ssrf漏洞详细解析（概念、原理、利用和源码分析、修复建议）

最新推荐文章于 2024-08-25 17:44:01 发布

亿林数据

最新推荐文章于 2024-08-25 17:44:01 发布

阅读量1.1k

点赞数 21

文章标签：网络安全 ssrf

本文链接：https://blog.csdn.net/A526847/article/details/138696887

版权

SSRF概念 SSRF(Server-Side Request Forgery:服务器端请求伪造) 是一种由攻击者构造请求，由服务端发起请求的安全漏洞。一般情况下，SSRF攻击的目标是外网无法访问的内部系统(正因为请求是由服务端发起的，所以服务端能请求到与自身相连而与外网隔离的内部系统)。很多Web应用都提供了从其他服务器上获取数据的功能。使用用户指定的URL，Web应用可以获取图片，下载文件，读取文件内容等。这个功能如果被恶意使用，可以利用存在缺陷的web应用作为代理攻击远程和本地服务器。由于服务端提供了从其他服务器应用获取数据的功能，但又没有对目标地址做严格过滤与限制，导致攻击者可以传入任意的地址来让后端服务器对其发起请求,并返回对该目标地址请求的数据。

数据流:攻击者----->服务器---->目标地址

SSRF原理 SSRF形成的原因大都是由于服务端提供了从其他服务器应用获取数据的功能，且没有对目标地址做过滤与限制。例如，黑客操作服务端从指定URL地址获取网页文本内容，加载指定地址的图片等，利用的是服务点的请求伪造。SSRF利用存在缺陷的Web应用作为代理攻击远程和本地的服务器。可以使用如下理解：首先，我们要对目标网站的架构了解，脑子了要有一个架构图。比如：A网站，是一个所有人都可以访问的外网网站，B网站是一个他们内部的OA网站。

所以，我们普通用户只可以访问a网站，不能访问b网站。但是我们可以同过a网站做中间人，访问b网站，从而达到攻击b网站需求。

正常用户访问网站的流程是：输入A网站URL --> 发送请求 --> A服务器接受请求（没有过滤），并处理 -->返回用户响应如果那网站有个请求是www.xxxx.com/xxx.php?image=URL 那么产生SSRF漏洞的环节在哪里呢？安全的网站应接收请求后，检测请求的合法性产生的原因：服务器端的验证并没有对其请求获取图片的参数（image=）做出严格的过滤以及限制，导致A网站可以从其他服务器的获取数据例如：www.xxxx.com/xxx.php?image=www.abc.com/1.jpg 如果我们将www.abc.com/1.jpg换为与该服务器相连的内网服务器地址会产生什么效果呢？如果存在该内网地址就会返回1xx 2xx 之类的状态码，不存在就会其他的状态码。

总结:SSRF漏洞就是通过篡改获取资源的请求发送给服务器，但是服务器并没有检测这个请求是否合法的，然后服务器以他的身份来访问其他服务器的资源。

主要的攻击方式(不限于)：

对外网、服务器所在内网、本地进行端口扫描，获取一些服务的banner信息。
攻击运行在内网或本地的应用程序。
对内网Web应用进行指纹识别，识别企业内部的资产信息。
攻击内外网的web应用，主要是使用HTTP GET请求就可以实现的攻击(比如strust2、SQLi等)。
利用file协议读取本地文件等

SSRF利用

利用的协议

主要涉及的协议：http://,file://,dict://,gopher://这四个协议。 SSRF利用存在多种形式以及不同的场景，针对不同场景可以使用不同的利用和绕过方式。以curl为例, 可以使用dict协议操作Redis、file协议读文件、gopher协议反弹Shell等功能。 curl命令在SSRF漏洞有非常重要的作用,结合协议常见用法：

使用file协议curl -v file:///etc/passwd
使用ftp协议 curl -v "ftp://127.0.0.1:端口/info"
使用dict协议 curl -v "dict://127.0.0.1:端口/info"
使用gopher协议 curl -v "gopher://127.0.0.1:端口/_info"
# -v参数输出通信的整个过程，用于调试。我们便可以利用-v参数进行读取文件

常见内网IP 局域网地址范围分三类，以下IP段为内网IP段：

C类：192.168.0.0 - 192.168.255.255

B类：172.16.0.0 - 172.31.255.255

A类：10.0.0.0 - 10.255.255.255

SSRF利用的步骤

1. http协议进行内网的ip扫描、端口探测

2. file协议进行本地文件的读取

3. 利用gopher/dict 来打探测到的一些服务，最为出名的就是redis服务

PHP的相关函数来利用

根据后台使用的函数的不同,对应的影响和利用方法又有不一样，PHP中下面函数的使用不当会导致 SSRF:

file_get_contents()

fsockopen()

curl_exec()

核心重点掌握curl_exec().

PHP的CURL支持很多协议：FTP, FTPS, HTTP, HTTPS, GOPHER, TELNET, DICT, FILE 以及 LDAP。curl 同样支持HTTPS认证，HTTP POST方法, HTTP PUT方法, FTP上传, kerberos认证, HTTP上传, 代理服务器, cookies, 用户名/密码认证, 下载文件断点续传, 上载文件断点续传, http代理服务器管道（ proxy tunneling）, 甚至它还支持IPv6, socks5代理服务器, 通过http代理服务器上传文件到FTP服务器等等，功能十分强大。

准备代码ssrf.php

<?php
// 获取参数
$url = isset($_GET['url']) ? $_GET['url'] : "";
if ($url){
// 初始化curl
$ch = curl_init();
//设置URL参数
curl_setopt($ch, CURLOPT_URL, $url);
// 设置是否返回响应头
curl_setopt($ch, CURLOPT_HEADER, 0);
// 执行
$result = curl_exec($ch);
// 关闭
curl_close($ch);
}

在写一个info.php 就用来输出：phpinfo()。