Estensione Burp per Web Cache Deception

Un'estensione Burp per testare le applicazioni per la vulnerabilità all'attacco Web Cache Deception.

Una volta caricata l'estensione, è possibile accedervi nella scheda Target - Sitemap e fare clic con il tasto destro sulla risorsa da testare. Verrà mostrata una voce di menu contestuale chiamata "Web Cache Deception Test" che può essere utilizzata per condurre il test. Se la risorsa è vulnerabile, viene creato un Issue che descrive la vulnerabilità.

La voce di menu contestuale è disponibile anche per le richieste nella scheda Proxy - Http History.

Installazione

• Scaricare il file WebCacheDeceptionScanner.jar.
• In Burp Suite aprire la scheda Extender. Nella scheda Extensions, fare clic sul pulsante Add.
• Scegliere il file jar scaricato -> Next.
• Verificare l'installazione per assenza di messaggi di errore.

Vulnerabilità

Nel febbraio 2017, il ricercatore di sicurezza Omer Gil ha svelato un nuovo vettore di attacco chiamato “Web Cache Deception” (https://omergil.blogspot.co.il/2017/02/web-cache-deception-attack.html).

L'attacco Web Cache Deception potrebbe avere conseguenze devastanti, ma è molto semplice da eseguire:

1. L'attaccante obbliga la vittima ad aprire un collegamento sul server applicativo valido contenente il payload.
2. L'attaccante apre la pagina appena memorizzata nella cache sul server utilizzando lo stesso collegamento, per vedere la stessa pagina della vittima.

** Naturalmente, questo attacco ha senso solo quando la risorsa vulnerabile disponibile all'attaccante restituisce dati sensibili.

L'attacco dipende da un insieme molto specifico di circostanze per rendere l'applicazione vulnerabile: 1. L'applicazione legge solo la prima parte dell'URL per determinare la risorsa da restituire.
Se la vittima richiede:

https://www.example.com/my_profile

L'applicazione restituisce la pagina del profilo della vittima. L'applicazione utilizza solo la prima parte dell'URL per determinare che la pagina del profilo deve essere restituita. Se l'applicazione riceve una richiesta per

https://www.example.com/my_profile_test

Restituirebbe comunque la pagina del profilo della vittima, ignorando il testo aggiunto. Lo stesso vale per altri URL come

https://www.example.com/my_profile/test

2. Lo stack dell'applicazione memorizza nella cache le risorse in base alle loro estensioni di file, piuttosto che ai valori delle intestazioni della cache. Se lo stack dell'applicazione è stato configurato per memorizzare nella cache i file immagine. Memorizzerà tutte le risorse con estensioni .jpg .png o .gif. Ciò significa che, ad esempio, l'immagine all'indirizzo

https://www.example.com/images/dog.jpg

Verrà recuperata dal server applicativo la prima volta che l'immagine viene richiesta. Tutte le richieste successive per l'immagine vengono recuperate dalla cache, rispondendo con la stessa risorsa che è stata inizialmente memorizzata nella cache (per tutto il tempo in cui è impostato il timeout della cache).

Attacco

Queste precondizioni possono essere sfruttate per l'attacco Web Cache Deception nel modo seguente:  

Passo 1: Un attaccante induce la vittima ad aprire un collegamento creato in modo malevolo:

  https://www.example.com/my_profile/test.jpg  

• L'applicazione ignora la parte 'test.jpg' dell'URL, la pagina del profilo della vittima viene caricata.
• Il meccanismo di caching identifica la risorsa come un'immagine, memorizzandola nella cache.  

Passo 2: L'attaccante invia una richiesta GET per la pagina in cache:

https://www.example.com/my_profile/test.jpg  

• La risorsa in cache, che è di fatto la pagina del profilo della vittima, viene restituita all'attaccante (e a chiunque altro la richieda).

MENTE ESPLOSA Quanto è facile?

Changelog

1.1

• Modificato in modo che la scansione per questo problema sia inclusa quando si esegue una scansione attiva.
• Aggiornata la scansione per includere le lezioni apprese da ambienti reali.
• La segnalazione ora viene effettuata solo aggiungendo

Rilascio 1.0