文章总结： 本文分析webcachedeception漏洞，根因是缓存层与源站对同一url解析差异，攻击者通过url编码后缀构造缓存键原语，使认证态pii响应被缓存，进而泄露数据，并可升级为缓存投毒链式利用。防护建议包括缓存策略不依赖url后缀、统一各层规范化逻辑、认证接口禁止缓存及静态资源隔离。
综合评分： 88
文章分类： web安全,漏洞分析,渗透测试
URL解析差异的WCD利用：缓存键原语、PII泄露与缓存投毒
原创
迷人安全
迷人安全
迷人安全
2026年9月15日 14:29
浙江
在小说阅读器读本章
去阅读
在公众号小说中沉浸阅读
点击上方蓝字关注 · 安全资讯每日更新
基于 URL 解析差异的
Web Cache Deception
缓存键原语 · PII 泄露 · 缓存投毒
2026年09月15日
在某全球业务组织的安全测试中，发现一处 Web Cache Deception（WCD，Web 缓存欺骗）漏洞。其根本成因是：缓存层（Cache Layer）与源站应用（Origin Application）对同一 URL 的解析（Parsing）与规范化（Canonicalization）结果不一致。
本文对该漏洞的利用原语（Primitive）、攻击链（Attack Chain）及防护方案进行完整技术拆解。
一、漏洞原理：缓存层与源站的 URL 解析差异
现代 Web 架构中，请求在到达应用之前会经过多个中间处理层。缓存层依据 URL 特征（如静态资源后缀）判断响应是否可缓存（Cacheable）。当缓存层与源站对同一 URL 的解析结果存在差异时，攻击者可构造特定 URL：使缓存层将其判定为静态资源，而源站仍按动态接口正常处理。
目标端点（Endpoint）：
GET /api/users/profile
该接口在认证态下返回当前用户的 PII（Personally Identifiable Information，姓名、手机号、邮箱等）。此类响应不应被任何中间缓存层存储。
二、利用过程：URL 编码后缀构造缓存键原语
攻击者使用的利用原语（Exploit Primitive）为向 URL 附加一个经 URL 编码的静态资源后缀：
/api/users/profile%3f%26deneme.webp
其中 %3f 为 ? 的 URL 编码，%26 为 & 的 URL 编码。
核心机制在于同一请求在不同处理层中的解释不一致：
1. 缓存层：URL 以 .webp 结尾，判定为可缓存的静态资源，纳入缓存键（Cache-Key）计算。
2. 源站应用：对 URL 执行规范化（Normalization）后，将真实端点还原为 /api/users/profile，按认证态接口正常处理并返回 PII。
完整攻击链如下：
攻击者构造受控 URL
▼
缓存层：识别为 .webp 静态资源
▼
源站：规范化还原为认证态 API 端点
▼
认证态 PII 响应被写入缓存
▼
未认证访问直接命中缓存获取 PII
该漏洞的关键特征在于：应用逻辑与缓存配置各自单独检查均无异常，但两层的解析差异在组合后形成了可利用的安全边界缺口。
三、危害升级：缓存投毒与漏洞链
基于相同的 URL 规范化 / 缓存键原语，还可进一步实现 Cache Poisoning（缓存投毒）——向缓存中注入攻击者控制的响应内容，使后续所有访问者命中受污染的缓存副本。
缓存投毒不应被单独评估。与 XSS 等漏洞形成链式利用（Vulnerability Chaining）时，影响显著放大：
Cache Poisoning 缓存投毒
▼
Stored XSS 存储型跨站脚本
▼
未授权操作 / ATO 账号接管
一个初始表现为 URL 解析 / 缓存行为异常的发现，在合适的原语与漏洞链组合下，可演变为高影响攻击链。
四、测试方法论：覆盖全部解析与规范化层
该发现表明，现代 Web 应用的测试对象不应仅限于应用逻辑（Application Logic），还应覆盖请求经过的全部解析与规范化处理层：
Browser 浏览器
▼
CDN
▼
Reverse Proxy 反向代理
▼
WAF
▼
Cache 缓存
▼
Load Balancer 负载均衡
▼
Application 应用
其中任意两层对 URL 的解释不一致——解码时机、大小写处理、参数分割、后缀判断逻辑的差异——都可能导致安全边界被非预期跨越。
测试要点：对同一 URL，分别确认缓存层与各中间层、源站应用所识别的资源类型是否一致，缓存键是否基于规范化后的完整 URL 计算。
五、防护建议
1. 缓存策略不得仅依据 URL 后缀判断
采用路径白名单 + Content-Type 双重校验，/api/users/profile 等接口路径一律禁止缓存。
2. 统一各层 URL 规范化逻辑
解码、大小写、参数处理在各层保持一致；缓存键基于规范化后的完整 URL 计算。
3. 认证态接口显式禁止缓存
Cache-Control: private, no-store
4. 静态资源物理隔离
静态资源使用独立域名或独立路径，与 API 接口隔离。
六、总结
该漏洞的利用不依赖 0day 或复杂利用技术，核心在于两层系统对同一 URL 的解析差异。对攻击侧而言，理解完整请求处理链中每一层的解析行为，是发现此类漏洞的前提；对防守侧而言，保证各层解析与规范化行为的一致性，是消除此类漏洞的根本方法。
⚠️ 免责声明：本文内容仅用于安全研究与学习交流，所涉及技术请勿用于未授权测试。一切因滥用造成的后果由使用者自行承担，与本公众号无关。
📌 由 迷人安全 公众号整理发布
文章内容仅供学习交流，不承担任何法律责任
免责声明：
本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。
任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。
本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。
本文转载自：迷人安全 迷人安全
迷人安全《URL解析差异的WCD利用：缓存键原语、PII泄露与缓存投毒》