搜索

[291] 2019-04-02_SSRF漏洞记录

文档创建者：s7ckTeam
浏览次数：8
最后更新：2025-01-16
2019-04-02_SSRF漏洞记录 S S R F   漏 洞 记 录 发 哥 微 课 堂   a F a 攻 防 实 验 室   2 0 1 9 - 0 4 - 0 2 0 x 0 0 ： 漏 洞 原 理 ： 漏 洞 原 理 S S R F （ S e r v e r - S i d e   R e q u e s t   F o r g e r y ） 也 属 于 应 用 层 上 的 一 个 漏 洞 类 型 ， 用 一 个 最 简 单 的 例 子 来 理 解 这 个 漏 洞 ： 比 如 一 个 添 加 图 文 的 功 能 ， 填 入 标 题 内 容 和 封 面 图 然 后 提 交 在 网 站 前 台 显 示 ， 对 于 这 个 功 能 的 图 片 它 除 了 可 以 让 你 上 传 以 外 ， 还 支 持 填 入 远 程 图 片 地 址 ， 如 果 你 填 入 了 远 程 的 图 片 地 址 ， 则 该 网 站 会 加 载 远 程 图 过 来 进 行 显 示 ， 而 如 果 程 序 写 法 不 严 谨 或 者 过 滤 不 严 格 ， 则 加 载 图 片 地 址 的 这 个 功 能 可 能 就 可 以 包 含 进 行 一 些 恶 意 的 脚 本 文 件 ， 或 者 你 输 入 内 网 的   i p   或 者 一 些 系 统 的 文 件 都 会 被 解 析 执 行 ， 这 个 我 们 一 般 叫 它   S S R F   即 服 务 端 请 求 伪 造 。 而 一 般 我 们 是 无 法 请 求 到 系 统 上 的 文 件 的 ， 内 网 的   i p   我 们 也 是 无 法 访 问 的 ， 有 了   S S R F   后 ， 我 们 提 交 的 加 载 连 接 是 有 服 务 器 进 行 加 载 解 析 ， 实 际 上 相 当 于 我 们 以 存 在   S S R F   这 个 服 务 器 为 跳 板 进 行 的 一 些 加 载 操 作 ， 我 们 在 附 一 张 图 加 深 理 解 。
我 们 知 道 了   S S R F   的 原 理 后 ， 自 然 就 能 想 到 其 危 害 点 有 哪 些 ， 比 如 说 可 以   1 ， 加 载 外 部 的 恶 意 木 马 文 件 执 行 ， 或 者   2 ， 加 载 内 部 的 敏 感 文 件 程 序 自 身 的 敏 感 文 件 ， 3 ， 来 访 问 内 网 进 行 内 网 端 口 的 扫 描 、 获 取 内 网 设 备 信 息 、 枚 举 内 网 服 务 等 。 0 x 0 1 ： 漏 洞 危 害 ： 漏 洞 危 害 了 解 了 漏 洞 的 形 成 原 因 和 原 理 后 ， 我 们 通 过 简 单 的 示 例 来 进 行 一 些 危 害 的 验 证 ， 这 里 我 直 接 拿 一 个 别 人 写 的 程 序 做 下 演 示 ， 或 者 也 可 以 下 载 个   b w a p p   练 习 也 行 ， 代 码 很 简 单 ， 只 有 两 个 文 件 ， 一 个 是 提 交 内 容 的   h t m l   页 面 ， 另 外 一 个 是 接 受 提 交 内 容 并 加 载 的   p h p   文 件 ， 首 先   h t m l   文 件 内 容 如 下 ： 文 件 很 简 单 只 有 一 个 表 单 ， 把 用 户 输 入 的 内 容 传 给 了   c u r l . p h p   文 件 ， c u r l . p h p   是 通 过   c u r l   来 加 载 访 问 用 户 提 交 的 目 标 地 址 ， < h t m l > < h e a d >           < s t y l e >   d i v . m a i n   {   m a r g i n - l e f t : a u t o ;   m a r g i n - r i g h t : a u t o ;   w i d t h : 5 0 % ;   }   b o d y   {   b a c k g r o u n d - c o l o r :     # f 5 f 5 f 0           < t i t l e >                 A w e s o m e   S c r i p t !           < / t i t l e > < / h e a d > < b o d y >         < d i v   c l a s s = " m a i n " >         < h 1 > W e l c o m e   t o   t h e   A w e s o m e   S c r i p t < / h 1 >         < p > H e r e   y o u   w i l l   b e   a b l e   t o   l o a d   a n y   p a g e   y o u   w a n t .   Y o u   w o n ' t   h a v e   t o   w o r r y   a b o u t   r e v e a l i n g   y o u r   I P   a n y m o r e !   W e   u s e   t h e   c U R L   l i b r a r y   i n   o r d e r   t o   p e r f o r m   t h e   H T T P   r e q u e s t s .   H a v e   f u n !         < b r >         < f o r m   m e t h o d = " G E T "   a c t i o n = " c u r l . p h p " >                 < i n p u t   t y p e = " t e x t "   v a l u e = " W e b s i t e   t o   l o a d . . . "   n a m e = " p a t h " >                 < i n p u t   t y p e = " s u b m i t "   v a l u e = " S u b m i t " >         < / f o r m > < / d i v >         < / b o d y > < / h t m l >
代 码 如 下 ： 这 个   p h p   文 件 就 是 一 个   c u r l   使 用 的 经 典 过 程 ， 初 始 化 ， 然 后 设 置 访 问 的 地 址 ， 随 后 执 行 ， 最 后 关 闭 。 我 们 运 行 这 个 程 序 ， 输 入 一 个 目 标 的   u r l   地 址 ， 执 行 后 结 果 如 下 图 。 通 过 这 个 简 单 的 靶 机 示 例 ， 我 们 可 以 练 习 一 下   S S R F ， 我 这 个   S S R F   靶 机 程 序 是 在 我 本 机 直 接 运 行 的 ， 本 机 访 问 本 机 肯 定 没 问 题 ， 但 大 家 把 它 当 作   S S R F   就 好 ， 我 也 没 开 虚 拟 机 ， 所 以 就 本 地 演 示 吧 ， 不 要 在 意 这 些 细 节 。 首 先 ， 我 们 可 以 看 下 这 个   S S R F   怎 么 去 扫 描 内 网 的 开 放 端 口 ， 我 们 可 以 尝 试 输 入   l o c a l h o s t   加 端 口 号 进 行 尝 试 ， 这 里 我 们 为 了 方 便 ， 拦 截 这 个 提 交 的 请 求 ， 通 过   b u r p   遍 历 下 端 口 。 我 这 里 只 遍 历 了   1 0 0   个 端 口 ， 可 以 看 到   8 0   端 口 是 开 放 的 。 除 此 之 外 ， 也 可 以 用 来 读 取 系 统 上 的 文 件 ， 例 如 我   c   盘 下 的 一 个 < ? p h p         $ l o c a t i o n = $ _ G E T [ ' p a t h ' ] ;           $ c u r l   =   c u r l _ i n i t ( ) ;         c u r l _ s e t o p t   ( $ c u r l ,   C U R L O P T _ U R L ,   $ l o c a t i o n ) ;           c u r l _ e x e c   ( $ c u r l ) ;           c u r l _ c l o s e   ( $ c u r l ) ; ? >
s s r f . t x t 。 上 面 我 们 使 用 了   h t t p 、 h t t p s 、 f i l e   这 些 协 议 ， 而 在   S S R F   利 用 这 块 利 用 协 议 也 有 很 多 ， 例 如 示 例 中 的   C U R L ， 则 其 支 持 的 协 议 有   d i c t ,   f i l e ,   f t p ,   f t p s ,   g o p h e r ,   h t t p ,   h t t p s ,   i m a p ,   i m a p s ,   l d a p ,   p o p 3 ,   p o p 3 s ,   r t s p ,   s c p ,   s f t p ,   s m t p ,   s m t p s ,   t e l n e t ,   t f t p   。 我 们 再 来 看 几 个 常 见 的 ， 例 如   d i c t   字 典 协 议 ， 这 个 协 议 可 以 获 取 到 指 定 端 口 的 一 些 信 息 。 上 面 都 是 常 见 的 协 议 ， 这 里 顺 带 提 一 下 的 是   g o p h e r ， 一 个 老 协 议 ， 在   h t t p   没 有 出 现 前 ， 经 常 用 它 来 发 送 数 据 包 ， 对 于   s s r f 来 说 ， g o p h e r   也 会 经 常 使 用 ， 可 以 使 用   g o p h e r   来 攻 击 常 见 的 应 用 ， 比 如 说   m y s q l ， r e d i s   等 ， 我 这 里 环 境 没 有 装 这 些 应 用 ， 具 体 我 也 没 有 实 践 过 ， 这 里 给 大 家 推 荐 一 个 脚 本   g i t h u b   地 址 ： h t t p s : / / g i t h u b . c o m / t a r u n k a n t / G o p h e r u s   ,   脚 本 可 以 生 成 利 用 连 接 ， 省 去 了 我 们 很 多 事 ， 从 下 图 可 以 看 见 ， 它 支 持 了 我 们 常 见 的 一 些 应 用 。
除 此 之 外 ， 也 可 以 在   g i t h u b   上 搜 索 关 键 字   s s r f   来 看 一 些 大 家 常 用 的 脚 本 和 利 用 方 式 ， 另 外 也 可 以 看 一 下 猪 猪 侠 的   S S R F   攻 击 P P T   总 结 ， 也 很 详 细 很 全 面 。 0 x 0 2 ： 漏 洞 挖 掘 ： 漏 洞 挖 掘 漏 洞 挖 掘 的 话 ， 我 从 网 上 搜 集 来 的 方 法 总 结 了 一 下 ， 我 这 里 也 没 有 全 部 碰 到 过 ， 贴 一 张 图 供 大 家 参 考 ， 图 片 来 自 于 网 络 。 对 于 挖 掘 部 分 一 个 是 功 能 上 找 再 一 个 就 是   u r l   上 ， 总 结 下 就 是 只 要 是 涉 及 到 的 请 求 地 址 或 功 能 ， 就 可 能 存 在   S S R F   问 题 。 像 翻 译 功 能 ， 很 多 翻 译 都 有 提 供   u r l   地 址 翻 译 ， 输 入   u r l   地 址 然 后 把 整 个 网 站 页 面 翻 译 成 想 要 的 语 言 ， 但 输 入 地 址 翻 译 时 ， 后 台 会 去 请 求 这 个 地 址 ， 但 又 没 有 经 过 严 格 过 滤 ， 基 本 这 样 就 回 存 在   S S R F   问 题 ， 国 内 比 较 有 名 的 翻 译 之 前 都 有 存 在 ， 后 来 被 提 后 都 修 复 了 ， 但 你 搜 索 在 线 翻 译 ， 结 果 多 往 后 翻 几 页 ， 基 本 都 有 此 问 题 。 0 x 0 3 ： 绕 过 方 法 ： 绕 过 方 法 对 于   S S R F   绕 过 方 法 也 有 很 多 ， 其 基 础 是 程 序 有 一 定 的 防 御 策 略 ， 比 如 说 验 证 是 否 为 内 网   i p ， 如 果 是 内 网   i p   则 阻 止 其 内 容 的 读 取 ， 而 判 断 方 式 如 果 是 纯 粹 的 验 证 是 否 为   1 0   开 头 的   i p   这 种 的 话 ， 则 会 存 在 很 多 方 式 的 绕 过 。 首 先 就 是   @ 符 ， 对 于 一 个   u r l   的 访 问 实 际 上 是 以   @ 符 后 为 准 的 ， 比 如 说   x x x x . c o m @ 1 0 . 1 0 . 1 0 . 1 0 ， 则 实 际 上 访 问 的 是 1 0 . 1 0 . 1 0 . 1 0   这 个 地 址 。 第 二 个 是 网 址 后 加   x i p . i o ， 其 原 理 是 例 如   1 0 . 1 0 . 1 0 . 1 0 . x i p . i o   会 被 解 析 成   1 0 . 1 0 . 1 0 . 1 0 ， 详 细 介 绍 可 以 通 过   x i p . i o   这 个 网 站 来 查
看 。 第 三 个 就 是 进 制 转 换 ， 将   i p   转 换 为 八 进 制 十 进 制 十 六 进 制 这 种 ， 同 样 也 可 以 正 常 访 问 ， 例 如 将   1 0 . 1 0 . 1 0 . 1 0   转 换 为 十 进 制 是 1 6 8 4 3 0 0 9 0 ， 在 浏 览 器 访 问   h t t p   : / / 1 6 8 4 3 0 0 9 0   就 回 去 访 问   1 0 . 1 0 . 1 0 . 1 0   这 个 地 址 ， 转 换 问 题 可 以 在 线 查 看 一 般 有 很 多 网 站 提 供 ， 或 者 自 己 算 也 可 以 ， 这 里 为 了 方 便 ， 我 写 了 一 个   j s   脚 本 ， 代 码 如 下 。 代 码 比 较 简 单 ， 输 入   i p   后 会 对   i p   进 行 进 制 转 换 ， 然 后 进 行 输 出 ， 效 果 如 下 。 还 有 一 个 就 是 短 网 址 绕 过 ， 这 个 在 线 转 换 有 很 多 网 站 提 供 。 0 x 0 4 ： 代 码 审 计 ： 代 码 审 计 对 于 代 码 审 计 其 实 没 什 么 好 说 的 ， 只 要 能 读 懂 代 码 ， 基 本 这 种 漏 洞 一 眼 就 可 以 看 出 来 ， 对 于 网 络 资 源 请 求 且 没 有 过 滤 的 就 可 能 存 在   S S R F ， 我 这 里 也 找 了 几 个 例 子 ， 大 体 来 说 涉 及 到 获 取 内 容 的 函 数 都 有 可 能 存 在 ， 例 如 f i l e _ g e t _ c o n t e n t s , f s o c k o p e n , c u r l _ e x e c   等 ， 示 例 如 下 。 例 一 ： 例 二 ： < ! D O C T Y P E   h t m l > < h t m l > < h e a d >         < t i t l e > I P 转 换 进 制 < / t i t l e >         < s c r i p t >                 f u n c t i o n   i p ( ) {                         v a r   i p v a l u e   =   d o c u m e n t . g e t E l e m e n t B y I d ( " i p v a l u e " ) . v a l u e ;                         v a r   a r r   =   i p v a l u e . s p l i t ( " . " ) ;                         v a r   d e c m   =   p a r s e I n t ( a r r [ 0 ] ) * 2 5 6 * 2 5 6 * 2 5 6 + p a r s e I n t ( a r r [ 1 ] ) * 2 5 6 * 2 5 6 + p a r s e I n t ( a r r [ 2 ] ) * 2 5 6 + p a r s e I n t                         v a r   h e x   =   p a r s e I n t ( d e c m ) . t o S t r i n g ( 1 6 ) . t o U p p e r C a s e ( ) ;                         v a r   b i n a r y   =   p a r s e I n t ( d e c m ) . t o S t r i n g ( 2 ) . t o U p p e r C a s e ( ) ;                         d o c u m e n t . g e t E l e m e n t B y I d ( " r e s u l t " ) . i n n e r H T M L   =   ' 十 六 进 制   =   ' + h e x + ' < b r >   十 进 制   =   ' + d e c m + " < b r >   二 进 制   =   "                 }         < / s c r i p t > < / h e a d > < b o d y >         < i n p u t   t y p e = " t e x t "   n a m e = " i p "   i d = " i p v a l u e "   / >         < b u t t o n   t y p e = " b u t t o n "   o n c l i c k = " i p ( ) " > 转 换 < / b u t t o n >         < d i v   i d = " r e s u l t " > < / d i v > < / b o d y > < / h t m l > $ u r l   =   $ _ G E T [ ' u r l ' ] ; e c h o   f i l e _ g e t _ c o n t e n t s ( $ u r l ) ;
例 三 ： 0 x 0 5 ： 防 御 方 法 ： 防 御 方 法 对 于 防 御 方 法 ， 还 是 网 上 那 一 套 ， 总 结 下 就 是 三 点 ， 第 一 限 制   h t t p （ s ） 协 议 ， 例 如   c u r l   的 设 置   c u r l _ s e t o p t ( $ c h , C U R L O P T _ P R O T O C O L S ,   C U R L P R O T O _ H T T P   |   C U R L P R O T O _ H T T P S ) ； 这 个 对 于 那 些   x i p . i o   之 类 的 绕 过 就 会 失 效 。 第 二 就 是 禁 止   3 0 x   跳 转 ， 例 如   c u r l   的 设 置 就 需 要 删 掉   c u r l _ s e t o p t ( $ c h ,   C U R L O P T _ F O L L O W L O C A T I O N ,   1 ) ;   这 一 项 。 第 三 就 是 设 置 白 名 单 方 式 ， 只 要 不 是 我 指 定 的 地 址 ， 就 不 进 行 后 续 操 作 。 0 x 0 6 ： 总 结 ： 总 结 S S R F   漏 洞 即 使 现 在 来 说 也 并 不 少 见 ， 仍 有 很 多 网 站 和 程 序 存 在 此 问 题 ， 相 对 于 跨 站 注 入 来 说 可 能 也 有 一 部 分 容 易 忽 略 ， 而 危 害 却 很 高 ， 且 只 要 涉 及 到 请 求 资 源 的 功 能 或 地 址 或 者   u r l   存 在 连 接 资 源 等 关 键 字 等 ， 就 有 可 能 存 在 此 问 题 ， 所 以 测 试 时 应 该 和 跨 站 注 入 并 重 去 测 ， 一 样 也 是 我 们 不 容 忽 视 的 。 f u n c t i o n   G e t F i l e ( $ h o s t , $ p o r t , $ l i n k )   {           $ f p   =   f s o c k o p e n ( $ h o s t ,   i n t v a l ( $ p o r t ) ,   $ e r r n o ,   $ e r r s t r ,   3 0 ) ;           i f   ( ! $ f p )           {                   e c h o   " $ e r r s t r   ( e r r o r   n u m b e r   $ e r r n o )   n " ;           }           e l s e           {                   $ o u t   =   " G E T   $ l i n k   H T T P / 1 . 1 r n " ;                   $ o u t   . =   " H o s t :   $ h o s t r n " ;                   $ o u t   . =   " C o n n e c t i o n :   C l o s e r n r n " ;                   $ o u t   . =   " r n " ;                   f w r i t e ( $ f p ,   $ o u t ) ;                   $ c o n t e n t s = ' ' ;                   w h i l e   ( ! f e o f ( $ f p ) )                   {                           $ c o n t e n t s . =   f g e t s ( $ f p ,   1 0 2 4 ) ;                   }                   f c l o s e ( $ f p ) ;                   r e t u r n   $ c o n t e n t s ;           }   } f u n c t i o n   c u r l ( $ u r l ) {             $ c h   =   c u r l _ i n i t ( ) ;         c u r l _ s e t o p t ( $ c h ,   C U R L O P T _ U R L ,   $ u r l ) ;         c u r l _ s e t o p t ( $ c h ,   C U R L O P T _ H E A D E R ,   0 ) ;         c u r l _ e x e c ( $ c h ) ;         c u r l _ c l o s e ( $ c h ) ; } $ u r l   =   $ _ G E T [ ' u r l ' ] ; c u r l ( $ u r l ) ;  
欢 迎 将 文 章 分 享 到 朋 友 圈   如 果 想 g e t 更 多 的 技 能 ， 长 按 二 维 码 可 关 注 我
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理