Hacking The Edge: Real-World ESI Injection Exploits by Robert Vulpe | Bug Bounty Village, DEF CON 33

邊緣端包含（ESI）是 2001 年設計的舊技術，用於 CDN 和代理在快取頁面中動態插入內容片段。儘管已有 20 多年歷史，許多現代企業仍然使用 Akamai 等服務並啟用 ESI，但開發者對其功能鮮少了解。講者發現這個技術領域存在巨大的攻擊面：SCI 標籤內建多種強大函數，能讀取 HTTP cookie、新增或移除請求頭、執行重導向，而大多數安全研究者從未深入探索過。

第一個漏洞涉及一個返回 JSON 內容的端點，其中 SCI 標籤被完整渲染而非過濾。起初看似無害——JSON 不會在瀏覽器中作為 HTML 執行——但講者利用 SCI 的 set_header 函數改變 Content-Type 為 text/html。為繞過 WAF 對敏感關鍵字的阻止，他採用四次 URL 編碼配合 hack vectors（反覆編碼解碼）的組合技巧。WAF 不可能進行四層解碼檢查（成本過高），因此這個技巧幾乎無法被偵測。更關鍵的是，講者利用 SCI 內建的 HTTP_COOKIE 變數讀取進入請求中的任何 cookie——即使這些 cookie 標記為 HttpOnly。最終他可以將 session cookie 外洩至自己的伺服器，實現完整的帳戶接管。

第二個漏洞更狡猾。JSON 檔案（.json）在 Akamai 被認定為靜態內容，不會處理 SCI 標籤。但講者發現，URL 編碼的點符號（%2E）會欺騙代理系統誤認為這是動態內容。在現代瀏覽器中直接輸入會自動轉換為普通點，無法利用；但 Firefox 的 iframe 實現了一項獨特行為，保留了 URL 編碼字符。經多次測試，講者確認最新版本的 Firefox 和 Safari 甚至在地址欄也支持此功能。利用 SCI 的 set_redirect 函數，他同樣可以外洩 cookie。然而同站 cookie 政策阻止了跨域 iframe 存取 cookie，講者需要找到另一個漏洞配合——他幸運地發現了一個允許 iframe 載入 wildcard 子域的漏洞，由此成功證明了帳戶接管的完整攻擊鏈。

為系統化發現這類漏洞，講者使用 GAU 搜集 Web Archive 歷史頁面，用 Katana（Project Discovery 工具）從 JavaScript 檔案中提取 API 端點，再透過 QS Replace 等工具手動比對響應。這個暴力但有效的方法最終發現了 10-15 個類似漏洞，大多數出現在 JSON、圖像等無人檢查的內容類型中。講者還提及，SCI Include 函數本身雖被 WAF 阻止，但其他 SCI 標籤的功能卻被忽視，甚至可以用 set_header 移除 CSP 防護頭。