ctfhub利用SSRF攻击内网FastCGI协议

清风--

已于 2022-06-23 14:22:43 修改

阅读量2.3k

点赞数 4

文章标签： php 安全 web安全

于 2022-06-23 14:15:42 首次发布

本文链接：https://blog.csdn.net/qq_64201116/article/details/125426151

版权

原理初步了解：

FastCGI 是一个类似HTTP的通信协议，是数据交换的通道

而FPM就是FastCGI的解析器，服务器中间件将用户的请求按照FastCGI的规则格式化后给FPM，之后呢FPM再对用户的请求解析对应文件

PS：这里是通过TCP协议传输的

那么格式化的规则是什么样的呢？借用文章的一个例子：

用户请求http://127.0.0.1/index.php?a=1&b=2，如果web目录是/var/www/html，那么Nginx会将这个请求变成如下key-value对：

{
    'GATEWAY_INTERFACE': 'FastCGI/1.0',
    'REQUEST_METHOD': 'GET',
    'SCRIPT_FILENAME': '/var/www/html/index.php',
    'SCRIPT_NAME': '/index.php',
    'QUERY_STRING': '?a=1&b=2',
    'REQUEST_URI': '/index.php?a=1&b=2',
    'DOCUMENT_ROOT': '/var/www/html',
    'SERVER_SOFTWARE': 'php/fcgiclient',
    'REMOTE_ADDR': '127.0.0.1',
    'REMOTE_PORT': '12345',
    'SERVER_ADDR': '127.0.0.1',
    'SERVER_PORT': '80',
    'SERVER_NAME': "localhost",
    'SERVER_PROTOCOL': 'HTTP/1.1'
}

是不是第一眼就感觉很像php的环境变量。这个数组其实就是PHP中$_SERVER数组的一部分。其实环境变量还有一个功能：告诉FPM我要执行什么php文件。在这里就是执行/var/www/html/index.php

攻击原理：

PHP-FPM默认监听9000端口，正常情况只接受127.0.0.1的请求，配置不当也会暴露在公网中，如果没有暴露在公网，只能采取用SSRF去和PHP-FPM通信了。比较新版的FPM设置了默认的一个配置选项security.limit_extensions，只允许后缀为.php的文件，因此要执行服务器上现有的php文件

实现任意代码执行：

先了解一下php的配置项，auto_prepend_file和auto_append_file，这两配置在文件上传中也有，而且是关于.user.ini的配置文件当然了相对的就是.htaccess文件

要知道nginx的配置文件是.user.ini

apache的配置文件是.htaccess

做文件上传的时候可以通过报错来知道服务器是哪个server

auto_append_file #在执行php文件后自动包含一个指定文件

auto_prepend_file #在执行php文件前自动包含一个指定文件