摘要：Web缓存欺骗（Web Cache Deception, WCD）是一类高阶协议层漏洞。传统WCD攻击多依赖文件后缀伪造实现缓存投毒，而高阶攻击体系的核心利用逻辑，是CDN缓存节点与后端源服务器在URL规范化解析行为上的逻辑不一致。本文系统性拆解两类主流规范化差异攻击模型、黑盒探测方法论、漏洞利用约束条件及企业级防御架构，完整复现URL解析错位引发的全链路缓存投毒攻击链，为渗透测试、蓝队防御架构建设提供深度技术参考。

关键词：Web缓存欺骗；WCD；URL规范化；缓存投毒；CDN安全；渗透测试；路径遍历

一、漏洞基础：URL规范化核心原理

URL规范化（URL Normalization）是Web服务处理请求的前置核心逻辑。各类Web容器、反向代理、CDN节点、应用框架在接收请求后，会优先对原始URL进行标准化清洗，将非标准、编码化、含路径跳转的URL统一转换为标准资源路径，最终完成资源映射与路由匹配。

规范化核心包含两大关键操作，也是后续所有WCD漏洞的触发基础：

1.URL百分号解码：对URL编码字符进行还原，例如将 %2f 解码为路径分隔符 /、%2e 解码为点符号 .，是绝大多数Web服务的基础解析逻辑。

2. 点段路径折叠解析：自动处理路径遍历符号，识别并折叠 ../ 上级目录跳转逻辑，例如将 /a/b/../c 标准化为真实物理路径 /a/c。

漏洞核心成因：RFC标准仅定义URL解析规范，但各类CDN厂商、Nginx、Apache、Java/Python等后端框架的实现存在差异化。当缓存节点（CDN）与源站服务器（Origin）对同一URL的解码、路径折叠行为不一致时，攻击者可构造差异化Payload，制造“缓存识别路径”与“源站执行路径”的错位，最终实现动态敏感页面的缓存投毒。

二、攻击模式A：源站规范化 + 缓存节点解析惰性

该模式是最经典的规范化差异漏洞，核心特征为两端解析能力不对称：后端源服务器具备完整的URL解码与路径折叠能力，会标准化遍历路径；而前端CDN缓存节点仅基于原始URL字符串前缀匹配缓存规则，不执行任何规范化解析，存在解析惰性。

2.1 错位原理与Payload构造逻辑

攻击模板：/静态资源目录/..%2f动态敏感路径

实战样例：/assets/..%2fmy-account

两端差异化解析流程：

1. CDN缓存节点（无规范化）：仅做字符串匹配，识别请求前缀为合法静态目录 /assets/，命中静态资源缓存策略，判定该请求可缓存，直接缓存响应内容，完全不解析 ..%2f 路径遍历载荷。

2. 后端源站（完整规范化）：自动解码 %2f 为 /，识别 ../ 上级目录跳转逻辑，完成路径折叠，最终将请求路由至真实敏感路径 /my-account，返回用户个人中心、隐私数据、权限信息等动态敏感内容。

攻击结果：本应禁止缓存的动态敏感页面，以静态资源URL为缓存键，被持久化存储在公共CDN缓存池中。任意用户访问该构造URL，均可读取缓存的敏感数据，造成信息泄露。

2.2 黑盒探测与验证方法论

在黑盒渗透场景下，可通过两组交叉请求，精准判定两端解析特性，确认漏洞存在性：

1. 源站规范化能力探测（POST穿透法）：构造POST请求 POST /assets/..%2fmy-account，POST请求默认不会被CDN缓存。若源站返回200状态码并正常渲染个人中心页面，证明源站支持完整URL规范化解析。

2. 缓存节点惰性探测（前缀匹配测试）：基于已知可缓存的静态资源路径，构造 GET /assets/..%2fassets/image.png。若请求触发缓存未命中（Cache Miss），证明CDN仅识别纯字符串前缀，无法解析编码遍历字符，存在解析惰性。

三、攻击模式B：缓存深度规范化 + 源站分隔符截断

该模式为高阶复杂WCD利用方式，与模式A完全相反：CDN缓存节点解析能力极强，支持全量解码与路径折叠；而后端源站依赖特定分隔符做路由截断，忽略分隔符后的所有路径内容，形成反向解析错位。

常规路径遍历载荷在此场景完全失效：若直接构造编码遍历路径，源站无法识别畸形字符，会直接返回404。因此必须引入路由分隔符作为源站路径终止位，构造两端解析逻辑偏差。

3.1 错位原理与Payload构造逻辑

攻击模板：/动态敏感路径【分隔符】%2f%2e%2e%2f静态资源目录

实战样例：/my-account;%2f%2e%2e%2fstatic（分号 ; 为常见源站路由分隔符）

两端差异化解析流程：

1. CDN缓存节点（深度规范化）：CDN不识别路由分隔符 ;，优先全量解码 %2f、%2e，将路径还原为 /my-account;/../static，自动折叠上级目录，最终标准化为静态路径 /static，触发静态资源缓存规则。

2. 后端源站（分隔符截断）：源站路由解析器识别分隔符 ;，将其判定为路径终止标记，自动截断后续所有遍历载荷，仅解析前置路径 /my-account，正常返回动态敏感页面数据。

攻击结果：源站正常响应敏感动态内容，CDN将该内容以静态路径缓存，完成高阶缓存投毒。

3.2 黑盒探测核心要点

1. 分隔符爆破探测：通过Burp Intruder批量扫描常见路由分隔符（;、空字节 %00、换行符 %0a等），筛选出可让源站截断后置路径、正常返回200页面的有效分隔符。

2. 全编码构造原则：路径遍历序列必须使用完整URL编码格式（%2f%2e%2e%2f），禁止直接使用明文 /../，避免被中间件提前截断、解析失效，保证载荷完整送达两端解析器。

四、漏洞利用关键约束：浏览器行为干涉与Exploit构造

多数WCD攻击失败的核心原因，并非载荷构造错误，而是忽略了客户端浏览器的本地规范化行为。真实攻防场景中，必须依托Exploit服务构造JS请求，规避浏览器原生解析机制。

4.1 必须借助JS脚本发起请求的核心原因

若攻击者直接访问恶意URL，缓存命中的是攻击者自身的会话数据，无法实现批量窃取。通过可控Exploit页面植入JS脚本，可诱导受害者浏览器主动发起恶意请求，自动携带受害者有效Cookie与会话身份，缓存受害者的敏感数据，实现会话劫持式数据窃取。

4.2 关键字符强制编码的必要性

1. 遍历字符编码：现代浏览器会在本地前置解析明文 ../ 路径，主动折叠标准化，导致请求发送至服务端前载荷失效。必须编码为 %2e%2e%2f，绕过浏览器本地规范化。

2. 锚点符号编码：明文 #为浏览器本地锚点标识，不会上传至HTTP服务端。必须编码为 %23，保证载荷完整传输。

五、蓝队视角：企业级架构防御方案

传统WAF黑名单过滤、关键字拦截等防御手段，可被多重编码、嵌套遍历、分隔符绕过等方式轻松突破。规范化差异类WCD漏洞属于协议层底层缺陷，必须从架构层面落地零信任缓存策略，构建闭环防御体系。

5.1 缓存键双向校验机制

CDN禁止仅通过URL前缀、后缀正则匹配缓存规则。新增响应头校验逻辑：若请求URL匹配静态资源规则，但源站返回 text/html、application/json 等动态内容类型，直接拒绝缓存、清空缓存快照，杜绝动态内容被误缓存。

5.2 全局统一URL规范化网关

在CDN与源站之间部署统一接入网关，对所有入站请求前置完成URL解码、路径折叠、非法字符清洗，将标准化后的唯一路径同步给CDN与源站，彻底消除两端解析差异，从根源杜绝错位攻击。

5.3 强制语义化缓存控制

所有动态接口、用户隐私接口、权限管理接口，源站强制硬编码返回 Cache-Control: private, no-store, no-cache。同时在CDN侧配置最高优先级强制规则，无视静态正则匹配策略，禁止所有动态敏感资源缓存。

六、总结

高阶Web缓存欺骗的本质，是利用基础设施解析标准的不统一，制造协议层的逻辑错位。相较于传统应用层漏洞，此类漏洞更为隐蔽，绕过常规WAF防御，危害持久且影响范围广。

对于红队从业者，需熟练掌握双模式探测方法、分隔符爆破、浏览器绕过、Exploit构造等全链路技巧；对于蓝队防御，核心防御思路并非依赖特征拦截，而是统一解析标准、约束缓存行为、最小化缓存范围，通过架构加固彻底消除规范化差异漏洞面。