漏洞学习

ssrf

服务器伪造请求

服务端提供从别的地方获取资源的功能点 如果可控就可能造成ssrf攻击内网

主要攻击服务集群中的内网服务

ssrf产生

远程加载图片或者下载图片

调用远程资源

共享 或者 分析资源时可能会重定向地址

php中的常见方法

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
file_get_contents($url)
读取文件内容并正常输出 还支持php伪协议 

<?php
$url = $_GET[file];
file_get_contents($url);
?>

fsockopen($hostname,$port,$errno,$errstr,$timeout)
用来创建socket套接字并向host请求连接 返回一个网络句柄 
后续由其他fgets()，fgetss()，fwrite()，fclose()还有feof()操控
<?php
$url = $_GET[url];
$fd = fsockopen($url,80,$errno,$errstr,10);
if($fd){
    while(!feof($fd)){
        echo fgets($fd,128);
    }
}else{
    echo $errno + $errstr
}
?>
        
        
curl_exec()
curl_init(url) 函数初始化一个新的会话，返回一个 cURL 句柄，供 curl_setopt()，curl_exec()和curl_close() 函数使用。
            
<?php 
if (isset($_GET['url'])){
	$link = $_GET['url'];
	$curlobj = curl_init(); // 创建新的 cURL 资源
	curl_setopt($curlobj, CURLOPT_POST, 0);
	curl_setopt($curlobj,CURLOPT_URL,$link);
	curl_setopt($curlobj, CURLOPT_RETURNTRANSFER, 1); // 设置 URL 和相应的选项
	$result=curl_exec($curlobj); // 抓取 URL 并把它传递给浏览器
	curl_close($curlobj); // 关闭 cURL 资源，并且释放系统资源
 
	// $filename = './curled/'.rand().'.txt';
	// file_put_contents($filename, $result); 
	echo $result;
}
?>

攻击向量

支持多种协议

dict://ip:port/command

dict协议是一个字典协议 用来查询网络字典内容的应用层协议 走TCP协议

可以用来探测内网服务 访问的时候会携带少量数据 或者直接访问服务

只会回显有tcp回显的服务

gopher://ip:port/_<TCP原始数据>

可以发送tcp的原始数据 一般用来打post请求 或者是打某些服务 mysql redis

file 文件读取

http 超文本传输协议

ssrf利用

探测内网服务

使用dict协议+bp爆破 可以探测出底层使用tcp协议且会回显信息的服务 基本可以爆破出绝大部分服务

或者http协议扫内网web服务

打mysql

和直接打mysql没什么区别 只不过只能使用那几个协议

条件

可以未授权登录

使用gopherus工具可以一键生成攻击向量

image-20260517151523234

这里使用国光师傅的ssrf-lab测试

image-20260517151823653

这里的输入框可以打ssrf

我们输入了刚刚生成的数据 打mysql

确实输出了用户信息 可以正常利用

打redis

也和直接打redis没区别 只不过只能使用特定协议

我们可以用dict协议直接和redis进行一些简单的命令执行

也可以直接使用gopherus工具一键生成攻击向量

bypass

@绕过

http://[用户凭据]@[ip]:[port]/[资源层级UNIX文件路径][文件名]?[查询]#[片段ID]

进制编码绕过

1
2
3
字符串:    http://127.0.0.1/
十六进制:  http://0x7F.0x00.0x00.0x01/
整数:      http://2130706433/

DNS重绑

dns重绑工具 https://lock.cmpxchg8b.com/rebinder.html

服务端请求解析域名 恶意域名解析系统放回一个正常的外网ip 绕过检查 但是TTL为0 服务端拿到之后继续请求解析 后续解析返回内网ip

TTL为0 绕过初始检查

302重定向

获取一个短链url 访问自动重定向到内网ip

短链网址 https://app.bitly.com/

泛域名解析

即使域名不对也会访问到正确的ip上

ip+.xip.name

ssrf in java

说些什么吧！

gitalk