如何利用Ruby本地解析器漏洞绕过SSRF过滤器
Posted 嘶吼专业版
tags:
篇首语：本文由小常识网(cha138.com)小编为大家整理，主要介绍了如何利用Ruby本地解析器漏洞绕过SSRF过滤器相关的知识，希望对你有一定的参考价值。
概要
漏洞详细信息
由于Resolv::getaddresses与操作系统高度相关，因此可以通过使用不同的IP格式使其返回空值。如果这个漏洞被利用的话，可以令攻击者绕过用于抵御SSRF攻击的黑名单。
机器1
irb(main):002:0> Resolv.getaddresses("127.0.0.1")
=> ["127.0.0.1"]
irb(main):003:0> Resolv.getaddresses("localhost")
=> ["127.0.0.1"]
irb(main):004:0> Resolv.getaddresses("127.000.000.1")
=> ["127.0.0.1"]
机器2
irb(main):008:0> Resolv.getaddresses("127.0.0.1")
=> ["127.0.0.1"]
irb(main):009:0> Resolv.getaddresses("localhost")
=> ["127.0.0.1"]
irb(main):010:0> Resolv.getaddresses("127.000.000.1")
=> [] # 以上是关于如何利用Ruby本地解析器漏洞绕过SSRF过滤器的主要内容，如果未能解决你的问题，请参考以下文章