PortSwigger网络缓存欺骗（4）

这是第四期的网络缓存欺骗，为了防止大家的头脑已经转不过来了，今天再来重新梳理下并区分下缓存静态路径与缓存静态资源

"静态资源"：一种让缓存服务器认为"这个响应可以缓存"的特征。
/resources：只是网站上可能存在的一个具体静态资源目录。

所以，如果缓存服务器是根据文件扩展名判断是否缓存，那么你可以用类似：

复制代码

/my-account.css

或者：

复制代码

/my-account.js

来冒充静态资源，不需要 /resources。

但如果这个 Lab 的缓存规则明确是：

复制代码

/resources/*

才会缓存，那么你就不能简单把 resources 去掉，因为：

复制代码

/my-account.css

虽然看起来像 CSS，但缓存服务器未必会缓存它。

可以这么理解

假设缓存规则是：

复制代码

/resources/*  → 缓存

那么：

复制代码

/my-account + 某种路径混淆 + /resources

是为了让缓存服务器产生：

"这个请求属于 resources。"

而如果缓存规则是：

复制代码

*.css
*.js
*.jpg

那么：

复制代码

/my-account.css

就足够让缓存服务器产生：

"这是 CSS，缓存它。"

所以：

resources 不是"静态资源"的代名词，它只是一个具体的静态资源路径。

对你当前这个 PortSwigger Lab

如果你做的是你前面提到的：

Web cache deception via origin server normalization

那么不要简单认为"我加 .css 就能替代 resources"。

这个 Lab 要利用的是：

复制代码

缓存服务器的 URL 解析
        ≠
源服务器的 URL 规范化

而 resources 是根据该实验环境的缓存行为选择的一个缓存诱饵路径。

所以判断能不能替换，最简单的方法就是先确认：

复制代码

什么 URL 会被缓存？

如果：

复制代码

/resources/xxx → HIT

而：

复制代码

/xxx.css → MISS

那就说明这个环境依赖 resources。

反过来，如果：

复制代码

/xxx.css → HIT

那么 .css 就可能承担 resources 的作用。

因此不是"Web Cache Deception 必须使用 resources"，而是"必须让缓存服务器把这个请求当成可缓存的资源"；具体用 /resources、.css 还是其他形式，取决于目标缓存服务器的规则。

在第三篇的时候我没有重点去了解为什么必须要在url的路径中添加resources，在深度了解后发现在发现漏洞的过程中，我们做的每一步中就包含了试探缓存服务器的规则（基于怎样的规则才能缓存到用户的cookie&session），而最简单易懂的就是直接缓存文件，例如.css .js .jpg 等等，但最难懂的是缓存路径和分隔符的试探，我们则需要通过intruder去遍历payload，不断试探状态码。当然我们接下来要说的归一化处理也是其中很重要的一环，相当于结合缓存服务器和源服务器。

归一化图

复制代码

                   同一个 HTTP 请求
                           │
              ┌────────────┴────────────┐
              ↓                         ↓
        缓存服务器                    源服务器
              │                         │
       认为是 resources             规范化后
       可缓存资源                    实际访问 my-account
              │                         │
              └──────────┬──────────────┘
                         ↓
                  my-account 响应
                         ↓
                     被缓存

整个攻击过程

复制代码

攻击者
  │
  │ 构造恶意 URL
  ↓
/my-account%23%2f%2e%2e%2fresources?wcd
  │
  ↓
┌───────────────────┐
│    缓存服务器      │
│                   │
│  看到 resources    │
│       ↓           │
│   认为可以缓存     │
└────────┬──────────┘
         │
         ↓
┌───────────────────┐
│     源服务器       │
│                   │
│  解析 URL          │
│       ↓           │
│  到达 /my-account   │
│       ↓           │
│ 返回受害者账户信息  │
└────────┬──────────┘
         │
         ↓
    返回给受害者
         │
         ↓
   缓存服务器缓存