OWASP之SSRF服务器伪造请求

news2024/11/26 8:26:42

文章目录

  • 一、SSRF定义
  • 二、形成原因
    • 1.提供请求功能
    • 2.地址没做限制
  • 三、漏洞危害
    • 1.可以对服务器所在内网、本地进行端口扫描，获取一些服务的信息等
    • 2.目标网站本地敏感数据的读取
    • 3.内外网主机应用程序漏洞的利用
    • 4.内外网Web站点漏洞的利用
  • 四、ssrf挖掘
    • 1.从WEB功能上寻找
      • 分享链接功能
      • 在线翻译
      • 图片加载与下载
      • 云服务厂商
    • 2.从URL关键字中寻找
  • 五、ssrf利用实操
    • 1.ssrf常利用的相关协议
      • a.内网访问
      • b.伪协议读取文件
        • 1)file://
        • 2)http://
        • 3)ftp://
        • 4)data://
        • 5)glob://
        • 6)phar://与 zlib://
        • 7)ssh2://
        • 8)rar://
        • 9)ogg://
        • 10)expect://
        • 11)php://
          • ①　php://参数介绍
          • ②　php://filter用法
          • ③　filter过滤器
        • 12)伪协议利用例子
        • 13)实操
      • c.端口扫描
      • d.外网访问
      • e.查看源码(有问题)
  • 六、SSRF验证方法
    • 1.看链接
    • 2.看bp host
  • 七、ssrf防御方式
    • 1.过滤返回信息
    • 2.统一错误信息
    • 3.限制请求的端口
    • 4.禁用不需要的协议
  • 八、ssrf绕过
    • 1.利用@符号
    • 2.添加端口号
    • 3.利用短地址
    • 4.利用特殊域名
    • 5.利用封闭式字母数字Enclosed Alphanumerics
    • 6.利用进制转换
    • 7.利用其它协议
    • 8.绕过实操
      • a.URL Bypass
      • b.IP Bypass
      • c.302跳转Bypass
      • d.BNS重绑定Bypass
  • 九、SSRF实操2
    • 1.pikachu靶场
      • a.ssrf(curl)
      • b.ssrf(file_get_content)
    • 2.DVWA靶场
  • 十、总结

一、SSRF定义

SSRF(Server-Side Request Forgery:服务器端请求伪造) 是指攻击者能够从易受攻击
的Web应用程序发送精心设计的请求的对其他网站进行攻击。
SSRF攻击的目标是从外网无法访问的内部系统。利用一个可以发起网络请求的服务，当做跳板来攻击其它服务。简单来说就是：A让B帮忙访问C

二、形成原因

SSRF 形成的原因大都是由于服务端提供了从其他服务器应用获取数据的功能且没有对
目标地址做过滤与限制。

1.提供请求功能

SSRF漏洞就是通过篡改获取资源的请求发送给服务器，但是服务器并没有检测这个请求是否合法的，然后服务器以他的身份来访问其他服务器的资源 。

2.地址没做限制

PHP中下面函数的使用不当会导致SSRF
file_get_ contents函数可以读取本地和远程的文件，支持多种协议，如ftp,http,https
还可以读取php源码
fsockopen()
curl_exec()可以访问前端提交的url网址
这些函数可以通过网络协议访问目标服务器上的资源

三、漏洞危害

1.可以对服务器所在内网、本地进行端口扫描，获取一些服务的信息等

2.目标网站本地敏感数据的读取

3.内外网主机应用程序漏洞的利用

4.内外网Web站点漏洞的利用

四、ssrf挖掘

1.从WEB功能上寻找

分享链接功能

获取超链接的标题等内容进行显示

在线翻译

给网址翻译对应网页的内容

图片加载与下载

例如富文本编辑器中的点击下载图片到本地；通过URL地址加载或下载远程图片

云服务厂商

它会远程执行一些命令来判断网站是否存活等，所以如果可以捕获相应的信息，就可以进行ssrf测试
总之：SSRF通过远程加载来实现攻击，一切要你输入网址的地方和可以输入ip的地方，都是ssrf的天下

2.从URL关键字中寻找

如:Share、wap、url、link、src、source、target、sourceURL、imageURL、domain
可以通过以上关键词搜索到ssrf漏洞

五、ssrf利用实操

1.ssrf常利用的相关协议

http://：探测内网主机存活、端口开放情况
gopher://：发送GET或POST请求；攻击内网应用
dict://：泄露安装软件版本信息，查看端口，操作内网远程访问等
file://：读取本地文件
//实操

a.内网访问

访问https://www.ctfhub.com/#/skilltree 选择Web-SSRF-内网访问
在这里插入图片描述

开启题目后点击出现的链接，并在链接后面拼接?url=http://127.0.0.1/flag.php即可获得并将其作为flag提交
在这里插入图片描述

b.伪协议读取文件

1)file://

用于访问本地文件系统。当指定了一个相对路径（不以/、、\或 Windows 盘符开头的路径）提供的路径将基于当前的工作目录。
在这里插入图片描述

2)http://

访问 HTTP(s) 网址，URL 形式，允许通过 HTTP 1.0 的GET方法，只读访问文件或资源，通常用于远程包含

3)ftp://

访问 FTP(s) URLs

4)data://

数据（RFC 2397），数据流封装器，以传递相应格式的数据。通常可以用来执行PHP代码。

5)glob://

查找匹配的文件路径模式

6)phar://与 zlib://

PHP压缩流 归档
用于读取压缩文件，zip:// 、 bzip2:// 、 zlib:// 均属于压缩流，可以访问压缩文件中的子文件，更重要的是不需要指定后缀名，可修改为任意后缀：jpg png gif xxx 等等。

7)ssh2://

Secure Shell 2

8)rar://

RAR

9)ogg://

音频流

10)expect://

处理交互式的流

11)php://

访问各个输入/输出流（I/O streams）
php:// 用于访问各个输入/输出流（I/O streams），经常使用的是php://filter和php://input，php://filter用于读取源码，php://input用于执行php代码。

①　php://参数介绍

参数 作用 php://input 可以访问请求的原始数据的只读流，在POST请求中访问POST的data部分，在enctype="multipart/form-data" 的时候php://input 是无效的。 php://output 只写的数据流，允许以 print 和 echo 一样的方式写入到输出缓冲区。 php://fd (>=5.3.6)允许直接访问指定的文件描述符。例如 php://fd/3 引用了文件描述符 3。 php://memory php://temp (>=5.1.0)一个类似文件包装器的数据流，允许读写临时数据。两者的唯一区别是 php://memory 总是把数据储存在内存中，而 php://temp 会在内存量达到预定义的限制后（默认是 2MB）存入临时文件中。临时文件位置的决定和 sys_get_temp_dir() 的方式一致。 php://filter (>=5.0.0)一种元封装器，设计用于数据流打开时的筛选过滤应用。对于一体式（all-in-one）的文件函数非常有用，类似 readfile()、file() 和 file_get_contents()，在数据流内容读取之前没有机会应用其他过滤器。

②　php://filter用法

参数 描述 resource=<要过滤的数据流> 必须项。它指定了你要筛选过滤的数据流。 read=<读链的过滤器> 该参数可选。可以设定一个或多个过滤器名称，以管道符(|)分隔 write=<写链的筛选列表> 该参数可选。可以设定一个或多个过滤器名称，以管道符(|)分隔 <; 两个链的过滤器> 任何没有以 read= 或 write= 作前缀的筛选器列表会视情况应用于读或写链。

③　filter过滤器

字符串过滤器
string.rot13
等同于str_rot13()，rot13变换
string.toupper
等同于strtoupper()，转大写字母
string.tolower
等同于strtolower()，转小写字母
string.strip_tags
等同于strip_tags()，去除html、PHP语言标签
转换过滤器
convert.base64-encode & convert.base64-decode
等同于base64_encode()和base64_decode()，base64编码解码
convert.quoted-printable-encode & convert.quoted-printable-decode
quoted-printable 字符串与 8-bit 字符串编码解码
压缩过滤器
zlib.deflate & zlib.inflate
在本地文件系统中创建 gzip 兼容文件的方法，但不产生命令行工具如 gzip的头和尾信息。只是压缩和解压数据流中的有效载荷部分。
bzip2.compress & bzip2.decompress
同上，在本地文件系统中创建 bz2 兼容文件的方法
加密过滤器
mcrypt.*
libmcrypt 对称加密算法
mdecrypt.*
libmcrypt 对称解密算法

12)伪协议利用例子

在这里插入图片描述

13)实操

访问https://www.ctfhub.com/#/skilltree 选择Web-SSRF-伪协议读取文件
在这里插入图片描述

在url后面拼接
url=file:///var/www/html/flag.php
在这里插入图片描述

然后bp抓包拦截
在这里插入图片描述

发送到重放,然后点send,可以看到flag了，复制提交即可

在这里插入图片描述

c.端口扫描

在SSRF中，dict协议与http协议可以用来探测内网主机存活与端口开放情况。
访问https://www.ctfhub.com/#/skilltree 选择Web-SSRF-端口扫描
在这里插入图片描述

端口范围是8000-9000我们用bp爆破下找到可用端口
在这里插入图片描述

设置端口为参数，并设置Numbers型payload,设置数值范围和步长
在这里插入图片描述

开始扫描
在这里插入图片描述

显然只有8225可用
在这里插入图片描述

复制提交即可

d.外网访问

在这里插入图片描述

e.查看源码(有问题)

使用php伪协议查看ssrf.php源码
http://127.0.0.1/pikachu/vul/ssrf/ssrf_curl.php?url=php://filter/read=convert.base64-encode/resource=ssrf_curl.php
但是发现什么也没出来(待查？)

六、SSRF验证方法

http://www.douban.com/***/service?image=http://www.baidu.com/img/bd_logo1.png

1.看链接

你可以直接右键图片，在新窗口打开图片，如果是浏览器上URL地址栏是
http://www.baidu.com/img/bd_logo1.png，说明不存在SSRF漏洞。
排除法二：

2.看bp host

你可以使用burpsuite等抓包工具来判断是否是SSRF，首先SSRF是由服务端发起的请求，因此在加载图片的时候，是由服务端发起的，所以在我们本地浏览器的请求中就不应该存在图片的请求，如果刷新当前页面，有如下请求，则可判断不是SSRF。（前提设置
burpsuite截断图片的请求，默认是放行的）
在这里插入图片描述

七、ssrf防御方式

1.过滤返回信息

验证远程服务器对请求的相应，是比较容易的方法。如果 Web 应用获取某种类型的文件，那么可以在把返回结果展示给用户之前先验证返回信息是否符合标准。

2.统一错误信息

避免用户根据错误信息来判断远程服务器端口状态。

3.限制请求的端口

比如 80、443、8080、8090黑名单内网 IP避免应用被用来获取内网数据，攻击内网。

4.禁用不需要的协议

仅仅允许HTTP和HTTPS请求。可以防止类似于file://、ftp://等引起的问题

八、ssrf绕过

1.利用@符号

例如：http://example.com@127.0.0.1
admin:pass@www.baidu.com
@之前的字符作为账号登录@之后的url，如上面用admin:pass作为www.baidu.com的登录账号

2.添加端口号

例如：http://127.0.0.1:8080

3.利用短地址

例如：http://dwz.cn/11SMa

4.利用特殊域名

例如：xip.io

5.利用封闭式字母数字Enclosed Alphanumerics

例：ⓔ ⓧⓐ ⓜⓟ ⓛⓔ . ⓒ ⓞⓜ >>> example.com

6.利用进制转换

例如：http://2130706433/ //127.0.0.1

7.利用其它协议

Dict:// dict://@:/d:
SFTP:// ssrf.php?url=sftp://example.com:11111/
TFTP:// ssrf.php?url=tftp://example.com:12346/TESTUDPPACKET
LDAP:// ssrf.php?url=ldap://localhost:11211/%0astats%0aquit

8.绕过实操

a.URL Bypass

访问https://www.ctfhub.com/#/skilltree 选择Web-SSRF-URL Bypass
在这里插入图片描述

需要访问http://notfound.ctfhub.com
使用@127.0.0.1绕过
在这里插入图片描述

此类需要某某开头 某某结束的题目均可使用@进行绕过

b.IP Bypass

访问https://www.ctfhub.com/#/skilltree 选择Web-SSRF-数字IP Bypass
在这里插入图片描述

进制绕过，IP地址转10进制
在这里插入图片描述

c.302跳转Bypass

访问https://www.ctfhub.com/#/skilltree 选择Web-SSRF-302跳转 Bypass
在这里插入图片描述

直接访问会出错
在这里插入图片描述

使用特殊域名绕过，如此处的localhost
在这里插入图片描述

d.BNS重绑定Bypass

访问https://www.ctfhub.com/#/skilltree 选择Web-SSRF-BNS重绑定 Bypass
在这里插入图片描述

浅谈DNS重绑定漏洞https://zhuanlan.zhihu.com/p/89426041
https://lock.cmpxchg8b.com/rebinder.html
使用上面这个网址获取域名转换，比如这里转换127.0.0.1，得到
7f000001.c0a80001.rbndr.us
在这里插入图片描述

九、SSRF实操2

1.pikachu靶场

a.ssrf(curl)

http://127.0.0.1/pikachu/vul/ssrf/ssrf_curl.php?page=ssrf.php#
在这里插入图片描述

点击链接后
在这里插入图片描述

可以将url后面的链接改成其他链接
在这里插入图片描述

可以看出?url=是用于访问前端提交的url页面的

b.ssrf(file_get_content)

http://127.0.0.1/pikachu/vul/ssrf/ssrf_fgc.php
在这里插入图片描述

点击链接
在这里插入图片描述

可以看出?file=是用于读取本地或远程的文件

2.DVWA靶场

ssrf没找到哦，在哪

十、总结

1.在任何可以导入链接的地方都可以试试是否存在ssrf漏洞；
2.如果存在ssrf漏洞，那么看一看可不可以利用file协议，可以利用file协议读取文件；
3.如果只能依靠返回信息，那么可以利用脚本来扫描内网的存活主机和端口扫描，做一个内
网的信息收集。如果扫描到一些能利用的端口漏洞，就可以利用服务器做跳板对其进行利
用，比如redis服务。

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.coloradmin.cn/o/666607.html

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈，一经查实，立即删除！

相关文章

SpringBoot相关知识

SpringBoot相关知识

SpringBoot知识 1 SpringBoot 介绍及其使用原因 Spring Boot是一个用于创建独立的、基于Java的生产级别的应用程序的框架。它旨在简化Spring应用程序的开发过程&#xff0c;减少开发人员的配置工作&#xff0c;从而提高开发效率。 原因: (1) 简化开发&#xff1a;Spring Boot…
阅读更多...
Hadoop（HA）

Hadoop（HA）

文章目录 1、HA 概述2、HDFS-HA 集群搭建3、HDFS-HA 核心问题4、HDFS-HA 手动模式4.1 环境准备4.2 规划集群4.3 配置 HDFS-HA 集群4.4 启动 HDFS-HA 集群 5、HDFS-HA 自动模式5.1 HDFS-HA 自动故障转移工作机制5.2 HDFS-HA 自动故障转移的集群规划5.3 配置 HDFS-HA 自动故障转移…
阅读更多...
java企业工程项目管理系统平台源码

java企业工程项目管理系统平台源码

工程项目管理软件&#xff08;工程项目管理系统&#xff09;对建设工程项目管理组织建设、项目策划决策、规划设计、施工建设到竣工交付、总结评估、运维运营&#xff0c;全过程、全方位的对项目进行综合管理 工程项目各模块及其功能点清单 一、系统管理 1、数据字典&#…
阅读更多...
基于pyqt5、mysql、yolov7、chatgpt的小麦病害检测系统的设计与实现（基础版）

基于pyqt5、mysql、yolov7、chatgpt的小麦病害检测系统的设计与实现（基础版）

基于pyqt5、mysql、yolov7、chatgpt的小麦病害检测系统设计与实现 一、界面设计1.1安装pyqt51.2创建用户子窗体1.3创建管理员主窗体1.4创建管理员子窗体1.5创建系统登陆界面 二、环境搭建2.1pyqt5工具配置2.2mysql5.7安装 三、编程实现3.1初始化数据库3.2创建用户数据库sdk文件…
阅读更多...
从零构建后端项目-配置Shiro+JWT

从零构建后端项目-配置Shiro+JWT

目录 Shiro和JWT技术 一、Shiro简介 什么是认证&#xff1f; 什么是授权&#xff1f; Shiro靠什么做认证与授权的&#xff1f; 二、JWT简介 JWT可以用在单点登录的系统中 JWT兼容更多的客户端 创建JwtUtil工具类 一、导入依赖库 二、定义密钥和过期时间 三、创…
阅读更多...
强大的Kotlin也能搞定，测试利器MockK你不能不知道

强大的Kotlin也能搞定，测试利器MockK你不能不知道

目录 前言&#xff1a; 为什么需要MockK 关键字 Mock Kotlin的类时报错 静态方法如何Mock Jmockit MockK使用示例 普通使用 mockkObject mockkStatic mock private method Context Mock 遇到的一些小坑 最后 前言&#xff1a; MockK是一个强大且易于使用的Kotli…
阅读更多...
爆肝整理，手机App接口测试大全指南，看这篇就够了...

爆肝整理，手机App接口测试大全指南，看这篇就够了...

目录&#xff1a;导读 前言一、Python编程入门到精通二、接口自动化项目实战三、Web自动化项目实战四、App自动化项目实战五、一线大厂简历六、测试开发DevOps体系七、常用自动化测试工具八、JMeter性能测试九、总结&#xff08;尾部小惊喜&#xff09; 前言 App和Web请求服务…
阅读更多...
用prim和kruskal算法求最小生成树问题

用prim和kruskal算法求最小生成树问题

最短网络 题目http://ybt.ssoier.cn:8088/problem_show.php?pid1350 #include<bits/stdc.h> using namespace std; const int N110; int w[N][N]; bool st[N]; int dist[N]; int n,res0; void prim() {memset(dist,0x3f,sizeof dist);dist[1]0;//初始化第一个点到自己…
阅读更多...
优化回声消除过程：舒适噪声生成算法的应用与原理

优化回声消除过程：舒适噪声生成算法的应用与原理

在回声消除中&#xff0c;舒适噪声生成(Comfort Noise Generator&#xff0c;CNG)算法是一种常用的技术&#xff0c;它被用来减轻回声消除过程中产生的不适感和声音失真。舒适噪声生成算法通过添加特定的噪声信号来模拟人耳的听觉特性&#xff0c;以改善声音的自然度和舒适度。…
阅读更多...
Cpp面试题:main函数执行以前，还会执行什么代码？

Cpp面试题:main函数执行以前，还会执行什么代码？

Cpp面试题:main函数执行以前&#xff0c;还会执行什么代码&#xff1f; 在 main() 函数执行之前和之后&#xff0c;C 程序可能会执行以下代码&#xff1a; 静态对象的构造函数&#xff1a;如果程序中有静态对象&#xff08;全局变量或静态成员变量&#xff09;&#xff0c;它们…
阅读更多...
深入了解 vcruntime140 文件，从多方面解析vcruntime140

深入了解 vcruntime140 文件，从多方面解析vcruntime140

vcruntime140 是一个重要的文件&#xff0c;它在 Windows 系统中扮演着重要的角色。如果不小心缺失了&#xff0c;那么你的电脑就会出现问题&#xff0c;今天我们就来探讨一下vcruntime140这个文件&#xff0c;分别从背景和预防丢失&#xff0c;到如何修复丢失vcruntime140来给…
阅读更多...
Elasticsearch(十)搜索---搜索匹配功能①--查询所有文档和term级别查询

Elasticsearch(十)搜索---搜索匹配功能①--查询所有文档和term级别查询

一、前言 之前的学习我们已经了解了搜索的辅助功能&#xff0c;从这一章开始就是ES真正核心的功能&#xff0c;搜索。针对不同的数据类型&#xff0c;ES提供了很多搜索匹配功能&#xff1a;既有进行完全匹配的term搜索&#xff0c;也有按照范围匹配的range搜索&#xff1b;既有…
阅读更多...
一文让你学会接口自动化测试框架！

一文让你学会接口自动化测试框架！

目录 前言&#xff1a; 自动化测试 接口自动化测试的价值 接口自动化测试如何开展 接口自动化测试框架 前言&#xff1a; 接口自动化测试是指利用程序自动化地执行API接口测试&#xff0c;可以提高测试效率和准确性。 自动化测试 自动化测试&#xff0c;这几年行业内的…
阅读更多...
一个悄然崛起的AI开源项目！

一个悄然崛起的AI开源项目！

众所周知&#xff0c;最近这半年AI相关的话题实在是火到出圈。尤其是生成式AI的流行&#xff0c;让我们普通人也可以近距离地接触和应用AI。这其中最典型的就是ChatGPT。 那除了ChatGPT&#xff0c;还有一个非常实用的领域&#xff0c;也是我们今天要讨论的话题&#xff0c;那…
阅读更多...
​低代码让传统软件开发土掉渣了

​低代码让传统软件开发土掉渣了

正所谓“让机器去做无聊的事情&#xff0c;让人类去创造美好的事物”。 在当今数码化时代&#xff0c;企业如何更快捷、高效的开发应用是众所周知的难题。传统开发方式需要多名开发人员耗费大量时间精力开发&#xff0c;期间还需要经历漫长的测试和上线过程。 要在这个竞争激烈…
阅读更多...
AI绘图软件分享：Midjourney 基础教程（二）

AI绘图软件分享：Midjourney 基础教程（二）

大家好&#xff0c;我是权知星球&#xff0c;今天继续给大家介绍AI绘图软件分享&#xff1a;Midjourney 基础教程&#xff08;二&#xff09; ⼀、Midjourney 服务器介绍 1.Discord 软件介绍 Midjourney AI 绘画服务基于 Discord 软件的&#xff0c;它的绘画功能&#xff0c;…
阅读更多...
【AUTOSAR】UDS协议的代码分析与解读（十一）----UDS例程控制31h请求下载 34h

【AUTOSAR】UDS协议的代码分析与解读（十一）----UDS例程控制31h请求下载 34h

8.15 例程控制 RoutineControl (31h) 此服务用于启动程序 、停止程序和请求程 序执行结果。例程由 两字节的例程标识符 (RoutineIdentifier)来确定。 8.15.1 报文格式 表 71 例程控制服务的请求报文 Byte Name Cvt Value (Hex) #1 RequestServiceIdentifier M 31 #2 …
阅读更多...
部署运行jar包方法全解docker镜像打包部署等

部署运行jar包方法全解docker镜像打包部署等

基本方法 java -jar 对应的jar包名字 永久后台方法 有一种叫做“nohup”的命令&#xff0c;该命令可以让您的应用程序在后台运行&#xff0c;即使您已经断开了与终端的连接也能保持运行状态。 nohup 命令的语法为&#xff1a; nohup command arg1 arg2 ... argN &其中…
阅读更多...
金三银四互联网大厂秋招精选 1160 道 Java 面试题答案整理（2023 最新版）

金三银四互联网大厂秋招精选 1160 道 Java 面试题答案整理（2023 最新版）

今年的大环境而言&#xff0c;面试成功的难度比往年高了很多&#xff0c;很明显的感受就是&#xff1a;对于今年的 java 开发朋友面试&#xff0c;无论一面还是二面&#xff0c;都开始考验一个 Java 程序员的技术功底和基础。Java 基础掌握不牢&#xff0c;对于一个开发人员来说…
阅读更多...
北斗高精度定位赋能智慧港口，千寻位置解决方案落地应用

北斗高精度定位赋能智慧港口，千寻位置解决方案落地应用

港口是交通运输的重要节点&#xff0c;也是国家经济发展的重要支撑&#xff0c;其作业效率直接影响着运营效益。随着全球数字化技术的不断革新&#xff0c;我国港口逐渐从传统模式向智能化、数字化的“智慧模式”转变。在这一转型过程中&#xff0c;高精度技术应用的作用愈发重…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023