防止快取中毒

本主題說明使用Microsoft Internet Information Server (IIS)網頁伺服器時，如何防止快取中毒。 快取中毒 ​是一種將快取內容變更為包含相同網站不同頁面的方法。 例如，可以插入HTTP 404 （找不到）錯誤頁面來取代某些良性頁面（例如店面首頁），這可能會導致潛在的拒絕服務(DoS)。 Varnish或Redis已快取惡意頁面URL，因此名稱為​ 頁面快取中毒。

這些型別的攻擊可能很難偵測，因為它們不會導致網頁伺服器記錄發生錯誤。

此解決方案適用於下列Commerce版本：

說明

如果IIS伺服器上啟用了URL重寫，並且在請求到達Varnish或Redis快取服務之前變更了以下任何HTTP標頭，則會導致此問題：

如果變更這些標頭，則會快取產生的URL和內容，導致潛在的漏洞。

解決方案

我們提供根據Enable_IIS_Rewrites的IIS伺服器設定，移除所有先前標題的值的選項。