搜索

[19486] 2019-05-16_实战篇丨聊一聊SSRF漏洞的挖掘思路与技巧

文档创建者：s7ckTeam
浏览次数：100
最后更新：2025-01-18
2019-05-16_实战篇丨聊一聊SSRF漏洞的挖掘思路与技巧 实 战 篇 丨 聊 一 聊 S S R F 漏 洞 的 挖 掘 思 路 与 技 巧 i 春 秋   2 0 1 9 - 0 5 - 1 6 在 刚 结 束 的 互 联 网 安 全 城 市 巡 回 赛 中 ， R 师 傅 凭 借 丰 富 的 挖 洞 经 验 ， 实 现 了 8 家 S R C 大 满 贯 ， 获 得 了 第 一 名 的 好 成 绩 ！ R 师 傅 结 合 自 身 经 验 并 期 许 新 手 小 白 要 多 了 解 各 种 安 全 漏 洞 ， 并 应 用 到 实 际 操 作 中 ， 从 而 丰 富 自 己 的 挖 洞 经 验 ， 积 累 挖 洞 技 巧 。 （ 文 末 有 R 师 傅 的 个 人 专 访 ， 挖 洞 秘 籍 尽 在 其 中 ） 今 天 i 春 秋 就 针 对 众 多 安 全 漏 洞 中 的 S S R F 进 行 详 细 介 绍 ， 理 论 内 容 结 合 实 际 案 例 进 行 深 度 分 析 ， 帮 助 大 家 快 速 g e t 新 技 能 ！ 本 文 阅 读 用 时 约 7 分 钟 。 什 么 是 S S R F ？ S S R F ( S e r v e r - S i d e   R e q u e s t   F o r g e r y ： 服 务 器 端 请 求 伪 造 )   是 一 种 由 攻 击 者 构 造 形 成 由 服 务 端 发 起 请 求 的 一 个 安 全 漏 洞 。 一 般 情 况 下 ， S S R F 攻 击 的 目 标 是 从 外 网 无 法 访 问 的 内 部 系 统 。 S S R F 形 成 的 原 因 大 都 是 由 于 服 务 端 提 供 了 从 其 他 服 务 器 应 用 获 取 数 据 的 功 能 且 没 有 对 目 标 地 址 做 过 滤 与 限 制 。 比 如 从 指 定 U R L 地 址 获 取 网 页 文 本 内 容 ， 加 载 指 定 地 址 的 图 片 ， 下 载 等 等 。 通 俗 的 说 ， 如 果 我 们 将 换 为 与 该 服 务 器 相 连 的 内 网 服 务 器 地 址 会 产 生 什 么 效 果 呢 ？ 比 如 1 2 7 . 0 . 0 . 1 、 1 0 . 0 . 0 . 1 、 1 9 2 . 1 6 8 . 1 . 1 等 等 ， 如 果 存 在 该 内 网 地 址 就 会 返 回 1 x x   2 x x   之 类 的 状 态 码 ， 不 存 在 就 会 返 回 其 他 的 状 态 码 ； 如 果 应 用 程 序 对 用 户 提 供 的 U R L 和 远 端 服 务 器 返 回 的 信 息 没 有 进 行 合 适 的 验 证 和 过 滤 ， 就 可 能 存 在 这 种 服 务 端 请 求 伪 造 的 缺 陷 。 到 这 里 先 解 决 两 个 问 题 ： 1 、 为 什 么 要 请 求 、 为 什 么 要 请 求 1 2 7 . 0 . 0 . 1 、 、 1 0 . 0 . 0 . 1 、 、 1 9 2 . 1 6 8 . 1 . 1 ， 有 什 么 区 别 呢 ？ ， 有 什 么 区 别 呢 ？ 答 ： 答 ： 1 2 7 . 0 . 0 . 1 只 是 代 表 你 的 本 机 地 址 ， 如 果 该 网 站 只 有 一 个 服 务 器 的 情 况 下 ， 是 可 以 访 问 1 2 7 . 0 . 0 . 1 的 来 判 断 的 ， 但 要 明 确 一 点 ， 1 2 7 . 0 . 0 . 1 其 实 并 不 是 内 网 地 址 ， 内 网 地 址 是 有 严 格 的 地 址 段 的 ， 这 是 i p v 4 地 址 协 议 中 预 留 的 ， 分 别 是 1 0 . 0 . 0 . 0 - - 1 0 . 2 5 5 . 2 5 5 . 2 5 5 、 1 7 2 . 1 6 . 0 . 0 - - 1 7 2 . 3 1 . 2 5 5 . 2 5 5   、 1 9 2 . 1 6 8 . 0 . 0 - - 1 9 2 . 1 6 8 . 2 5 5 . 2 5 5 。 2 、 如 果 请 求 地 址 会 返 回 状 态 码 ， 那 请 求 地 址 、 如 果 请 求 地 址 会 返 回 状 态 码 ， 那 请 求 地 址 + 端 口 会 不 会 返 回 状 态 码 呢 ？ 端 口 会 不 会 返 回 状 态 码 呢 ？ 答 ： 答 ： 当 然 会 返 回 状 态 码 ， 只 是 探 测 内 网 地 址 的 话 属 实 不 够 看 的 ， 所 以 如 果 一 个 点 存 在 S S R F ， 那 势 必 要 尝 试 一 下 能 不 能 探 测 内 网 端 口 ， 比 如 ， 假 设 1 0 . 0 . 0 . 1 这 个 地 址 存 在 ， 那 我 们 可 以 尝 试 请 求 1 0 . 0 . 0 . 1 : 2 1 、 1 0 . 0 . 0 . 1 : 3 3 0 6 、 1 0 . 0 . 0 . 1 : 6 3 7 9 等 内 网 的 常 用 端 口 ， 如 果 探 测 结 果 有 收 获 的 话 ， 那 就 可 以 为 其 他 工 作 节 省 很 多 时 间 。
基 础 的 S S R F 漏 洞 利 用 随 便 找 了 个 输 入 点 ， 大 家 就 假 装 这 个 图 中 的 点 就 是 漏 洞 点 吧 ， 因 为 真 正 的 漏 洞 点 不 好 放 出 来 ， 也 不 好 打 码 ， 理 解 万 岁 。 不 过 可 能 会 有 疑 问 ， 如 何 知 道 这 个 点 就 是 漏 洞 点 呢 ？ 其 实 这 个 东 西 不 好 回 答 ， 因 为 没 有 成 文 的 规 定 ， 经 验 成 分 居 多 吧 ， 如 果 看 到 让 用 户 输 入 u r l ， 导 入 外 部 链 接 的 这 些 点 ， 就 可 以 去 尝 试 一 下 。 进 入 正 题 ， 如 果 这 是 一 个 漏 洞 点 ， 那 我 们 怎 么 应 用 ？ 最 简 单 的 方 法 ， c e y e . i o 。 C E Y E 是 一 个 用 来 检 测 带 外 流 量 的 监 控 平 台 ， 如 D N S 查 询 和 H T T P 请 求 。 一 些 漏 洞 类 型 没 有 直 接 表 明 攻 击 是 成 功 的 ， 就 如 同 此 处 的 S S R F ， P a y l o a d 触 发 了 却 不 在 前 端 页 面 显 示 。 这 时 候 使 用 C E Y E 平 台 ， 通 过 使 用 诸 如 D N S 和 H T T P 之 类 的 带 外 信 道 ， 便 可 以 得 到 回 显 信 息 。 用 法 也 很 简 单 ， 登 录 C E Y E . I O ， 在 用 户 详 情 页 可 以 看 到 自 己 的 域 名 标 识 符   i d e n t i f i e r ， 对 于 每 个 用 户 ， 都 有 唯 一 的 域 名 标 识 符 a b c d e f . c e y e . i o   。 所 有 来 自 于 a b c d e f . c e y e . i o 或 . a b c d e f . c e y e . i o /   的 D N S 查 询 和 H T T P 请 求 都 会 被 记 录 。 通 过 查 看 这 些 记 录 信 息 ， 就 可 以 判 断 漏 洞 详 情 。 比 如 我 在 此 输 入 我 的 域 名 标 识 符 ， 如 图 ： 然 后 我 就 可 以 去 c e y e . i o 观 察 是 否 有 请 求 记 录 ， 结 果 得 到 记 录 ： 当 然 我 们 也 可 以 通 过 抓 包 ， 在 包 里 修 改 u r l 的 信 息 构 造 不 同 的 请 求 ， 然 后 观 察 返 回 的 状 态 码 来 探 测 信 息 。
所 以 通 过 上 述 两 种 方 法 ， 就 可 以 确 定 这 个 地 方 确 实 是 有 S S R F 漏 洞 的 。 不 过 仅 仅 到 这 是 不 够 的 ， 除 非 有 进 一 步 的 操 作 证 明 危 害 ， 所 以 接 下 来 会 演 示 探 测 端 口 。 简 单 的 S S R F 绕 过 上 面 说 的 漏 洞 点 本 身 就 是 一 个 让 用 户 输 入 链 接 的 地 方 ， 那 自 然 就 不 必 绕 过 ， 但 是 如 果 漏 洞 点 是 一 个 加 载 图 片 的 地 方 ， 想 必 大 家 都 见 过 社 区 或 者 论 坛 有 这 样 一 个 模 块 点 ， 就 是 可 以 让 用 户 导 入 外 部 的 图 片 链 接 进 行 评 论 或 者 其 他 ， 比 如 下 图 ： 那 么 这 种 地 方 ， 也 是 可 能 存 在 S S R F 的 ， 不 过 当 我 们 输 入 c e y e . i o 却 发 现 并 没 有 回 显 请 求 ， 这 是 因 为 这 种 地 方 一 般 会 对 后 缀 做 一 个 检 测 ， 如 果 不 是 j p g 或 者 其 他 图 片 后 缀 的 话 并 不 会 通 过 ， 不 过 好 在 c e y e . i o 是 很 强 大 的 ， 我 们 可 以 随 便 构 造 ， a b c d e f . c e y e . i o / i c h u n q i u . j p g ,   对 其 进 行 输 入 ， 再 去 观 察 有 无 回 显 ， 结 果 有 了 ：
有 其 他 限 制 的 话 都 是 一 个 道 理 ， 也 可 以 在 b u r p 里 截 包 改 包 达 到 此 效 果 。 一 个 特 殊 的 S S R F 有 一 次 挖 洞 遇 到 一 个 站 ， 就 假 设 是 w w w . x x x . c o m 吧 ， 是 一 个 开 源 的 系 统 ， 于 是 就 在 网 上 下 载 了 这 个 开 源 的 系 统 ， 一 点 一 点 的 对 其 审 计 ， 在 某 个 文 件 里 发 现 这 么 一 个 链 接 ： h t t p : / / 1 2 7 . 0 . 0 . 1 / a b c . p h p ? u r l = h t t p : / / w w w . b a i d u . c o m ，   这 可 不 是 跳 转 ， 结 合 上 下 代 码 ， 发 现 此 链 接 好 像 是 服 务 器 发 起 的 请 求 操 作 ， 因 为 1 2 7 . 0 . 0 . 1 是 本 机 地 址 ， 所 以 尝 试 构 造 h t t p : / / w w w . x x x . c o m / a b c . p h p ? u r l = h t t p : / / w w w . b a i d u . c o m ，   发 现 也 可 以 成 功 访 问 ， 隐 约 觉 得 这 是 一 个 操 作 的 地 方 ， 由 于 那 个 开 源 系 统 找 不 到 了 ， 所 以 没 法 贴 图 了 ， 只 能 一 步 一 步 的 详 细 说 了 。 总 之 通 过 分 析 上 下 的 代 码 ， 发 现 这 个 链 接 的 构 成 是 由 赋 予 a b c . p h p 一 个 外 部 的 u r l 参 数 ， 在 没 有 任 何 过 滤 ， 任 何 防 护 的 情 况 下 读 取 这 个 外 部 u r l 并 发 起 请 求 ， 那 么 是 否 可 以 读 取 内 网 地 址 呢 ？ 于 是 构 造 ： h t t p : / / w w w . x x x . c o m / a b c . p h p ? u r l = h t t p : / / 1 2 7 . 0 . 0 . 1 : 8 0 ，   为 什 么 第 一 次 就 要 访 问 8 0 端 口 ？ 因 为 该 站 是 可 以 访 问 的 ， 所 以 8 0 端 口 必 开 放 ， 第 一 次 探 测 8 0 也 是 想 看 一 看 正 确 返 回 与 错 误 返 回 的 区 别 ， 访 问 完 h t t p : / / w w w . x x x . c o m / a b c . p h p ? u r l = h t t p : / / 1 2 7 . 0 . 0 . 1 : 8 0 后 ，   得 到 正 确 的 返 回 结 果 ， 就 可 以 尝 试 继 续 访 问 9 0 端 口 ， 1 0 0 端 口 ， 等 等 。 不 过 这 个 地 方 既 然 存 在 S S R F ， 且 u r l 参 数 没 有 任 何 防 护 与 过 滤 ， 那 可 不 可 以 尝 试 读 取 文 件 呢 ？ 继 续 构 造 ： h t t p : / / w w w . x x x . c o m / a b c . p h p ? u r l = f i l e : / / / C : / W i n d o w s / w i n . i n i 发 现 读 取 成 功 ， 所 以 又 成 功 探 测 到 一 枚 文 件 读 取 。 W e b L o g i c 的 S S R F 漏 洞 我 们 接 下 来 聊 一 下 W e b L o g i c 的 S S R F 漏 洞 。 W e b L o g i c 的 S S R F 漏 洞 算 是 一 个 比 较 知 名 的 S S R F 漏 洞 ， 具 体 原 理 可 以 自 行 谷 歌 。 本 篇 主 要 是 通 过 复 现 该 漏 洞 来 加 深 对 S S R F 漏 洞 的 理 解 。
W e b L o g i c 的 S S R F 漏 洞 的 存 在 页 面 样 子 是 这 样 的 ： 在 学 习 这 块 的 时 候 ， 天 真 的 以 为 只 要 存 在 这 个 页 面 就 必 有 S S R F ， 结 果 当 然 是 否 定 的 ， 在 借 鉴 了 猪 猪 侠 大 佬 的 P P T 之 后 ， 发 现 一 共 有 如 图 四 种 回 显 状 态 ： 那 么 可 以 通 过 构 造 ： h t t p : / / x x x . c o m / u d d i e x p l o r e r / S e a r c h P u b l i c R e g i s t r i e s . j s p ? o p e r a t o r = h t t p : / / ( 要 探 测 的 内 网 地 址 ) & r d o S e a r c h = n a m e & t x t S e a r c h n a m e = s d f & t x t S e a r c h k e y = & t x t S e a r c h f o r = & s e l f o r = B u s i n e s s + l o c a t i o n & b t n S u b m i t = S e a r c h 对 其 进 行 探 测 ， 观 察 其 回 显 状 态 ， 判 断 是 否 存 在 目 标 网 段 ， 这 个 地 方 最 主 要 的 就 是 o p e r a t o r 这 个 参 数 ， 主 要 思 路 就 是 通 过 修 改 这 个 参 数 ， 来 探 测 内 网 地 址 和 内 网 端 口 。 不 过 问 题 来 了 ， 上 面 刚 才 说 内 网 地 址 那 么 多 ， 我 们 要 怎 么 才 能 知 道 呢 ？ 在 W e b L o g i c S S R F 的 漏 洞 页 面 点 击 这 里 ：
就 会 来 到 这 里 ， 有 时 候 由 于 配 置 不 当 的 关 系 ， 这 个 地 方 会 直 接 给 出 内 网 地 址 的 网 段 ： 有 网 段 了 ， 就 可 以 一 点 一 点 的 探 测 了 ， 探 测 内 网 的 t e l n e t ， s s h ， r e d i s ， 以 及 各 个 数 据 库 ， 为 以 后 的 内 网 漫 游 做 好 信 息 收 集 。 还 有 ， 在 W e b L o g i c 的 S S R F 中 ， 有 一 个 比 较 大 的 特 点 ， 就 是 虽 然 它 是 一 个 “ G E T ” 请 求 ， 但 是 我 们 可 以 通 过 传 入 % 0 a % 0 d 来 注 入 换 行 符 ， 而 某 些 服 务 （ 如 r e d i s ） 是 通 过 换 行 符 来 分 隔 每 条 命 令 ， 也 就 说 我 们 可 以 通 过 该 S S R F 攻 击 内 网 中 的 r e d i s 服 务 器 。 手 动 反 弹 s h e l l ， 就 是 常 规 的 发 送 r e d i s 命 令 ， 然 后 把 弹 s h e l l 脚 本 写 入 c r o n t a b 中 ， 最 后 用 g e t 发 送 命 令 ， 不 过 别 忘 了 ， g e t 发 送 命 令 的 时 候 要 进 行 u r l 编 码 ， 最 后 在 服 务 器 上 进 行 监 听 就 O K 了 。 当 然 ， 作 为 一 名 脚 本 小 子 ， 手 动 探 测 以 及 反 弹 s h e l l 太 累 了 ， 在 此 贴 上 一 个 大 牛 的 脚 本 ， 可 以 很 方 便 的 探 测 S S R F 的 网 段 以 及 每 个 网 段 的 端 口 ， 甚 至 还 有 反 弹 s h e l l 的 功 能 ， 地 址 ： h t t p s : / / g i t h u b . c o m / N o n e N o t N u l l / S S R F X 总 结
S S R F 这 个 漏 洞 虽 然 在 各 大 S R C 上 都 被 评 为 低 危 ， 但 是 这 是 因 为 它 本 身 的 危 害 有 限 ， 若 是 与 其 他 漏 洞 结 合 起 来 会 对 你 的 渗 透 过 程 方 便 很 多 ， 它 的 强 大 之 处 是 在 于 探 测 到 一 些 信 息 之 后 从 而 进 一 步 加 以 利 用 。 比 如 获 取 内 网 的 开 放 端 口 信 息 ， 主 机 的 信 息 收 集 和 服 务 b a n n e r 信 息 ， 攻 击 内 网 和 本 地 的 应 用 程 序 及 服 务 ， 还 有 就 是 利 用 f i l e 协 议 读 取 本 地 文 件 等 。 以 上 是 今 天 的 全 部 内 容 ， 大 家 看 懂 了 吗 ？ 推 荐 阅 读 推 荐 阅 读 R e c o m m e n d e d   r e a d i n g 点 击 下 列 标 题     阅 读 更 多 精 彩 内 容 专 访 丨 互 联 网 安 全 城 市 巡 回 赛 冠 军 肖 策 2 0 1 9 互 联 网 安 全 城 市 巡 回 赛 · 西 安 站 圆 满 收 官 审 计 篇 丨 P H P c m s 9 . 6 . 3 后 台 X S S 审 计 Z Z Z P H P 1 . 6 1   代 码 审 计 - 从 S Q L 注 入 到 G e t s h e l l 漏 洞 经 验 分 享 丨 J a v a 审 计 之 X X E P H P 反 序 列 化 漏 洞 新 来 的 朋 友 如 果 想 要 了 解 其 他 的 必 备 技 能 和 实 用 工 具 ， 可 以 点 击 菜 单 栏 中 的 入 门 锦 囊 查 看 相 关 内 容 ： 文 章 素 材 来 源 于 i 春 秋 社 区
i 春 秋 官 方 公 众 号 为 大 家 提 供 春 秋 官 方 公 众 号 为 大 家 提 供 前 沿 的 网 络 安 全 技 术 简 单 易 懂 的 实 用 工 具 紧 张 刺 激 的 安 全 竞 赛 还 有 网 络 安 全 大 讲 堂 更 多 技 能 等 你 来 解 锁
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理