首页 > 其他分享> 文章详细

渗透测试-15：SSRF 漏洞

2022-03-31 00:02:44 阅读：184 来源： 互联网

标签：协议 15 请求 SSRF URL IP 端口漏洞 http

漏洞原理

SSRF(Server-Side Request Forgery）：服务器端请求伪造，是大型站点中出现频率较高的漏洞
该漏洞通常由攻击者构造的请求传递给服务端，服务器端对传回的请求未作特殊处理直接执行而造成的
一般情况下，SSRF攻击的目标是从外网无法访问的内部系统。（正是因为它是由服务端发起的，所以它能够请求到与它相连而与外网隔离的内部系统）
大都是由于服务端提供了从其他服务器应用获取数据的功能，且没有对目标地址做过滤与限制。如从指定URL地址加载图片、文本资源或者获取指定页面的内容等

漏洞危害

SSRF可以对外网、服务器所在内网、本地进行端口扫描，攻击运行在内网或本地的应用，或者利用File协议读取本地文件
让服务端去访问相应的网址
让服务端去访问自己所处内网的一些指纹文件来判断是否存在相应的cms
可以使用file、dict、gopher、ftp协议进行请求访问相应的文件
攻击内网web应用（可以向内部任意主机的任意端口发送精心构造的数据包payload）
攻击内网应用程序（利用跨协议通信技术）
判断内网主机是否存活：方法是访问看是否有端口开放
DoS攻击（请求大文件，始终保持连接keep-alive always）

漏洞常出现位置

能够对外发起网络请求的地方，就可能存在 SSRF 漏洞
从远程服务器请求资源
数据库内置功能
文件处理、编码处理、属性信息处理
常见场景：在线翻译、转码服务、图片收藏/下载、信息采集、邮件系统、从远程服务器请求资源等

防御方式

统一错误信息，避免用户根据错误信息来判断远程服务器的端口状态
限制请求的端口为http的常用端口，比如：80、443、8080等
禁用不需要的协议，仅允许http和https
根据请求需求，可以将特定域名加入白名单，拒绝白名单之外的请求
后台代码对请求来源进行验证

漏洞函数

SSRF涉及到的危险函数主要是网络访问，支持伪协议的网络读取
PHP涉及到的函数主要有：

file_get_contents()
fsockopen()
curl_exec()：抓取 url 并把它传递给浏览器

绕过技巧

后台一般会对用户的请求中携带的内部IP地址或者HOST进行过滤，主要有以下几种方式可以绕过：
1、更改IP地址写法
2、利用解析URL所出现的问题
3、利用320跳转
4、通过非HTTP协议
5、DNS Rebinding
6、利用IPv6
7、利用IDN
8、短链接

更改IP地址写法

后台对传入的IP地址会过滤，此时需要对IP地址进行转换格式绕过过滤；对于这种过滤我们采用改变IP的写法的方式进行绕过，例如 192.168.2.108 这个IP地址可以被改写成：

8进制格式：0300.0250.2.0154
16进制格式：0xc0.0xa8.2.0x6c
10进制整数格式：3232236140
16进制整数格式：0xc0a8026c
合并后两位：0xc0.0xa8.620 或 192.168.620
合并后三位：192.11010668

利用解析URL出现问题

在某些情况下，后端程序可能会对访问的URL进行解析，对解析出来的host地址进行过滤。这时候可能会出现对URL参数解析不当，导致可以绕过过滤
比如 http://www.baidu.com@192.168.2.108/
当后端程序通过不正确的正则表达式（比如将http之后到com为止的字符内容，也就是 www.baidu.com，认为是访问请求的host地址）对上述URL的内容进行解析的时候，很有可能会认为访问URL的host为 www.baidu.com，而实际上这个URL所请求的内容都是 192.168.2.108 上的内容

通过各种非HTTP协议

如果服务器端程序对访问URL所采用的协议进行验证的话，可以通过非HTTP协议来进行利用
GOPHER协议：通过GOPHER我们在一个URL参数中构造Post或者Get请求，从而达到攻击内网应用的目的。
例如我们可以使用GOPHER协议对与内网的Redis服务进行攻击，可以使用如下的URL

DNS Rebinding

DNS 重绑定攻击的原理是：利用服务器两次解析同一域名的短暂间隙，更换域名背后的ip达到突破同源策略或绕过waf进行ssrf的目的

获取到输入的URL，从该URL中提取host
对该host进行DNS解析，获取到解析的IP
检测该IP是否是合法的，比如是否是私有IP等
如果IP检测为合法的，则进入curl的阶段发包

Apache Solr RemoteStreaming

抓包修改配置

POST /solr/demo/config HTTP/1.1
Content-Type: application/json

{"set-property":{"requestDispatcher.requestParsers.enableRemoteStreaming":true}}

读取文件

http://[IP]:[端口]/solr/demo/debug/dump?param=ContentStream&stream.url=file:///etc/passwd

标签：协议,15,请求,SSRF,URL,IP,端口,漏洞,http
来源： https://www.cnblogs.com/toki-plus/p/16079827.html

本站声明： 1. iCode9 技术分享网（下文简称本站）提供的所有内容，仅供技术学习、探讨和分享；
2. 关于本站的所有留言、评论、转载及引用，纯属内容发起人的个人观点，与本站观点和立场无关；
3. 关于本站的所有言论和文字，纯属内容发起人的个人观点，与本站观点和立场无关；
4. 本站文章均是网友提供，不完全保证技术分享内容的完整性、准确性、时效性、风险性和版权归属；如您发现该文章侵犯了您的权益，可联系我们第一时间进行删除；
5. 本站为非盈利性的个人网站，所有内容不会用来进行牟利，也不会利用任何形式的广告来间接获益，纯粹是为了广大技术爱好者提供技术内容和技术思想的分享性交流网站。

ICode9

渗透测试-15：SSRF 漏洞

漏洞原理

漏洞危害

漏洞常出现位置

防御方式

漏洞函数

相关协议

file协议

http协议

dict协议