SSRF漏洞基础

什么是SSRF漏洞

SSRF(Server-Side Request Forgery服务器端请求伪造) 是一种由攻击者构造形成由服务端发起请求的一个安全漏洞。SSRF攻击的目标一般是从外网无法访问的内部系统

• 漏洞成因
  服务端提供了从其他服务器应用获取数据的功能，但没有对目标地址做严格过滤与限制
• 常见出现SSRF的业务场景
  社会化分享功能、转码服务、在线翻译网站、在线图片加载/下载功能、图片/文章收藏功能、网站采集/抓取、未公开的API

可能发生SSRF漏洞的函数和协议

PHP中下面函数的使用不当会导致SSRF

函数	作用
file_get_contents()	把整个文件(本地/远程)读入一个字符串
fsockopen()	打开一个网络连接或一个Unix套接字连接
curl_exec()	执行cURL会话

SSRF可利用的CURL协议

协议	作用
file	查看文件：file://C:/Windows/system.ini
dict	探测端口：dict://127.0.0.1:3306
gopher	获取redis存储的内容：gopher://127.0.0.1:6379/KEYS *
ftp	获取ftp文件夹内容：ftp://127.0.0.1:21

dict协议：用于搭建在线字典服务，可读取tcp协议内容
gopher协议：信息查找系统，只支持文本不支持图像，已被HTTP取代

file协议敏感文件读取：

• Windows下敏感文件：
  C:\Windows\system.ini
  C:\Windows\System32\drivers\etc\hosts
  C:\Windows\System32\config\SAM
  C:\Windows\php.ini
  C:\Windows\my.ini
  C:\Program Files\mysql\my.ini
• Linux下敏感文件：
  /etc/passwd
  /etc/shadow
  /etc/my.cnf
  /etc/httpd/conf/httpd.conf
  /root/.ssh/authorized_keys
  /proc/self/loginuid
  /proc/self/environ
  /proc/net/fib_trie

URL关键字：share、wap、url、link、src、source、target、u、3g、display、sourceURl、imageURL、domain

SSRF漏洞利用

1. 服务探测
2. 协议
3. 访问敏感信息
4. 内网探测
5. 访问大文件造成服务端内存溢出
6. 通过Redis写入Webshell或建立反弹连接

• 实际案例
  Wordpress3.5.1以下版本xmlrpc.php pingback的缺陷与SSRF
  discuz!的SSRF(利用php的header函数来绕过，302跳转实现协议转换)
  weblogic的SSRF
• SSRF漏洞探测工具(github)
  SSRF-Testing、Gopherus、SSRFmap、ssrf_proxy

如何防御SSRF漏洞

• 禁用协议
• 限制请求端口
• 设置URL白名单
• 过滤返回信息
• 统一错误信息