搜索

[19724] 2021-03-05_白帽黑客H师傅精彩分享：被低估的SSRF漏洞威力有多大！

文档创建者：s7ckTeam
浏览次数：32
最后更新：2025-01-18
2021-03-05_白帽黑客H师傅精彩分享：被低估的SSRF漏洞威力有多大！ 白 帽 黑 客 H 师 傅 精 彩 分 享 ： 被 低 估 的 S S R F 漏 洞 威 力 有 多 大 ！ i 春 秋   2 0 2 1 - 0 3 - 0 5 S S R F 漏 洞 虽 然 在 各 大 S R C 上 都 被 评 为 低 危 ， 但 是 不 要 小 瞧 它 ， 它 的 强 大 之 处 是 在 探 测 到 一 些 信 息 后 能 进 一 步 加 以 利 用 。 比 如 获 取 内 网 的 开 放 端 口 信 息 、 主 机 的 信 息 收 集 和 服 务 b a n n e r 信 息 、 攻 击 内 网 和 本 地 的 应 用 程 序 及 服 务 、 以 及 利 用 f i l e 协 议 读 取 本 地 文 件 等 ， 威 力 不 容 小 觑 。 今 天 i 春 秋 特 邀 白 帽 子 H 师 傅 ， 分 享 一 期 关 于 《 由 浅 及 深 摸 索 S S R F 漏 洞 》 的 公 开 课 ， 深 度 剖 析 S S R F 漏 洞 的 危 害 及 防 御 措 施 。 课 程 介 绍 课 程 介 绍 S S R F 漏 洞 （ 服 务 器 端 请 求 伪 造 ） ： 是 一 种 由 攻 击 者 构 造 形 成 由 服 务 端 发 起 请 求 的 一 个 安 全 漏 洞 。 一 般 情 况 下 ， S S R F 攻 击 的 目 标 是 从 外 网 无 法 访 问 的 内 部 系 统 。 本 节 课 程 由 三 部 分 组 成 ， 分 别 是 S S R F 基 础 概 念 、 C T F 比 赛 中 几 种 漏 洞 绕 过 方 式 及 各 大 比 赛 的 例 题 讲 解 ， 通 过 多 个 案 例 深 度 剖 析 S S R F 漏 洞 的 危 害 和 防 御 方 法 。 感 兴 趣 的 小 伙 伴 ， 识 别 感 兴 趣 的 小 伙 伴 ， 识 别 二 维 码 二 维 码 立 即 看 课 立 即 看 课
P S ： W e b 端 看 课 体 验 更 佳 ， 看 课 地 址 ： h t t p s : / / w w w . i c h u n q i u . c o m / o p e n / 6 8 6 6 7 讲 师 介 绍 讲 师 介 绍 本 期 课 程 主 讲 人 ： H h h M ， 国 内 知 名 C T F 战 队 S U 的 成 员 。 2 0 2 0 年 i 春 秋 优 秀 签 约 作 家 ； 2 0 2 0 年 全 国 大 学 生 信 息 安 全 竞 赛 总 决 赛 三 等 奖 ； X C T F 分 站 赛 S C T F 2 0 1 9 国 内 赛 冠 军 。 课 程 延 伸 课 程 延 伸 S S R F 漏 洞 相 关 函 数 和 协 议 漏 洞 相 关 函 数 和 协 议 S S R F 漏 洞 相 关 函 数 和 协 议 漏 洞 相 关 函 数 和 协 议 1 、 函 数 、 函 数 f i l e _ g e t _ c o n t e n t s (   ) 、 f s o c k o p e n (   ) 、 c u r l _ e x e c (   ) 、 f o p e n (   ) 、 r e a d f i l e (   ) 等 函 数 使 用 不 当 会 造 成 S S R F 漏 洞 （ 1 ） f i l e _ g e t _ c o n t e n t s (   ) f i l e _ g e t _ c o n t e n t 函 数 从 用 户 指 定 的 u r l 获 取 内 容 ， 然 后 指 定 一 个 文 件 名 j 进 行 保 存 ， 并 展 示 给 用 户 。 f i l e _ p u t _ c o n t e n t 函 数 把 一 个 字 符 串 写 入 文 件 中 。 < ? p h p $ u r l   =   $ _ G E T [ ' u r l ' ] ; ; e c h o   f i l e _ g e t _ c o n t e n t s ( $ u r l ) ; ? >
（ 2 ） f s o c k o p e n (   ) f s o c k o p e n 函 数 实 现 对 用 户 指 定 u r l 数 据 的 获 取 ， 该 函 数 使 用 s o c k e t （ 端 口 ） 跟 服 务 器 建 立 t c p 连 接 ， 传 输 数 据 。 变 量 h o s t 为 主 机 名 ， p o r t 为 端 口 ， e r r s t r 表 示 错 误 信 息 将 以 字 符 串 的 信 息 返 回 ， 3 0 为 时 限 。 （ 3 ） c u r l _ e x e c (   ) c u r l _ e x e c 函 数 用 于 执 行 指 定 的 c U R L 会 话 。 注 意 ： < ? p h p   f u n c t i o n   G e t F i l e ( $ h o s t , $ p o r t , $ l i n k )   {           $ f p   =   f s o c k o p e n ( $ h o s t ,   i n t v a l ( $ p o r t ) ,   $ e r r n o ,   $ e r r s t r ,   3 0 ) ;               i f   ( ! $ f p )   {   e c h o   " $ e r r s t r   ( e r r o r   n u m b e r   $ e r r n o )   n " ;   }   e l s e   {   $ o u t   =   " G E T   $ l i n k   H T T P / 1 . 1 r n " ;   $ o u t   . =   " H o s t :   $ h o s t r n " ;   $ o u t   . =   " C o n n e c t i o n :   C l o s e r n r n " ;   $ o u t   . =   " r n " ;   f w r i t e ( $ f p ,   $ o u t ) ;   $ c o n t e n t s = ' ' ;   w h i l e   ( ! f e o f ( $ f p ) )   {   $ c o n t e n t s . =   f g e t s ( $ f p ,   1 0 2 4 ) ;   }   f c l o s e ( $ f p ) ;   r e t u r n   $ c o n t e n t s ;   }   } ? > < ? p h p   i f   ( i s s e t ( $ _ P O S T [ ' u r l ' ] ) ) { $ l i n k   =   $ _ P O S T [ ' u r l ' ] ; $ c u r l o b j   =   c u r l _ i n i t ( ) ; / /   创 建 新 的   c U R L   资 源 c u r l _ s e t o p t ( $ c u r l o b j ,   C U R L O P T _ P O S T ,   0 ) ; c u r l _ s e t o p t ( $ c u r l o b j , C U R L O P T _ U R L , $ l i n k ) ; c u r l _ s e t o p t ( $ c u r l o b j ,   C U R L O P T _ R E T U R N T R A N S F E R ,   1 ) ; / /   设 置   U R L   和 相 应 的 选 项 $ r e s u l t = c u r l _ e x e c ( $ c u r l o b j ) ; / /   抓 取   U R L   并 把 它 传 递 给 浏 览 器 c u r l _ c l o s e ( $ c u r l o b j ) ; / /   关 闭   c U R L   资 源 ， 并 且 释 放 系 统 资 源 $ f i l e n a m e   =   ' . / c u r l e d / ' . r a n d ( ) . ' . t x t ' ; f i l e _ p u t _ c o n t e n t s ( $ f i l e n a m e ,   $ r e s u l t ) ;   e c h o   $ r e s u l t ; } ? >
① 一 般 情 况 下 P H P 不 会 开 启 f o p e n 的 g o p h e r   w r a p p e r ； ② f i l e _ g e t _ c o n t e n t s 的 g o p h e r 协 议 不 能 U R L 编 码 ； ③ f i l e _ g e t _ c o n t e n t s 关 于 G o p h e r 的 3 0 2 跳 转 会 出 现 b u g ， 导 致 利 用 失 败 ； ④ c u r l / l i b c u r l   7 . 4 3   上 g o p h e r 协 议 存 在 b u g ( % 0 0 截 断 )   经 测 试 7 . 4 9   可 用 ； ⑤ c u r l _ e x e c (   )   / / 默 认 不 跟 踪 跳 转 ； ⑥ f i l e _ g e t _ c o n t e n t s (   )   / /   f i l e _ g e t _ c o n t e n t s 支 持 p h p : / / i n p u t 协 议 。 2 、 协 议 、 协 议 （ 1 ） f i l e ： 在 有 回 显 的 情 况 下 ， 利 用 f i l e 协 议 可 以 读 取 任 意 内 容 ； （ 2 ） d i c t ： 泄 露 安 装 软 件 版 本 信 息 ， 查 看 端 口 ， 操 作 内 网 r e d i s 服 务 等 ； （ 3 ） g o p h e r ： g o p h e r 支 持 发 出 G E T 、 P O S T 请 求 ， 可 以 先 截 获 g e t 请 求 包 和 p o s t 请 求 包 ， 再 构 造 成 符 合 g o p h e r 协 议 的 请 求 。 g o p h e r 协 议 是 S S R F 利 用 中 一 个 最 强 大 的 协 议 ( 俗 称 万 能 协 议 ) ， 可 用 于 反 弹 s h e l l ； （ 4 ） h t t p / s ： 探 测 内 网 主 机 存 活 。 W e b L o g i c 的 的 S S R F 漏 洞 漏 洞 W e b L o g i c 的 的 S S R F 漏 洞 漏 洞 W e b L o g i c 的 S S R F 漏 洞 算 是 一 个 比 较 知 名 的 S S R F 漏 洞 ， 具 体 原 理 可 以 自 行 谷 歌 。 这 里 主 要 是 通 过 复 现 该 漏 洞 来 加 深 对 S S R F 漏 洞 的 理 解 。 W e b L o g i c 的 S S R F 漏 洞 的 存 在 页 面 样 子 是 这 样 的 ：
在 学 习 这 块 的 时 候 ， 天 真 的 以 为 只 要 存 在 这 个 页 面 就 必 有 S S R F ， 结 果 当 然 是 否 定 的 ， 在 借 鉴 了 猪 猪 侠 大 佬 的 P P T 之 后 ， 发 现 一 共 有 如 图 四 种 回 显 状 态 ： 那 么 可 以 通 过 构 造 ： h t t p : / / x x x . c o m / u d d i e x p l o r e r / S e a r c h P u b l i c R e g i s t r i e s . j s p ? o p e r a t o r = h t t p : / / ( 要 探 测 的 内 网 地 址 ) & r d o S e a r c h = n a m e & t x t S e a r c h n a m e = s d f & t x t S e a r c h k e y = & t x t S e a r c h f o r = & s e l f o r = B u s i n e s s + l o c a t i o n & b t n S u b m i t = S e a r c h 对 其 进 行 探 测 ， 观 察 其 回 显 状 态 ， 判 断 是 否 存 在 目 标 网 段 ， 这 个 地 方 最 主 要 的 就 是 o p e r a t o r 这 个 参 数 ， 主 要 思 路 就 是 通 过 修 改 这 个 参 数 ， 来 探 测 内 网 地 址 和 内 网 端 口 。 不 过 问 题 来 了 ， 上 面 刚 才 说 内 网 地 址 那 么 多 ， 要 怎 么 才 能 知 道 呢 ？ 在 W e b L o g i c S S R F 的 漏 洞 页 面 点 击 这 里 ： 就 会 来 到 这 里 ， 有 时 候 由 于 配 置 不 当 的 关 系 ， 这 个 地 方 会 直 接 给 出 内 网 地 址 的 网 段 ：
有 网 段 了 ， 就 可 以 一 点 一 点 的 探 测 了 ， 探 测 内 网 的 t e l n e t ， s s h ， r e d i s ， 以 及 各 个 数 据 库 ， 为 以 后 的 内 网 漫 游 做 好 信 息 收 集 。 还 有 ， 在 W e b L o g i c 的 S S R F 中 ， 有 一 个 比 较 大 的 特 点 ， 就 是 虽 然 它 是 一 个 “ G E T ” 请 求 ， 但 是 我 们 可 以 通 过 传 入 % 0 a % 0 d 来 注 入 换 行 符 ， 而 某 些 服 务 （ 如 r e d i s ） 是 通 过 换 行 符 来 分 隔 每 条 命 令 ， 也 就 说 可 以 通 过 该 S S R F 攻 击 内 网 中 的 r e d i s 服 务 器 。 手 动 反 弹 s h e l l ， 就 是 常 规 的 发 送 r e d i s 命 令 ， 然 后 把 弹 s h e l l 脚 本 写 入 c r o n t a b 中 ， 最 后 用 g e t 发 送 命 令 ， 不 过 别 忘 了 ， g e t 发 送 命 令 的 时 候 要 进 行 u r l 编 码 ， 最 后 在 服 务 器 上 进 行 监 听 就 O K 了 。 E n d —   往 期 回 顾 往 期 回 顾   — H a c k i n g   C l u b   技 术 趴 ▶   浅 析 勒 索 病 毒 ▶   J A V A 反 序 列 化 学 习 ▶   回 首 白 帽 老 兵 十 年 网 安 之 路 ▶   通 读 L i n u x 提 权 原 理 和 手 法 ▶   浅 析 红 队 基 础 设 施 ▶   W i n d o w s 域 渗 透 之 K e r b e r o s 委 派 科 普 类 公 开 课 ▶ 浅 析 僵 尸 网 络 ▶ 信 用 卡 安 全 ▶ 大 数 据 的 前 世 今 生 ▶ 大 牛 教 你 做 好 应 急 响 应 ▶ 免 费 的 陷 阱 ： 警 惕 公 共 W i - F i ▶ 无 线 键 盘 有 漏 洞 ▶ 0 d a y 危 机 ， 隐 藏 的 攻 防 战
▶ 加 密 算 法 解 析 ▶ D N S 解 析 ▶   红 队 建 设 之 道 ▶   手 机 锁 屏 密 码 安 全 ▶   中 间 人 攻 击 ▶   十 分 钟 看 懂 隐 写 术 ▶   信 息 泄 露 问 题 ▶   狡 猾 的 漏 洞 利 用 ▶   R F I D 工 作 原 理 分 析 ▶   披 露 世 界 顶 级 黑 客 的 内 心 独 白 ▶   一 分 钟 看 穿 网 络 钓 鱼 D C   G R O U P 精 品 沙 龙 系 列 ▶   V P N 设 备 的 矛 与 盾 ▶   C A N 总 线 安 全 ▶   W i n d o w s   密 码 攻 防 ▶   基 于 攻 击 链 的 威 胁 ， 工 控 安 全 如 何 防 护 ▶   初 窥 I o T 安 全   浅 析 常 规 漏 洞 文 末 下 方 点 个 赞 赞 和 在 看 在 看 哦 i 春 秋 官 方 公 众 号 为 大 家 提 供 春 秋 官 方 公 众 号 为 大 家 提 供 前 沿 的 网 络 安 全 技 术 简 单 易 懂 的 实 用 工 具 紧 张 刺 激 的 安 全 竞 赛 还 有 网 络 安 全 大 讲 堂 更 多 技 能 等 你 来 解 锁

回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理