تسميم الكاش | Hunt the Flag

اللابات تحتاج كمبيوتر

افتح هذه الصفحة من كمبيوتر أو كبر نافذة المتصفح

جار تحميل اللاب

السيناريو

صفحة موقع الغربان تعكس ترويسة X-Forwarded-Host في مصدر سكربت والكاش مفتاحه المسار فقط ولا يضم الترويسة فطلب واحد يحمل ترويسة خبيثة يسمم النسخة المخزنة التي يتلقاها كل زائر لاحق

ما الذي تراه أمامك

صفحة فيها حقل لترويسة X-Forwarded-Host وزر يرسل الطلب المسمم وزر يجعل الضحية تزور الصفحة بلا ترويسة الكاش يخزن نسخة واحدة حسب المسار

الهدف

سمم الكاش فتتلقى الضحية سكربتا من موقعك

متى يعتبر محلولا

سممت الكاش فتلقت الضحية سكربتك

قائمة الخطوات

علم كل خطوة وأنت تمشي فيها الخطوات هي الطريقة وليست الجواب

لاحظ أن الصفحة تعكس الترويسة في مصدر سكربت
أرسل طلبا بترويسة تشير لموقعك
دع الضحية تزور الصفحة بلا ترويسة
تأكد أن الضحية تلقت سكربتك من الكاش

التلميحات

لم تكشف أي تلميح بعد اسأل الصقر عند الحاجة

لماذا نجح الحل

الكاش خزن ردا مبنيا من ترويسة غير مضمومة في المفتاح فسمم للجميع الحل عدم عكس ترويسات غير موثوقة أو ضمها في مفتاح الكاش أو منع تخزين الردود التي تعتمد عليها

السبب الجذري

إدخال غير مضموم في مفتاح الكاش ينعكس في الرد الجذر اختلاف بين ما يؤثر في الرد وما يحدد مفتاح الكاش

كيف يصلح الكود

لا تعكس ترويسات غير موثوقة في ردود مخزنة وضم كل ما يؤثر في الرد في مفتاح الكاش

الكود المصاب

const host = req.headers['x-forwarded-host'] || req.hostname; // unkeyed, reflected
res.send(`<script src="https://${host}/app.js"></script>`);

الكود الآمن

// Build from a fixed host, and never reflect an unkeyed header into a cached response.
res.send(`<script src="https://${config.assetHost}/app.js"></script>`);

الأثر في الواقع

تسميم الكاش يحقن سكربتا أو محتوى خبيثا لكل زوار الصفحة وقد أصاب مواقع كبرى

كيف يكتشفها المدافعون

المدافع يراجع ما يدخل في مفتاح الكاش ويمنع عكس الترويسات غير الموثوقة ويرصد تنوع الترويسات غير المضمومة

المستوى التالي العودة إلى الدرس