SSRF

• 漏洞原理
• 漏洞成因
• 攻击方式
• 危害：
• SSRF的限制：
• SSRF漏洞绕过方法：
• • • 利用HTTP基本身份认证的方式绕过
  • 利用302跳转绕过内网IP
  • 进制的转换绕过内网IP
  • • 其他各种指向127.0.0.1的地址
  • 漏洞危害

漏洞原理

SSRF（Server-Side Request Forgery:服务器端请求伪造）是一种由攻击者构造形成并由服务端发起恶意请求的一个安全漏洞。正是因为恶意请求由服务端发起，而服务端能够请求到与自身相连而与外网隔绝的内部网络系统，所以一般情况下，SSRF的攻击目标是攻击者无法直接访问的内网系统。

漏洞成因

SSRF漏洞的形成大多是由于服务端提供了从其他服务器应用获取数据的功能而没有对目标地址做过滤和限制。 例如，黑客操作服务端从指定URL地址获取网页文本内容，加载指定地址的图片，下载等，利用的就是服务端请求伪造，SSRF漏洞可以利用存在缺陷的WEB应用作为代理攻击远程和本地的服务器

攻击方式

攻击者想要访问主机B上的服务，但是由于存在防火墙或者主机B是属于内网主机等原因导致攻击者无法直接访问主机B。而服务器A存在SSRF漏洞，这时攻击者可以借助服务器A来发起SSRF攻击，通过服务器A向主机B发起请求，从而获取主机B的一些信息。

危害：

1、对外网、服务器所在内网、服务器本地进行端口扫描，获取一些服务的banner信息等。

2、攻击运行在内网或服务器本地的其他应用程序，如redis、mysql等。

3、对内网Web应用进行指纹识别，识别企业内部的资产信息。

4、击内外网的Web应用，主要是使用HTTP GET/POST请求就可以实现的攻击，（比如Struts2漏洞利用，SQL注入等）
5、利用file协议读取服务器本地文件等。

SSRF的限制：

限制请求的端口只能为Web端口，只允许访问HTTP和HTTPS的请求。

限制域名只能为http://www.xxx.com

限制不能访问内网的IP，以防止对内网进行攻击。

屏蔽返回的详细信息。

禁止不常用的协议，仅仅允许http和https请求。可以防止类似于file:///,gopher://,ftp://等引起的问题。

SSRF漏洞绕过方法：

1.@　　　　　　　　　　http://abc.com@127.0.0.1

2.添加端口号　　　　　　http://127.0.0.1:8080

3.短地址　　　　　　　　https://0x9.me/cuGfD

4.可以指向任意ip的域名　 xip.io

5.ip地址转换成进制来访问 192.168.0.1=32322

扩展起来 讲一下

利用HTTP基本身份认证的方式绕过

如果目标代码限制访问的域名只能为 http://www.xxx.com，那么我们可以采用HTTP基本身份认证的方式绕过。即

@:[http://www.xxx.com@www.evil.com](http://www.evil.com/)

利用302跳转绕过内网IP

绕过对内网ip的限制我们可以利用302跳转的方法，有以下两种。

（1）网络上存在一个很神奇的服务，网址为 http://xip.io，当访问这个服务的任意子域名的时候，都会重定向到这个子域名

举个例子：

当我们访问：http://127.0.0.1.xip.io/flag.php时，实际访问的是http://127.0.0.1/1.php。

像这种网址还有http://nip.io，http://sslip.io

（2）短地址跳转绕过，

进制的转换绕过内网IP

可以使用一些不同的进制替代ip地址，从而绕过WAF

这里贴一个php脚本可以一键转换

<?php
$ip = '127.0.0.1';
$ip = explode('.',$ip);
$r = ($ip[0] << 24) | ($ip[1] << 16) | ($ip[2] << 8) | $ip[3] ;
if($r < 0) {
$r += 4294967296;
}
echo "十进制:";     
echo $r;
echo "八进制:";    
echo decoct($r);
echo "十六进制:";  
echo dechex($r);
?>

其他各种指向127.0.0.1的地址

http://localhost/       # localhost就是代指127.0.0.1
http://0/               # 0在window下代表0.0.0.0，而在liunx下代表127.0.0.1
http://[0:0:0:0:0:ffff:127.0.0.1]/    # 在liunx下可用，window测试了下不行
http://[::]:80/           # 在liunx下可用，window测试了下不行
http://127。0。0。1/       # 用中文句号绕过
http://①②⑦.⓪.⓪.①
http://127.1/
http://127.00000.00000.001/ # 0的数量多一点少一点都没影响，最后还是会指向127.0.0.1

漏洞危害

攻击者无需认证访问到内部数据，可能导致敏感信息泄露，黑客也可以恶意执行flushall来清空所有数据；

攻击者可通过EVAL执行lua代码，或通过数据备份功能往磁盘写入后门文件；

最严重的情况，如果Redis以root身份运行，黑客可以给root账户写入SSH公钥文件，直接通过SSH登录受害服务器。