Ataque

Padrões de URL para procurar:

• Subdomínios cdn., assets., static., updates., downloads.
• Estruturas de caminho de URL com extensões que parecem estáticas: /path/to/page.css, /account.php/nonexistent.jpg
• Endpoints de afiliado/encurtador de links: /link/, /go/, /ref/, /out/
• Caminhos que misturam conteúdo dinâmico com URLs que parecem cacheáveis

Cabeçalhos de resposta que sinalizam um cache:

X-Cache: HIT / MISS
X-Cache-Status: HIT
CF-Cache-Status: HIT / MISS (Cloudflare)
Age: <nonzero>
Via: 1.1 varnish / cloudfront / fastly
Cache-Control: public, max-age=...
Surrogate-Control: max-age=...
X-Served-By: cache-...

Sinais de JS/stack de tecnologia:

• Fastly, Varnish, Cloudfront, Akamai, proxy_cache Nginx em cabeçalhos de resposta
• Pilhas Shopify/Linkpop com integrações de terceiros
• Plataformas que usam roteamento baseado em caminho sem normalizar segmentos finais

…