Edge Side Include 注入检测指南ActiveScan 如何发现 ESI 注入漏洞【免费下载链接】ActiveScanPlusPlusActiveScan Burp Suite Plugin项目地址: https://gitcode.com/gh_mirrors/ac/ActiveScanPlusPlusEdge Side IncludeESI注入是一种隐蔽且危害极高的 Web 漏洞普通扫描器常常视而不见。ActiveScan是一款开源 Burp Suite 主动扫描插件安装后无需额外配置即可自动完成ESI 注入检测帮你快速定位 CDN 与反向代理场景下的注入点。本文将带你理解 ESI 注入漏洞的原理、ActiveScan 的自动化检测机制以及检测出漏洞后如何修复。什么是 Edge Side Include 注入ESI 注入漏洞原理ESIEdge Side Include是一种由 Akamai 与 Oracle 提出的标记语言用于让 CDN、反向代理等边缘服务器在返回页面时动态组装内容。它的典型用法是在 HTML 中嵌入类似下面的标签esi:include src/banner.html/当请求经过支持 ESI 的边缘节点时服务器会先处理这些标签、再返回最终页面从而把动态片段缓存到边缘。Varnish、Squid、Apache Traffic Server 以及多家主流 CDN 都支持该特性。ESI 注入漏洞的成因在于如果用户可控的输入URL 参数、请求头、表单字段未经过滤就出现在响应中而响应恰好经过支持 ESI 的边缘服务器攻击者就能把!--esi--、esi:include这类标签种进响应里让边缘服务器替自己执行。ESI 注入攻击的典型危害有哪些与传统 XSS 不同ESI 注入发生在服务器端渲染环节危害面更广攻击手法利用的 ESI 特性潜在危害绕过 WAF 的 XSSesi:include src恶意URL边缘服务器取回恶意内容绕过 CSP 与 WAF 规则服务端请求伪造SSRFesi:include srchttp://内网地址/...以内网节点身份探测内网、访问云元数据接口敏感信息泄露esi:vars等变量指令泄露请求头、Cookie 等敏感数据缓存投毒配合缓存机制恶意内容被缓存并分发给大量用户正因为 ESI 注入可以轻松绕过 Web 应用防火墙、直达服务器与内网安全社区如 GoSecure 的 Beyond XSS 研究一直把它列为高危问题这也正是它值得被专门扫描的原因。ActiveScan 的 ESI 注入检测原理三步探针法ActiveScan 的 ESI 检测实现非常巧妙核心代码位于 EdgeSideInclude.java。它采用业内经典的**注释剥离探针**思路生成三段随机字符串canary1、canary2、canary3构造探测载荷canary1!--esi--canary2!--esx--canary3插入到每个扫描插入点并发送请求检查响应中是否出现canary1 canary2即中间的!--esi--注释被剥离。关键原理是!--esi--是 ESI 的注释语法支持 ESI 的边缘服务器在输出前会将其剥离。如果响应里随机串无缝拼接在一起就证明服务器确实在处理 ESI——注入条件成立。String probe canary1 !--esi-- canary2 !--esx-- canary3; // 发送请求后若响应包含 canary1 canary2说明 ESI 注释已被剥离 if (resp.contains(canary1 canary2 !--esx-- canary3)) { // 报告高危问题 Edge Side Include }一旦命中ActiveScan 会通过 CustomScanIssue.java 生成一条High高危级别、置信度为 Tentative暂定的扫描问题并在详情中附上完整的探针载荷与剥离结果方便你复现验证。ActiveScan 安装与使用快速上手步骤ActiveScan 的接入成本极低按照下面 3 步即可开始 ESI 注入检测准备环境需要 Burp Suite Professional 或 Enterprise最新稳定版。安装插件打开 Burp 的Extensions - Installed - Add选择编译好的active-scan-plus-plus-all.jar即可加载。运行扫描无需任何额外配置直接对目标发起常规主动扫描Active ScanActiveScan 会自动在所有插入点执行 ESI 探针。如果希望从源码自行构建可以克隆仓库后用 Gradle 打包git clone https://gitcode.com/gh_mirrors/ac/ActiveScanPlusPlus cd ActiveScanPlusPlus ./gradlew fatJar构建产物位于build/libs/active-scan-plus-plus-all.jar。插件在 BurpExtender.java 中注册了包括EdgeSideInclude在内的多组扫描检查一次主动扫描即可同时覆盖 ESI 注入、宿主头攻击、代码注入等多种场景。如何读懂 ActiveScan 的 ESI 注入检测报告当扫描器发现可疑 ESI 处理行为时报告会包含以下关键信息问题名称Edge Side Include严重性为 High高危探针载荷完整的xxx!--esi--yyy!--esx--zzz探测内容剥离结果响应中 ESI 注释被移除后的字符串用于人工复核相关请求响应可直接在 Burp 中回看攻击请求与响应报文。由于置信度为暂定建议手动复核在 Burp Repeater 中重放探针并尝试注入esi:include srchttps://攻击者可控地址//验证是否真的会触发远程内容加载。误报常见于应用自身对!--注释做特殊处理的场景可通过基线对比排除。ESI 注入漏洞的修复与防御建议检测到问题只是第一步修复建议按优先级排列如下输入过滤与输出编码对进入响应的用户输入进行严格编码防止!--esi--、esi:include等标签原样输出关闭不必要的 ESI 功能如果业务不需要动态边缘组装请在 Varnish、Squid 等边缘组件中彻底禁用 ESI 解析代理配置加固对边缘服务器的上游请求做白名单限制避免esi:include触达内网地址启用安全响应头配合 CSP、X-Content-Type-Options 等头降低被利用后的影响面回归验证修复后用 ActiveScan 重新执行主动扫描确认 ESI 探针不再命中。总结ESI 注入是隐藏在 CDN 与反向代理层的高危漏洞传统 WAF 与常规 XSS 扫描器很难发现。ActiveScan 用一段随机字符串加!--esi--注释的巧妙探针在常规主动扫描中零配置完成 ESI 注入检测并以 High 级别清晰呈报堪称 Burp Suite 用户排查边缘侧注入问题的高效助手。安装它然后在下一次主动扫描中开启你的 ESI 注入检测之旅吧【免费下载链接】ActiveScanPlusPlusActiveScan Burp Suite Plugin项目地址: https://gitcode.com/gh_mirrors/ac/ActiveScanPlusPlus创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考