搜索

[12316] 2018-02-03_Paperclip中的服务器端请求伪造（SSRF）漏洞分析

文档创建者：s7ckTeam
浏览次数：39
最后更新：2025-01-18
2018-02-03_Paperclip中的服务器端请求伪造（SSRF）漏洞分析 P a p e r c l i p 中 的 服 务 器 端 请 求 伪 造 （ S S R F ） 漏 洞 分 析 A l p h a _ h 4 c k   F r e e B u f   2 0 1 8 - 0 2 - 0 3 可 能 有 的 同 学 已 经 收 到 了 可 能 有 的 同 学 已 经 收 到 了 G i t H u b 在 在 2 0 1 8 年 年 1 月 月 2 2 日 推 送 的 日 推 送 的 C V E - 2 0 1 7 - 0 8 9 9 漏 洞 警 告 了 。 这 个 漏 洞 存 在 于 漏 洞 警 告 了 。 这 个 漏 洞 存 在 于 P a p e r c l i p   g e m 之 中 ， 是 一 个 高 危 漏 洞 ， 目 前 之 中 ， 是 一 个 高 危 漏 洞 ， 目 前 P a p e r c l i p 代 码 库 的 代 码 库 的 v 5 . 2 . 0 版 本 已 经 成 功 修 复 了 这 个 漏 洞 。 在 这 篇 文 版 本 已 经 成 功 修 复 了 这 个 漏 洞 。 在 这 篇 文 章 中 ， 我 们 将 会 跟 大 家 详 细 介 绍 该 漏 洞 的 成 因 ， 利 用 方 式 ， 漏 洞 影 响 ， 以 及 可 行 的 修 复 方 案 。 章 中 ， 我 们 将 会 跟 大 家 详 细 介 绍 该 漏 洞 的 成 因 ， 利 用 方 式 ， 漏 洞 影 响 ， 以 及 可 行 的 修 复 方 案 。 本 文 将 不 再 给 大 家 介 绍 关 于 服 务 器 端 请 求 伪 造 （ S S R F ） 的 内 容 ， 如 果 你 之 前 不 了 解 这 个 漏 洞 的 话 ， 建 议 大 家 自 行 学 习 了 解 。 我 们 这 里 给 大 家 提 供 一 些 参 考 资 料 ： h t t p s : / / w w w . h a c k e r o n e . c o m / b l o g - H o w - T o - S e r v e r - S i d e - R e q u e s t - F o r g e r y - S S R F h t t p s : / / g i t h u b . c o m / c u j a n o v i c / S S R F - T e s t i n g h t t p s : / / w w w . b l a c k h a t . c o m / d o c s / u s - 1 7 / t h u r s d a y / u s - 1 7 - T s a i - A - N e w - E r a - O f - S S R F - E x p l o i t i n g - U R L - P a r s e r - I n - T r e n d i n g - P r o g r a m m i n g - L a n g u a g e s . p d f 问 题 描 述 问 题 描 述 P a p e r c l i p 代 码 库 引 入 了 一 种 名 叫 “ I O 适 配 器 ” 的 概 念 ， 这 种 模 式 提 供 了 多 种 方 法 来 将 一 份 “ 文 件 ” 传 递 给 P a p e r c l i p 代 码 库 。 而 本 文 所 要 介 绍 的 漏 洞 将 会 影 响 P a p e r c l i p 的 其 中 两 个 I O 适 配 器 ， 这 两 个 适 配 器 均 能 接 受 U R L 地 址 作 为 附 带 数 据 ： l i b / p a p e r c l i p / i o _ a d a p t e r s / h t t p _ u r l _ p r o x y _ a d a p t e r . r b l i b / p a p e r c l i p / i o _ a d a p t e r s / u r i _ a d a p t e r . r b 当 程 序 在 使 用 这 些 适 配 器 时 ， P a p e r c l i p 将 会 以 代 理 的 形 式 从 传 递 过 来 的 U R L 网 站 地 址 中 下 载 指 定 文 件 。 如 果 提 供 的 文 件 或 附 带 数 据 是 以 ‘ h t t p : / / ’ 或 ‘ h t t p s : / / ’ 开 头 的 话 ， 程 序 将 会 调 用 ‘ h t t p _ u r l _ p r o x y _ a d a p t e r . r b ’ 。 需 要 注 意 的 是 ， P a p e r c l i p 的 文 档 中 并 没 有 记 载 有 这 种 行 为 ， 而 代 码 库 也 并 不 会 执 行 任 何 的 数 据 验 证 以 防 止 受 到 服 务 器 端 请 求 伪 造 （ S S R F ） 攻 击 。 存 在 漏 洞 的 存 在 漏 洞 的 R a i l s 代 码 样 本 （ 使 用 了 代 码 样 本 （ 使 用 了 P a p e r c l i p ） ） 从 下 面 给 出 的 代 码 段 中 可 以 看 到 ， R a i l s 控 制 器 可 以 接 受 一 个 “ 附 件 ” 请 求 参 数 ， 并 将 数 据 传 递 给 ‘ G e n e r i c A t t a c h m e n t ’ 模 块 （ 该 模 块 需 要 实 现 P a p e r c l i p 的 ‘ h a s _ a t t a c h e d _ f i l e ’ 方 法 ） 。 漏 洞 利 用 漏 洞 利 用 P o C 通 常 情 况 下 ， ‘ a t t a c h m e n t ’ 可 以 是 多 种 形 式 的 参 数 ， 其 中 可 以 包 含 二 进 制 代 码 或 b a s e 6 4 编 码 数 据 等 形 式 的 文 件 内 容 。 为
了 触 发 存 在 漏 洞 的 适 配 器 ， 我 们 需 要 提 交 一 个 U R L 地 址 。 U R L 需 要 在 ‘ a t t a c h m e n t ’ 参 数 中 提 交 ， 随 后 便 会 被 ‘ h t t p _ u r l _ p r o x y _ a d a p t e r ’ 解 析 。 接 下 来 程 序 会 请 求 A W S   E C 2 元 数 据 I P ,   1 6 9 . 2 5 4 . 1 6 9 . 2 5 4 （ A W S   E C 2 实 例 外 无 法 访 问 ） ， 并 将 数 据 以 附 件 文 件 进 行 存 储 。 这 样 一 来 ， 攻 击 者 将 有 可 能 利 用 应 用 程 序 中 的 其 他 功 能 （ 允 许 查 看 文 件 数 据 的 功 能 ） 来 恢 复 这 些 响 应 数 据 ， 具 体 需 要 取 决 于 存 在 漏 洞 的 应 用 程 序 以 及 支 持 的 数 据 类 型 。 当 附 带 数 据 （ 附 件 ） 类 型 为 “ U R I ” 类 型 时 ， 程 序 将 会 调 用 ‘ u r i _ a d a p t e r ’ 这 个 I O 适 配 器 （ h t t p _ u r l _ p r o x y _ a d a p t e r 继 承 了 u r i _ a d a p t e r ） 。 下 面 给 出 的 是 存 在 漏 洞 的 代 码 段 样 本 ： 跟 ‘ h t t p _ u r l _ p r o x y _ a d a p t e r ’ 不 同 的 是 ， ‘ u r i _ a d a p t e r ’ 的 行 为 是 可 以 在 P a p e r c l i p 的 文 档 【 传 送 门 】 中 找 到 的 。 如 果 用 户 输 入 的 数 据 是 一 条 未 经 验 证 的 U R L 地 址 ， 然 后 将 其 设 置 成 一 个 U R I 对 象 ， 最 后 以 附 件 数 据 的 形 式 提 交 给 适 配 器 的 话 ， 那 么 这 将 有 可 能 触 发 这 个 S S R F 漏 洞 。 漏 洞 影 响 漏 洞 影 响 ‘ h t t p _ u r l _ p r o x y _ a d a p t e r ’ 是 可 以 直 接 通 过 H T T P 请 求 参 数 直 接 调 用 的 ， 因 此 所 有 使 用 了 P a p e r c l i p 并 且 没 有 对 用 户 输 入 进 行 验 证 的 应 用 程 序 都 将 有 可 能 受 到 S S R F 攻 击 。 ‘ u r i _ a d a p t e r ’ 同 样 可 以 被 利 用 来 执 行 S S R F 攻 击 ， 但 是 这 个 漏 洞 在 利 用 过 程 中 必 须 创 建 要 给 U R I 对 象 ， 并 在 附 带 数 据 中 进 行 解 析 。 服 务 器 端 请 求 伪 造 （ S S R F ） 漏 洞 可 以 被 利 用 于 ： 1 .   向 内 部 网 络 或 本 地 接 口 中 的 目 标 主 机 发 送 恶 意 G E T 请 求 ； 2 .   通 过 向 E C 2 元 数 据 服 务 器 发 送 请 求 来 窃 取 A W S 访 问 令 牌 ； 3 .   向 没 有 认 证 机 制 的 内 部 网 络 主 机 发 送 请 求 ； 4 .   使 用 存 在 漏 洞 的 服 务 器 I P 向 内 部 可 访 问 的 系 统 发 送 G E T 请 求 ； 5 .   对 内 部 网 络 进 行 端 口 扫 描 ； S S R F 漏 洞 不 仅 可 以 帮 助 攻 击 者 入 侵 内 部 网 络 ， 而 且 甚 至 还 可 以 帮 助 他 们 访 问 目 标 网 络 中 的 个 人 主 机 并 窃 取 机 密 数 据 。 漏 洞 修 复 方 案 漏 洞 修 复 方 案
2 0 1 8 年 1 月 2 3 日 研 究 人 员 向 P a p e r c l i p 项 目 主 分 支 提 交 了 c o m m i t ， 并 移 除 了 ‘ h t t p _ u r l _ p r o x y _ a d a p t e r ’ 和 ‘ u r i _ a d a p t e r ’ ， 广 大 用 户 可 以 将 自 己 的 P a p e r c l i p   g e m 更 新 到 v 5 . 2 . 0 版 本 并 修 复 这 个 漏 洞 。 如 果 你 不 想 禁 用 适 配 器 的 话 ， 你 也 可 以 考 虑 采 用 更 加 严 格 的 U R L 验 证 机 制 。 我 个 人 不 建 议 大 家 自 己 编 写 U R L 验 证 代 码 ， 这 里 我 推 荐 一 个 可 用 的 帮 助 库 ： 【 p r i v a t e _ a d d r e s s _ c h e c k 】 不 幸 的 是 ， 仅 仅 采 用 U R L 验 证 还 不 足 以 解 决 目 前 的 问 题 。 P a p e r c l i p 的 U R I A d a p t e r 类 还 会 使 用 O p e n U R I . o p e n 来 下 载 文 件 内 容 ， 而 这 将 允 许 攻 击 者 绕 过 你 的 U R L 验 证 检 测 机 制 。 绕 过 代 码 样 本 如 下 ： 提 交 的 附 件 U R L 将 有 可 能 绕 过 你 的 U R L 验 证 机 制 ， 随 后 P a p e r c l i p 将 会 请 求 访 问 这 个 U R L 并 下 载 文 件 内 容 。 除 此 之 外 ， 攻 击 者 甚 至 还 可 以 将 链 接 重 定 向 到 内 部 地 址 。 O p e n U R I . o p e n 将 会 立 刻 处 理 重 定 向 ， 而 此 时 你 所 部 属 的 验 证 程 序 将 不 会 起 效 。 你 可 以 按 照 下 列 方 法 修 复 d o w n l o a d _ c o n t e n t 方 法 中 的 漏 洞 ： R o u t a b l e U r l V a l i d a t o r 包 含 了 U R I 的 验 证 逻 辑 以 及 服 务 器 端 重 定 向 的 验 证 逻 辑 ， 下 面 给 出 的 代 码 段 样 本 可 以 帮 助 你 了 解 如 何 验 证 重 定 向 并 对 重 定 向 的 次 数 进 行 限 制 ：
总 结 总 结 希 望 这 篇 文 章 可 以 帮 助 大 家 对 应 用 程 序 中 U R I 适 配 器 的 安 全 情 况 有 一 个 大 致 的 了 解 ， 并 给 大 家 提 供 一 些 有 价 值 的 挖 洞 思 路 。 *   参 考 来 源 ： m e d i u m ， F B 小 编 A l p h a _ h 4 c k 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理