Extensión de Burp para Web Cache Deception

Una extensión de Burp para probar aplicaciones en busca de vulnerabilidad al ataque Web Cache Deception.

Una vez cargada la extensión, se puede acceder desde la pestaña Target - Sitemap y hacer clic derecho sobre el recurso que se desea probar. Aparecerá un elemento de menú contextual llamado "Web Cache Deception Test" que se puede utilizar para realizar la prueba. Si el recurso es vulnerable, se crea un Issue que detalla la vulnerabilidad.

El elemento de menú contextual también está disponible para solicitudes en la pestaña Proxy - Http History.

Instalación

• Descargue el archivo WebCacheDeceptionScanner.jar.
• En Burp Suite, abra la pestaña Extender. En la pestaña Extensions, haga clic en el botón Add.
• Seleccione el archivo jar descargado -> Next.
• Verifique que no haya mensajes de error en la instalación.

Vulnerabilidad

En febrero de 2017, el investigador de seguridad Omer Gil reveló un nuevo vector de ataque denominado "Web Cache Deception" (https://omergil.blogspot.co.il/2017/02/web-cache-deception-attack.html).

El ataque Web Cache Deception podría tener consecuencias devastadoras, pero es muy simple de ejecutar:

1. El atacante obliga a la víctima a abrir un enlace en el servidor de la aplicación válida que contiene la carga útil.
2. El atacante abre la página recién almacenada en caché en el servidor usando el mismo enlace, para ver exactamente la misma página que la víctima.

** Por supuesto, este ataque solo tiene sentido cuando el recurso vulnerable disponible para el atacante devuelve datos sensibles.

El ataque depende de un conjunto muy específico de circunstancias para que la aplicación sea vulnerable: 1. La aplicación solo lee la primera parte de la URL para determinar el recurso a devolver.
Si la víctima solicita:

https://www.example.com/my_profile

La aplicación devuelve la página de perfil de la víctima. La aplicación solo usa la primera parte de la URL para determinar que se debe devolver la página de perfil. Si la aplicación recibe una solicitud para

https://www.example.com/my_profile_test

Todavía devolvería la página de perfil de la víctima, ignorando el texto añadido. Lo mismo aplica para otras URL como

https://www.example.com/my_profile/test

2. La pila de la aplicación almacena en caché los recursos según sus extensiones de archivo, en lugar de por los valores de las cabeceras de caché. Si la pila de la aplicación se ha configurado para almacenar en caché archivos de imagen. Almacenará en caché todos los recursos con extensiones .jpg, .png o .gif. Esto significa que, por ejemplo, la imagen en

https://www.example.com/images/dog.jpg

Se recuperaría del servidor de aplicaciones la primera vez que se solicita la imagen. Todas las solicitudes posteriores de la imagen se obtienen de la caché, respondiendo con el mismo recurso que se almacenó inicialmente en caché (mientras dure el tiempo de caducidad de la caché).

Ataque

Estas condiciones previas se pueden explotar para el ataque Web Cache Deception de la siguiente manera:  

Paso 1: Un atacante incita a la víctima a abrir un enlace maliciosamente manipulado:

  https://www.example.com/my_profile/test.jpg  

• La aplicación ignora la parte 'test.jpg' de la URL, se carga la página de perfil de la víctima.
• El mecanismo de caché identifica el recurso como una imagen, almacenándolo en caché.  

Paso 2: El atacante envía una solicitud GET para la página en caché:

https://www.example.com/my_profile/test.jpg  

• El recurso en caché, que es de hecho la página de perfil de la víctima, se devuelve al atacante (y a cualquier otra persona que lo solicite).

MIND BLOWN ¡Qué fácil es!

Registro de cambios

1.1

• Cambiado para que el escaneo de este problema se incluya al realizar un escaneo activo.
• Actualizado el escaneo para incluir lecciones aprendidas de entornos reales.
• Ahora la notificación solo se realiza añadiendo

1.0 Versión inicial