多媒体服务器安全审计：90%漏洞源于3个被忽视的缓存配置

　　去年三月份，我蹲在优酷那个CDN机房的冷通道里，后脖颈贴着散热格栅发凉，听见王工用扳手敲机柜侧板——咔、咔、咔——跟报时似的。他敲三下，我就知道又有一台边缘节点挂了缓存穿透防护。我原以为是业务暴涨压垮的，结果查日志发现，连GET /video/123456.mp4?token=abc 都没走本地缓存，全打到源站去了。三百七十二个请求里，三百六十九个带着 Cache-Control: no-cache —— 这谁配的？谁敢配的？

　　空调滴水声突然变大，一滴，啪，正落在我刚撕开的咖啡包装袋上。老周端着一碗凉皮进来，辣椒油顺着碗沿往下淌，他边擦边说：“张总说‘安全审计必须日更’，我说日更个锤子，缓存策略改一次重启三分钟，你让我日更哪门子？” 我没接话，盯着他手机屏幕右上角弹出的微信消息：【运维群】@所有人 今晚12点前交《Q3安全基线checklist》V2.3——后面还带了个爆炸表情。

　　打印机卡纸了。不是那种“滋啦”一声就完事的卡，是整张A4卡在进纸滚轴和硒鼓之间，纸边卷得像寿司卷。小陈去抠的时候，指甲缝里还嵌着上午拆的SSD散热胶。她抽出来甩了两下，纸面上印着半行字：“缓存失效时间应与版权有效期对齐……”，剩下半句被卷没了。我凑过去看，发现那文档名叫《多媒体内容安全审计SOP_初稿_v0.9_draft_for_review》，后缀堆得比缓存队列还长。

　　三个配置，真就仨。第一个是ETag生成逻辑，你们猜怎么着？他们用文件大小+最后修改时间拼MD5——就这？视频转码一过，大小没变，但码率调了、关键帧移了、音轨重采样了，MD5照样不响。上周我们撞见个案例：同一个H.265流，七种封装格式，五种CDN节点，四家第三方播放器，ETag全一样。我敢打包票，那个ETag字段里绝对没塞哈希指纹，就俩int拼字符串。第二个更绝：max-age设在响应头，可中间某层WAF非要在反向代理头里硬写个 Expires: Thu, 01 Jan 1970 00:00:00 GMT —— 它连自己都信不过自己，还指望浏览器信？第三个，也是最荒唐的：cache-control: public, immutable 跟着防盗链token一起发。token五分钟过期，immutable 却标着一年。浏览器记死了，用户换设备、清缓存、甚至换WiFi，token早废了，缓存还坚挺着。上个月有个医疗教育平台的MP4，患者人脸打了马赛克，结果马赛克块被缓存在边缘节点上三百二十六小时，因为immutable 盖章了。

　　我跟主编吵过一回。就在食堂打饭窗口，他端着紫菜蛋花汤，勺子悬在半空：“你写‘90%漏洞源于3个配置’——这个数字站得住？” 我说站得住，他说那得有CVE编号支撑。我说CVE才不管这破事儿，CVE只收RCE、SQLi、XXE，谁管你Cache-Control写成private还是no-store？结果他掏出手机翻了十五秒，说：“哎哟，这个算不算？” 然后念了一串：CVE-2022-28799，描述是“某云媒体服务因Content-Encoding缓存策略错误导致Brotli解压失败并返回原始明文”。我差点把饭盒扣他汤里——那根本不是缓存策略错，是压缩算法版本没对齐！

　　对了，小陈上月离职前，留了个Excel，名字叫《被毙选题归档（含主编批注）》。其中一条写着：“《缓存击穿防御的三种误用场景》——太技术，不蹭热词，驳回。” 批注栏手写一行小字：“建议改成《AI时代音视频缓存安全：三大隐形雷区引爆百万流量》。” 后来她真改了，标题里塞进“AI”“引爆”“百万”，过了，但正文里一个字没提AI，连TensorFlow的T都没露头。这算啥？这算给缓存加了层虚假的智能滤镜。

文章配图，仅供参考

　　我自己。我去年三月份在另一个项目里，亲手把Cache-Control: must-revalidate 配成了 must-revalidate, max-age=0。我以为这样能强制校验，结果nginx直接忽略整个字段，退化成默认行为。十七秒之后监控告警狂响。后来我查RFC7234第7.2节，must-revalidate 和 max-age=0 同时出现是未定义行为——RFC没说不准，也没说准，就是不说。这个我说不准。但那个ETag拼法，我敢打包票，今天下午三点前，你搜任意一家头部短视频APP的HTTP响应头，只要没上Content-Digest，ETag铁定是 size+mtime。

　　昨天老周微信发我一张截图：他女儿作业本，数学题写着“某服务器缓存命中率为八十二点三%，若增加三台节点，命中率提升至多少？” 下面铅笔批注：“此题无解。缓存命中率非线性，且依赖热点分布、驱逐策略、预热质量。老师，您这题是抄的哪家伪原创？” 他女儿在旁边画了个哭脸。我回他：“下回让娃写个新题：已知某CDN节点ETag由inode+ctime生成，请推导其在NFS共享存储下的缓存一致性崩溃概率。” 他回了个捂脸笑，然后问：“要不要联手搞个开源工具？就扫HTTP头，专揪这三个坑。”

　　我答应了。今晚开始写第一版，不搞PRD，不写设计文档，就一个Shell脚本加三百行Python。先跑通三家公有云的样本——你那边要是手头还有没洗过的access_log，记得发我一份。别加密，也别脱敏，我要看原始user-agent里有没有“Mozilla/5.0 (iPhone; CPU iPhone OS 16_5 like Mac OS X) AppleWebKit/605.1.15 (KHTML, like Gecko) Mobile/15E148 QQLive/9.10.10”这种带客户端缓存标识的真实UA。对了，顺便帮我看看你那台旧Mac mini的风扇响不响——我这台修了四次，每次修完更响，现在听上去像台没装稳的离心机。

（编辑：站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!