互联网已经渗透到当代人们生活的方方面面,为了确保用户的网络服务质量,内容分发网络（Content Delivery Network,CDN）通过在现有网络基础上增加一层新的网络构架,将网站的内容托管在最接近用户的网络设备上,使用户可以就近获取所需的内容,提高用户访问网站时的响应速度,解决了互联网网络拥塞问题。内容分发网络确保网页内容以一种极为高效的方式为用户服务,主要是基于缓存服务器实现。缓存服务器分布在用户附近的网络边缘,是资源提供商,即源服务器的一个透明镜像。缓存服务器以其缓存机制及其地理分布优势,向最终用户提供尽可能好的服务体验。内容分发网络利用其缓存机制解决了相同资源需要在网络上反复传输的问题,但是,随着各种污染攻击的出现,它们反过来利用缓存机制的漏洞,诱导缓存服务器在缓存目录保存错误资源副本,导致用户请求得不到期待的页面。更严重的是,如果源服务器返回的响应中,包含用户隐私信息或者存在攻击漏洞的页面,被缓存服务器当成合理的资源保存下来,这也意味着用户信息被公之于众,任意访客命中缓存服务器的缓存资源都会受到有毒页面的攻击。与此同时,该缓存服务器还会将此错误信息页扩散至内容分发网络上的其他边缘节点,抹杀受害网站上相应目标资源,造成整个缓存服务器系统不可用。因此主动检测并防御缓存内容分发网络缓存污染攻击刻不容缓。本文深入研究了内容分发网络的缓存安全问题,提出了针对内容分发网络缓存污染的检测方案,精确检测网站托管在缓存服务器上的资源是否被污染;同时,提出了针对缓存污染的防御策略,保护用户缓存资源安全。主要研究工作如下:1.针对缓存污染漏洞检测问题,提出了基于内容一致性检查的缓存污染检测方案。首先对待检测的网站进行动态检验。然后,对返回动态响应的网站,通过路径混淆技术生成攻击向量,模拟缓存污染攻击,判断源服务器的响应。最后,对源服务器返回成功响应的网站,通过缓存服务器响应体的缓存控制部分,判断缓存服务器是否缓存错误响应;如果攻击向量请求命中错误缓存,则意味着待检测网站包含缓存污染漏洞,容易对访问网站的用户造成进一步的威胁。相较之前的检测方案,本文提出的内容一致性检查方案可以对任意网站进行缓存污染漏洞检测,具有良好的可扩展性和普适性;并且实验结果表明,本方案能检测出更多潜在的漏洞威胁。2.针对缓存污染漏洞防御研究,提出了基于Header白名单的缓存污染防御方案。该方案主要考虑到缓存污染漏洞多数由于语义鸿沟问题导致的,因此基于白名单的优势,使用一个专门的安全中间体,也就是Header白名单,以HTTP标准作为基线处理每个组件接收到的HTTP消息。具体做法是通过将接收到的用户请求减少到每个组件所需的最小报头字段,并将字段值应用Header白名单进行规范化。这样,包含格式错误以及有歧义的请求会被拒绝,降低处理HTTP消息时语义鸿沟漏洞引起的各种风险。作为一个专门的安全中间体,Header白名单代理只需要部署在待保护组件周围,而不需要对待保护的处理组件做多余的更改,同时还可以降低利用语义鸿沟漏洞触发新攻击的风险。所以基于Header白名单的缓存污染防御方案,可以认为是防御由于语义鸿沟威胁导致的各种攻击的方法。