搜索

[16756] 2021-05-07_BlackHatUSA2020议题：SSRF漏洞利用新思路

文档创建者：s7ckTeam
浏览次数：10
最后更新：2025-01-18
2021-05-07_BlackHatUSA2020议题：SSRF漏洞利用新思路 B l a c k   H a t   U S A   2 0 2 0 议 题 ： S S R F 漏 洞 利 用 新 思 路 中 兴 沉 烽 实 验 室   F r e e B u f   2 0 2 1 - 0 5 - 0 7 0 x 0 0   背 景 介 绍 背 景 介 绍 2 0 2 0 年 B l a c k H a t 大 会 上 ， J o s h u a   M a d d u x 介 绍 了 一 种 针 对 S S R F 的 新 颖 利 用 思 路 ， 得 到 了 广 泛 的 关 注 。 此 类 攻 击 是 通 过 构 造 一 个 H T T P S   S e r v e r ， 使 T L S   s e s s i o n 中 携 带 攻 击 载 荷 ， 攻 击 行 为 触 发 主 要 通 过 一 个 受 限 的 S S R F 漏 洞 （ 甚 至 一 个 钓 鱼 网 页 ） ， 结 合 T L S 协 议 和 D N S 协 议 的 特 性 ， 把 攻 击 报 文 发 到 受 害 者 内 网 的 T C P 服 务 中 ， 达 到 S S R F 漏 洞 攻 击 面 扩 大 的 效 果 。 本 文 将 针 对 此 攻 击 进 行 较 深 入 介 绍 和 演 示 ， 供 大 家 学 习 参 考 。 在 演 示 该 攻 击 方 式 之 前 ， 我 们 首 先 介 绍 以 下 关 键 知 识 ： S S R F S S D N S   R e b i n d T L S   s e s s i o n   r e s u m p t i o n 0 x 0 1   S S R F S S R F 漏 洞 是 一 个 常 见 的 w e b 安 全 漏 洞 ， 通 过 提 交 一 段 精 心 构 造 的 请 求 信 息 ， 发 送 给 服 务 器 ， 欺 骗 服 务 器 读 取 本 地 文 件 、 探 测 内 网 信 息 、 攻 击 内 网 其 他 服 务 器 等 。 攻 击 行 为 可 以 通 过 多 种 信 息 实 现 ， 取 决 于 服 务 对 协 议 的 支 持 情 况 ： f i l e : / / d i c t : / / T F T P : / / h t t p : / / h t t p s : / / G o p h e r : / / 其 中 通 过 G o p h e r 协 议 ， 我 们 可 以 构 造 的 T C P 上 层 报 文 ， 和 大 部 分 的 T C P   服 务 器 通 信 ， 比 如 M y S Q L 、 P o s t g r e S Q L 、 R e d i s 、 M e m c a c h e d 、 S M T P ， 大 大 拓 展 了 S S R F 漏 洞 的 攻 击 面 。 0 x 0 2   D N S   R e b i n d i n g 0 x 0 2 1   D N S   T T L D N S   T T L   用 来 定 义 D N S 解 析 数 据 在 缓 存 中 存 放 的 时 间 ， 生 存 时 间 一 到 期 ， 名 称 服 务 器 就 丢 弃 原 有 的 缓 存 数 据 ， 并 从 权 威 名 称 服 务 器 获 取 新 的 数 据 。 假 如 一 个 域 名 的   T T L   为 1 0 s ， 当 我 们 在 这 1 0 s 内 ， 对 该 域 名 进 行 多 次   D N S   请 求 ， D N S   服 务 器 ， 只 会 收 到 一 次 请 求 ， 其 他 的 都 是 缓 存 。 详 细 的 T T L 设 置 参 考 R F C 2 1 8 1 对 D N S   T T L 的 描 述 ： I t   i s h e r e b y   s p e c i f i e d   t h a t   a   T T L   v a l u e   i s   a n   u n s i g n e d   n u m b e r ,   w i t h   a   m i n i m u m   v a l u e   o f   0 ,   a n d   a   m a x i m u m v a l u e   o f   2 1 4 7 4 8 3 6 4 7 .   T h a t   i s ,   a   m a x i m u m   o f   2 ^ 3 1   -   1 .   W h e n   t r a n s m i t t e d ,   t h i s   v a l u e   s h a l l   b e   e n c o d e d   i n   t h e   l e s s
s i g n i f i c a n t   3 1   b i t s   o f   t h e   3 2   b i t   T T L   f i e l d ,   w i t h   t h e   m o s t   s i g n i f i c a n t ,   o r   s i g n ,   b i t   s e t   t o   z e r o . 在 D N S 应 答 报 文 中 ， T T L 字 段 一 共 4 个 字 节 ， 其 中 低 3 1 位 是 有 效 位 ， 数 值 范 围 为 0 到 2 ^ 3 1   -   1 ， 这 里 以 百 度 域 名 解 析 应 答 为 例 ， D N S 应 答 报 文 设 置 了 T T L 值 为 2 4 9 s （ 0 0 0 0 0 0 f 9 ） ： 0 x 0 2 2   D N S   R e b i n d i n g 通 常 的 S S R F 防 御 措 施 是 通 过 以 下 防 御 机 制 实 现 的 ：
这 种 S S R F 防 御 思 路 上 ， 通 常 会 对 目 标 u r l 进 行 解 析 ， “ 获 取 I P 地 址 ” 然 后 进 行 i p 判 断 ， 如 果 i p 地 址 在 正 常 范 围 内 ， 则 进 入 下 一 个 逻 辑 ， “ 服 务 端 请 求 U R L ” 。 因 此 ， D N S   R e b i n d i n d 的 攻 击 思 路 ， 是 申 请 一 个 域 名 ， 构 造 一 个 D N S 服 务 器 ， 将 域 名 解 析 到 该 D N S 服 务 器 ， 同 时 设 置 D N S 服 务 器 的 应 答 包 围 T T L 为 0 ， 在 “ 获 取 i p 地 址 ” 的 逻 辑 中 响 应 正 常 的 i p 地 址 ， 绕 过 了 检 测 ， 与 此 同 时 由 于 T T L 为 0 ， 因 此 在 “ 服 务 端 请 求 U R L ” 步 骤 中 ， 需 要 重 新 进 行 D N S 解 析 ， 此 时 D N S 服 务 器 应 答 的 i p 地 址 为 希 望 攻 击 的 i p 。 实 验 步 骤 如 下 ： 设 置 域 名 解 析 的 服 务 器 为 自 定 义 的 D N S 服 务 器 启 动 自 定 义 的 D N S 服 务 器 浏 览 器 访 问 域 名 在 本 地 1 2 7 . 0 . 0 . 1 地 址 启 动 h t t p   s e r v e r
访 问 目 标 域 名 ， 结 果 响 应 结 果 为 本 地 h t t p 服 务 抓 包 观 察 D N S 响 应 结 果 在 D N S 服 务 器 的 打 印 结 果 中 ， 也 可 以 看 到 ， 第 一 次 解 析 结 果 为 真 实 i p ， 后 续 的 解 析 结 果 为 1 2 7 . 0 . 0 . 1 抓 包 观 察 响 应 结 果 ， 第 一 次 D N S 应 答 为 正 常 的 i p ， T T L 设 置 为 0 后 续 的 响 应 结 果 为 1 2 7 . 0 . 0 . 1
0 x 0 2 3   结 果 分 析 结 果 分 析 通 过 浏 览 器 实 验 是 符 合 预 期 的 ， 但 是 该 攻 击 还 存 在 一 些 局 限 性 ： 1 . 在 真 实 的 应 用 环 境 中 ， j a v a 默 认 的 T T L 值 为 1 0 s ， 这 个 配 置 会 导 致 D N S   R e b i n d i n g 攻 击 失 败 ， 可 以 通 过 修 改 配 置 来 完 成 实 验 。 也 可 以 设 置 h t t p s   s e r v e r 来 耗 尽 T T L 的 时 间 。 2 .   L i n u x 环 境 中 ， 默 认 不 进 行 d n s 缓 存 ， w i n d o w s 中 会 进 行 d n s 缓 存 。 3 .   P H P 环 境 中 默 认 T T L 为 0 0 x 0 3   T L S   s e s s i o n   r e s u m p t i o n 0 x 0 3 1   T L S   握 手 握 手 T L S 握 手 包 括 以 下 过 程 ： 步 骤 如 下 ： 1 . C l i e n t   发 送   C l i e n t H e l l o ； S e r v e r   回 复   S e r v e r   H e l l o 2 . C l i e n t   回 复 最 终 确 定 的   K e y ， F i n i s h e d ； S e r v e r   回 复   F i n i s h e d 3 . 握 手 完 毕 ， C l i e n t   发 送 加 密 后 的   H T T P   请 求 ； S e r v e r   回 复 加 密 后 的   H T T P   响 应 在 此 过 程 中 需 要 消 耗 两 个 R T T （ R o u n d - T r i p   T i m e ） ， 抓 包 分 析 ： 第 一 个 R T T 中 ， 客 户 端 发 送 了 C l i e n t   H e l l o ， 服 务 器 响 应 了 S e r v e r   H e l l o ， 同 时 发 送 了 自 己 的 证 书 和 公 钥 。 j a v a . s e c u r i t y . S e c u r i t y . s e t P r o p e r t y ( " n e t w o r k a d d r e s s . c a c h e . n e g a t i v e . t t l "   ,   " 0 " ) ;
第 二 个 R T T 中 ， 客 户 端 计 算 出 了 加 密 k e y ， 并 使 用 服 务 器 公 钥 加 密 了 k e y ， 发 送 给 服 务 器 ， 服 务 器 使 用 私 钥 解 密 数 据 获 取 了 k e y ， 握 手 完 成 。 0 x 0 3 2   s e s s i o n   r e s u m p t i o n s e s s i o n   r e s u m p t i o n 是 指 将 第 一 次 通 过 握 手 协 商 出 来 的 k e y 保 存 起 来 ， 在 后 续 的 请 求 中 直 接 使 用 ， 这 样 可 以 节 省 传 送 的 开 销 。 如 下 图 所 示 ： 可 以 看 到 使 用 s e s s i o n   r e s u m p t i o n 后 ， 节 省 了 一 次 R T T 。 实 现 s e s s i o n   r e s u m p t i o n 有 两 种 主 要 方 案 ： s e s s i o n   i d s e s s i o n   i d 用 于 复 用 连 接 信 息 来 减 少 T L S 握 手 的 次 数 ， 其 机 制 是 在 S e r v e r   H e l l o 时 返 回 s e s s i o n   i d ， 客 户 端 在 下 次 建 立 连 接 时 发 送 的 C l i e n t   H e l l o 包 里 可 以 包 含 此 s e s s i o n _ i d 来 恢 复 之 前 的 会 话 。 参 考 r f c 5 2 4 6 T h e   C l i e n t H e l l o   m e s s a g e   i n c l u d e s   a   v a r i a b l e - l e n g t h   s e s s i o n   i d e n t i f i e r .   I f   n o t   e m p t y ,   t h e   v a l u e   i d e n t i f i e s   a s e s s i o n   b e t w e e n   t h e   s a m e   c l i e n t   a n d   s e r v e r   w h o s e   s e c u r i t y   p a r a m e t e r s   t h e   c l i e n t   w i s h e s   t o   r e u s e .   T h e   s e s s i o n i d e n t i f i e r   M A Y   b e   f r o m   a n   e a r l i e r   c o n n e c t i o n , t h i s   c o n n e c t i o n ,   o r   f r o m   a n o t h e r   c u r r e n t l y   a c t i v e   c o n n e c t i o n .   T h e s e c o n d   o p t i o n   i s   u s e f u l   i f   t h e   c l i e n t   o n l y   w i s h e s   t o   u p d a t e   t h e   r a n d o m   s t r u c t u r e s   a n d   d e r i v e d   v a l u e s   o f   a c o n n e c t i o n ,   a n d   t h e   t h i r d   o p t i o n   m a k e s   i t   p o s s i b l e   t o   e s t a b l i s h   s e v e r a l   i n d e p e n d e n t   s e c u r e   c o n n e c t i o n s   w i t h o u t r e p e a t i n g   t h e   f u l l   h a n d s h a k e   p r o t o c o l .   T h e s e   i n d e p e n d e n t   c o n n e c t i o n s   m a y   o c c u r   s e q u e n t i a l l y   o r s i m u l t a n e o u s l y ;   a   S e s s i o n I D   b e c o m e s   v a l i d   w h e n   t h e   h a n d s h a k e   n e g o t i a t i n g   i t   c o m p l e t e s   w i t h   t h e   e x c h a n g e   o f F i n i s h e d   m e s s a g e s   a n d   p e r s i s t s   u n t i l   i t   i s   r e m o v e d   d u e   t o   a g i n g   o r   b e c a u s e   a   f a t a l   e r r o r   w a s   e n c o u n t e r e d   o n   a c o n n e c t i o n   a s s o c i a t e d   w i t h   t h e   s e s s i o n .   T h e   a c t u a l   c o n t e n t s   o f   t h e   S e s s i o n I D   a r e   d e f i n e d   b y   t h e   s e r v e r . o p a q u e   S e s s i o n I D < 0 . . 3 2 > ; 服 务 端 存 储 s e s s i o n   i d 并 存 储 与 之 对 应 的 状 态 ， 如 加 密 套 件 ， m a s t e r   k e y 等 信 息 。 如 果 服 务 端 拿 客 户 端 传 过 来 的 s e s s i o n i d 能 拿 到 对 应 的 信 息 ， 就 表 示 此 s e s s i o n   i d 有 效 ， 并 尝 试 恢 复 会 话 。 s e s s i o n   t i c k e t s e s s i o n   t i c k e t 用 来 减 少 客 户 端 和 服 务 端 协 商 密 钥 等 信 息 的 交 互 次 数 ( 由 原 来 的 两 次 交 互 减 少 为 一 次 交 互 ) ， C l i e n t H e l l o 会 发 送 空 的 s e s s i o n   t i c k e t 插 件 来 表 示 支 持 s e s s i o n   t i c k e t 。 服 务 端 如 果 希 望 使 用 此 机 制 ， 会 在 S e r v e r H e l l o 中 返 回 空 的
s e s s i o n   t i c k e t 扩 展 ， 接 着 在 协 商 完 成 之 后 在 C h a n g e   C i p h e r   S p e c 包 之 前 发 送 N e w   S e s s i o n   T i c k e t 包 。 C l i e n t H e l l o 的 存 储 t i c k e t ， 服 务 端 尝 试 从 中 解 析 出 对 应 主 密 钥 ， 如 果 此 t i c k e t 验 证 通 过 ， 则 服 务 端 就 重 用 s e s s i o n 状 态 。 0 x 0 4   攻 击 思 路 攻 击 思 路 结 合 以 上 知 识 ， 在 遇 到 一 个 非 通 用 的 S S R F 漏 洞 时 ， 我 们 可 以 尝 试 使 用 以 下 思 路 ， 将 非 通 用 的 S S R F 漏 洞 变 成 通 用 S S R F 漏 洞 ： 1 . 准 备 D N S   R e b i n d i n g ， 部 署 D N S   s e r v e r ， 使 第 一 次 解 析 的 d n s 地 址 为 i p   A ， 后 续 解 析 的 地 址 为 希 望 攻 击 的 地 址 i p   B ； 2 . 部 署 h t t p s   s e r v e r ， 在 c l i e n t 端 与 s e r v e r 端 进 行 握 手 时 ， 设 置 s e r v e r   h e l l o 中 的 s e s s i o n   i d 字 段 为 攻 击 p a y l o a d ； 3 . h t t p s   s e r v e r 响 应 重 定 向 状 态 码 ， 触 发 第 二 次 域 名 解 析 ， 此 时 该 域 名 解 析 为 i p   B ； 4 . 触 发 c l i e n t 的 T L S   s e s s i o n   r e s u m p t i o n ； 5 . c l i e n t 向 i p   B 发 送 c l i e n t   H e l l o 报 文 ， 由 于 触 发 s e s s i o n   r e s u m p t i o n ， 会 向 i p   B 发 送 带 有 p a y l o a d 的 s e s s i o n   i d ； 6 . i p   B 收 到 攻 击 报 文 ， 攻 击 完 成 。 说 明 说 明 1 、 在 步 骤 4 中 ， 触 发 s e s s i o n   r e s u m p t i o n ， c l i e n t 会 进 行 相 关 的 检 查 ， 以 c u r l 源 码 为 例 ： 可 以 看 到 只 检 查 了 域 名 、 端 口 、 协 议
在 c u r l _ s s l _ s e s s i o n 结 构 体 中 ， 同 样 未 对 i p 进 行 定 义 这 就 为 D N S   R e b i n d i n g 创 造 了 条 件 。 2 、 在 实 际 的 环 境 中 并 非 所 有 的 c l i e n t 都 支 持 t l s   s e s s i o n ， 以 下 是 支 持 t l s   s e s s i o n 的 c l i e n t 列 表 ：
3 、 并 非 所 有 的 攻 击 目 标 都 适 合 ， 由 于 在 步 骤 5 中 发 送 的 报 文 是 标 准 的 c l i e n t   h e l l o 报 文 ， 因 此 需 要 被 攻 击 目 标 在 t c p 报 文 的 时 候 具 备 容 错 性 。 在 设 置 p a y l o a d 报 文 的 时 候 ， 也 需 要 尽 量 使 用 0 x 0 d 、 0 x 0 a 来 与 其 他 字 段 隔 离 。 0 x 0 5   攻 击 实 践 攻 击 实 践 0 x 0 5 1   配 置 配 置 D N S   S e r v e r d n s   s e r v e r 设 置 第 一 次 解 析 的 i p 地 址 为 真 实 的 i p ， 后 续 请 求 利 用 h t t p s   s e r v e r 的 响 应 3 0 1 重 定 向 ， 重 新 解 析 ， 从 而 解 析 为 期 望 攻 击 的 i p 0 x 0 5 2   配 置 配 置 h t t p s 服 务 服 务 设 置 s e s s i o n _ i d   l i s t , 设 计 列 表 中 的 每 个 元 素 长 度 为 D N S   应 答 中 s e s s i o n 字 段 长 度
设 置 h t t p s   s e r v e r   1 0 s 休 眠 时 间 ， 同 时 进 行 3 0 1 重 定 向 ， 重 用 s e s s i o n   i d 生 成 h t t p s   s e r v e r 私 钥 和 证 书 启 动 h t t p s   s e r v e r 0 x 0 5 3   模 拟 内 网 的 模 拟 内 网 的 m e m c a c h e d 业 务 业 务 o p e n s s l   r e q   - x 5 0 9   - n o d e s   - d a y s   3 6 5   - n e w k e y   r s a : 2 0 4 8   - k e y o u t   p r i v a t e . k e y   - o u t   s e r v e r . c r t p y t h o n 3   t l s . p y   s e r v e r   - - m a x - v e r   t l s 1 . 2   - k   . / p r i v a t e . k e y   - c   . / s e r v e r . c r t   0 . 0 . 0 . 0 : 1 1 2 1 1
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理