搜索

[14111] 2019-05-15_用绕过姿势形成SSRF获取印度最大股票经纪公司AWS密码凭据

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2019-05-15_用绕过姿势形成SSRF获取印度最大股票经纪公司AWS密码凭据 用 绕 过 姿 势 形 成 S S R F 获 取 印 度 最 大 股 票 经 纪 公 司 A W S 密 码 凭 据 c l o u d s   F r e e B u f   2 0 1 9 - 0 5 - 1 5 大 家 好 ， 今 天 分 享 的 大 家 好 ， 今 天 分 享 的 w r i t e u p 是 作 者 在 针 对 印 度 最 大 的 股 票 经 纪 公 司 进 行 安 全 测 试 时 ， 通 过 不 同 层 面 的 绕 过 技 巧 （ 是 作 者 在 针 对 印 度 最 大 的 股 票 经 纪 公 司 进 行 安 全 测 试 时 ， 通 过 不 同 层 面 的 绕 过 技 巧 （ B y p a s s ） ， 最 终 获 取 到 该 公 司 ） ， 最 终 获 取 到 该 公 司 A W S 密 码 凭 据 的 过 程 。 其 中 用 到 了 密 码 凭 据 的 过 程 。 其 中 用 到 了 W A F 绕 过 ， 以 及 进 一 步 的 绕 过 ， 以 及 进 一 步 的 W e b   C a c h e 绕 过 ， 实 现 绕 过 ， 实 现 S S R F 攻 击 ， 最 后 获 取 到 了 目 标 系 统 的 攻 击 ， 最 后 获 取 到 了 目 标 系 统 的 A W S 密 码 凭 据 。 （ 本 文 的 发 表 已 经 获 得 该 股 票 经 纪 公 司 许 可 ） 。 密 码 凭 据 。 （ 本 文 的 发 表 已 经 获 得 该 股 票 经 纪 公 司 许 可 ） 。 发 现 发 现 W A F 防 护 防 护 测 试 刚 开 始 ， 我 注 意 到 目 标 系 统 的 一 个 服 务 路 径 （ E n d p o i n t ） 会 与 一 些 后 台 的 文 件 系 统 进 行 交 互 ， 因 此 接 下 来 我 就 自 然 而 然 地 测 试 了 本 地 文 件 包 含 漏 洞 （ L F I ） ， 之 后 发 现 ， 目 标 系 统 应 用 受 C l o u d f l a r e   W A F 防 火 墙 保 护 。 如 下 ： C l o u d F l a r e 是 一 家 提 供 D N S 、 W A F 和 D D O S 防 护 的 云 安 全 供 应 商 ， 由 它 提 供 的 安 全 服 务 可 以 很 好 地 隐 藏 目 标 网 站 的 真 实 I P 并 发 挥 C l o u d F l a r e 的 安 全 过 滤 能 力 ， 对 目 标 网 站 系 统 起 到 保 护 作 用 。 通 常 ， 攻 击 者 在 不 知 道 服 务 器 真 实 I P 的 情 况 下 ， 很 难 直 接 对 目 标 系 统 发 起 攻 击 。 但 是 ， 攻 击 者 也 经 常 会 以 一 些 间 接 方 法 发 现 目 标 网 站 真 实 I P ， 以 此 来 绕 过 C l o u d F l a r e   W A F （ 更 多 C l o u d F l a r e   W A F 绕 过 案 例 请 自 行 百 度 ） 。 基 于 这 种 部 署 架 构 的 W e b 应 用 服 务 器 来 说 ， 客 户 端 发 起 对 应 用 的 请 求 ， 要 经 过 C D N 、 W A F 或 负 载 均 衡 等 中 间 层 代 理 设 备 ， 才 能 真 正 地 到 达 后 端 服 务 器 中 。 所 以 ， 本 质 上 看 ， 如 果 知 道 目 标 系 统 真 实 I P ， 我 发 起 的 请 求 不 在 后 端 负 载 均 衡 或 服 务 器 过 滤 白 名 单 之 列 ， 那 么 就 能 直 接 与 应 用 的 后 端 服 务 器 进 行 交 互 了 ， 这 样 就 能 绕 过 C l o u d F l a r e   W A F 了 。 逻 辑 如 下 ： 绕 过 绕 过 W A F 防 护 但 又 遇 上 缓 存 服 务 （ 防 护 但 又 遇 上 缓 存 服 务 （ W e b   C a c h e ) 当 然 了 ， 这 里 我 们 要 来 先 发 现 目 标 应 用 系 统 的 真 实 I P ， 我 简 单 地 执 行   “ d i g   w w w . r e a d a c t e d . c o m ”   命 令 ， 竟 然 就 找 到 了 ：
之 后 ， 我 在 本 地 的 h o s t s 文 件 中 ， 增 加 了 一 条 真 实 I P 和 其 域 名 对 应 的 条 目 ， 查 看 域 名 访 问 的 变 化 情 况 ， 貌 似 是 可 行 的 ， 那 么 ， 我 们 结 合 上 面 的 L F I 漏 洞 情 况 来 试 试 密 码 读 取 。 当 在 U R L 后 加 上 / e t c / p a s s w d 命 令 执 行 后 ， 竟 幸 运 地 得 到 了 以 下 的 有 效 响 应 ： 所 以 ， 就 这 样 ， 我 就 轻 易 地 绕 过 了 C l o u d F l a r e   W A F 并 实 现 了 L F I 漏 洞 攻 击 。 接 下 来 ， 我 W h o i s 了 该 真 实 I P 后 发 现 ， 它 是 一 个 A W S 服 务 架 构 。 思 路 到 了 这 里 ， 我 认 为 下 一 步 的 目 标 就 是 ， 看 看 能 否 实 现 S S R F 进 而 读 取 出 其 中 的 A W S 账 户 密 码 凭 据 。 因 为 按 A W S 的 特 定 页 面 或 U R L 功 能 部 署 来 看 ， 是 可 能 获 取 到 相 应 的 账 户 密 码 信 息 的 ， 但 愿 如 此 。 不 多 啰 嗦 ， 我 立 马 以 该 目 标 应 用 系 统 身 份 ， 在 U R L 链 接 之 后 ， 针 对 A W S 官 方 的 实 例 元 数 据 实 例   -   h t t p : / / 1 6 9 . 2 5 4 . 1 6 9 . 2 5 4 / l a t e s t / m e t a - d a t a / ， 发 起 了 一 个 G E T 请 求 ， 如 下 ： 应 用 后 端 服 务 器 对 该 请 求 的 响 应 是   2 0 0   o k ， 但 响 应 内 容 却 是 空 的 ， 如 下 ： 这 表 明 交 互 确 实 发 生 了 ， 但 为 什 么 响 应 是 空 的 呢 ？ 查 看 以 上 响 应 消 息 ， 可 以 发 现 ， 其 中 的 s e r v e r   h e a d e r 为 “ n g i n x ” ， 另 外 还 有 一 个 值 为 H I T 的 X - P r o x y - C a c h e 。 也 就 是 说 ， 我 们 发 起 的 请 求 遇 到 了 中 间 的 N g i n x 缓 存 服 务 ， 然 后 该 缓 存 服 务 向 我 们 响 应 了 空 消 息 。 绕 过 绕 过 W e b   C a c h e 实 现 实 现 S S R F 获 取 获 取 A W S 密 码 凭 据 密 码 凭 据 所 以 ， 从 这 种 情 况 来 看 ， 为 了 获 取 到 真 实 的 应 用 服 务 端 响 应 ， 就 必 要 绕 过 这 个 N g i n x 缓 存 服 务 。 为 此 ， 我 还 进 一 步 了 解 了 N g i n x 缓 存 的 U R L 页 面 缓 存 规 则 。 h t t p s : / / w w w . d i g i t a l o c e a n . c o m / c o m m u n i t y / t u t o r i a l s / h o w - t o - i m p l e m e n t - b r o w s e r - c a c h i n g - w i t h - n g i n x - s - h e a d e r - m o d u l e - o n - c e n t o s - 7 h t t p s : / / w w w . h o w t o f o r g e . c o m / m a k e - b r o w s e r s - c a c h e - s t a t i c - f i l e s - o n - n g i n x 经 过 学 习 之 后 ， 我 了 解 到 通 常 的 缓 存 服 务 是 以 U R L 路 径 路 由 为 基 础 的 ， 所 以 ， 如 果 请 求 的 U R L 为 ： h t t p s : / / s o m e w e b s i t e . c o m / a . h t m l ， 且 与 缓 存 规 则 中 的 路 由 路 径 相 匹 配 ， 那 么 ， 它 就 会 被 引 入 缓 存 服 务 中 ， 从 其 中 获 取 响 应 。 但 如 果 请 求 U R L 为 ： h t t p s : / / s o m e w e b s i t e . c o m / a . h t m l ? ， 且 与 缓 存 规 则 中 的 路 由 路 径 不 匹 配 ， 那 么 该 请 求 就 会 会 经 由 缓 存 服 务 ， 而 是 会 直 接 从 后 端 的 应 用 服 务 器 中 获 取 响 应 。 因 此 ， 我 在 读 取 A W S 官 方 的 实 例 元 数 据 的 请 求 末 尾 也 加 上 了 一 个 “ ？ ” 问 号 （ 当 然 其 它 符 号 也 可 以 ） ， 如 此 -   h t t p : / / 1 6 9 . 2 5 4 . 1 6 9 . 2 5 4 / l a t e s t / m e t a - d a t a ? ， 这 样 这 种 请 求 就 不 符 合 N g i n x 中 的 缓 存 匹 配 规 则 了 。 那 我 们 来 看 看 这 样 的 请 求 ， 后 端 的 应 用 服 务 器 会 不 会 给 出 响 应 。 h t t p : / / 1 6 9 . 2 5 4 . 1 6 9 . 2 5 4 / l a t e s t / m e t a - d a t a ? 为 从 运 行 实 例 内 部 查 看 所 有 类 别 的 实 例 元 数 据 请 求 ： 心 动 的 是 ， 后 端 应 用 服 务 器 确 实 给 出 了 响 应 ， 且 列 出 了 目 标 系 统 运 行 实 例 内 部 的 所 有 元 数 据 ： H T T P / 1 . 1   2 0 0   O K S e r v e r :   n g i n x D a t e :   F r i ,   0 6   A p r   2 0 1 9   1 4 : 3 2 : 4 8   G M T C o n t e n t - T y p e :   t e x t / c s s ; c h a r s e t = U T F - 8 C o n n e c t i o n :   c l o s e V a r y :   A c c e p t - E n c o d i n g S t r i c t - T r a n s p o r t - S e c u r i t y :   m a x - a g e = 1 5 5 5 2 0 0 0 X - F r a m e - O p t i o n s :   D E N Y X - C o n t e n t - T y p e - O p t i o n s :   n o s n i f f X - X S S - P r o t e c t i o n :   1 ;   m o d e = b l o c k X - P r o x y - C a c h e :   H I T C o n t e n t - L e n g t h :   0 H T T P / 1 . 1   2 0 0   O K S e r v e r :   n g i n x D a t e :   F r i ,   0 6   A p r   2 0 1 9   1 4 : 3 2 : 4 8   G M T C o n t e n t - T y p e :   t e x t / c s s ; c h a r s e t = U T F - 8 C o n n e c t i o n :   c l o s e V a r y :   A c c e p t - E n c o d i n g S t r i c t - T r a n s p o r t - S e c u r i t y :   m a x - a g e = 1 5 5 5 2 0 0 0 X - F r a m e - O p t i o n s :   D E N Y X - C o n t e n t - T y p e - O p t i o n s :   n o s n i f f X - X S S - P r o t e c t i o n :   1 ;   m o d e = b l o c k X - P r o x y -
仔 细 观 察 上 述 响 应 消 息 ， 其 “ X - P r o x y - C a c h e ”   值 为 M I S S ， 也 就 是 说 ， 我 们 发 起 的 请 求 没 有 经 由 N g i n x 的 缓 存 服 务 层 ， 它 是 直 接 从 后 端 应 用 服 务 器 获 取 响 应 的 。 这 样 来 看 ， 我 已 经 可 以 绕 过 缓 存 服 务 来 实 现 S S R F 攻 击 了 ， 那 么 ， 按 照 A W S 的 实 例 元 数 据 机 制 ， 我 们 来 看 看 它 能 不 能 读 取 后 端 应 用 服 务 器 中 的 A W S 密 码 凭 据 。 为 此 ， 我 们 让 后 端 应 用 服 务 器 发 起 针 对 以 下 A W S 实 例 的 请 求 ： h t t p : / / 1 6 9 . 2 5 4 . 1 6 9 . 2 5 4 / l a t e s t / m e t a - d a t a / i d e n t i t y - c r e d e n t i a l s / e c 2 / s e c u r i t y - c r e d e n t i a l s / e c 2 - i n s t a n c e ? 该 请 求 适 用 于   向   A m a z o n   E C 2   基 础 设 施 的 其 余 部 分 标 识 出 运 行 实 例 的 凭 据 信 息 。 不 出 意 外 ， 果 然 我 们 就 成 功 地 读 取 到 了 其 中 的 密 码 凭 据 了 ： 其 中 包 括 了 目 标 系 统 的 A W S 访 问 I D ， 访 问 密 码 和 t o k e n 值 ， 利 用 它 们 我 可 以 以 其 A W S 账 户 身 份 远 程 登 录 目 标 应 用 系 统 中 的 A W S 资 产 ， 获 取 其 中 的 重 要 数 据 信 息 。 总 结 来 说 ， 我 是 先 通 过 绕 过 C l o u d f l a r e   W A F 发 现 目 标 应 用 服 务 器 的 真 实 I P ， 然 后 ， 利 用 L F I 和 缓 存 服 务 绕 过 提 权 执 行 S S R F 攻 击 ， 最 终 获 取 了 目 标 系 统 中 的 A W S 密 码 凭 据 信 息 。 还 真 是 一 次 有 意 思 的 测 试 过 程 ！ 漏 洞 上 报 进 程 漏 洞 上 报 进 程 2 0 1 9 . 4 . 6     —     漏 洞 初 报 给 公 司 2 0 1 9 . 4 . 7   —     公 司 着 手 修 复 漏 洞 2 0 1 9 . 4 . 7     —       我 确 认 漏 洞 修 复 2 0 1 9 . 4 . 7     —     漏 洞 赏 金 发 放 * 参 考 来 源 ： 参 考 来 源 ： m e d i u m ， ， c l o u d s 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 推 荐 阅 读 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理