SSRF---窥探内网，必不可少

作者: 六亲不认的步伐 | 来源:发表于2020-04-07 17:40 被阅读0次

SSRF---窥探内网，必不可少
macOS终端命令行配置网络代理
程序猿常用网站大全(一)
修改IP使笔记本电脑连上校内网
Sunny-Ngrok实现自定义域名内网穿透
内网端口穿透
如何倾听客户的话
重要的事情要说三遍一定要看！！！
iptables简单配置DMZ
NATAPP内网穿透工具的使用教程

首先，可能看到本文的标题，会具有一定的疑惑，对SSRF一点都不了解的小伙伴，可能根据标题还以为是查看内网的一个什么好工具。先澄清一下，SSRF并不是工具，而是web安全的一种漏洞。

1. 小插曲---漏洞与攻击

漏洞是指一个系统存在的弱点或缺陷。
攻击是指某人非法使用或破坏某一信息系统中的资源，以及非授权使系统丧失部分或全部服务功能的行为。
自己在刚刚接触SSRF时，不知道SSRF是属于攻击手段还是安全漏洞，而且自己查看很多的文章标题也是分不清。
例如有叫称呼为SSRF漏洞：
简述CSRF、SSRF的区别
例如有叫称呼为SSRF攻击：
SSRF攻击原理与技巧
对此问题我还请教了自己的好朋友

传说中的朋友的回答
为了验证朋友的答案，我专门去找了百度百科,然而万能的百度百科也没能帮上忙，我很诧异，百度百科无所不知，无所不能，高数答案应有尽有。。。。

百度百科SSRF结果

对此我在国外进行检索，果然找到了答案,原文描述如下

SSRF, Server-Side Request Forgery, server request forgery, is a vulnerability that is constructed by an attacker to form a request initiated by the server. In general, the target of an SSRF attack is an internal system that is inaccessible from the external network.

原文中明显提到了关键词 vulnerability
有人肯定会说为什么要较真漏洞还是攻击，只要学会其原理，会挖洞，会利用，会防御，岂不是就行了？我想说的是，从应用层面来说是这样没有任何问题，但是从学术角度讲，这很容易产生概念错误，比个例子，弱口令是漏洞，暴力破解是攻击手段，两者之间的关系就是，攻击方式的选择是根据系统存在什么样的漏洞而决定。再说个不恰当的例子，如果系统存在弱口令(不存在注入漏洞)，攻击手段会采用SQL注入吗？

2. SSRF简介

SSRF, Server-Side Request Forgery 服务站点请求伪造

SSRF核心思想：一般web服务器会布上web业务对外网进行开放，能够让外部的用户，通过这个web业务来进行办理相关的事务。此时的web服务器可以说是暴露在公网的内网服务器，这就是给外部提供访问内部的关键节点。由于web服务器本身布置在所属的内网环境中，所以同一内网的服务器或其他网络节点一般默认信任该web服务器一般外部用户是无法访问除该web服务器外同一内网环境的其他服务器，但是如果利用该web服务器进行访问，确是可以进行访问，探测等功能。

SSRF流程示意图
外部用户虽无法直接进行内网服务器访问，但是可通过web服务器为跳板，进行间接访问。就比如你没办法去你对象宿舍里，但是你可以挖到你对象同寝室的舍友，可以通过这个舍友(web服务器)来获取你对象宿舍的东西(真实基于你对象对该舍友的信任或者说是这个舍友拥有拿你对象物品的相关权限)

3. 漏洞危害(可以使用的攻击手段)

利用SSRF漏洞可以对对外网开发的服务器所在内网进行端口扫描，获取一些服务信息。
利用SSRF漏洞攻击内网web应用（通过get传参就可以实现的攻击，如：struct2,Sqli等）。
利用SSRF漏洞配合使用file协议对本地文件进行读取。
利用SSRF漏洞攻击fastcgi 反弹shell。
利用SSRF漏洞进行未授权访问(redis、mysql等）
利用SSRF漏洞攻击运行在内网或本地的应用程序（比如溢出）

4. CVE漏洞公布情况

Apache Olingo SSRF : CVE-2020-1925
CloudBees Jenkins SSRF : CVE-2019-1003047

5. 代码审计

PHP

<?php
curl();
file_get_contents();
fsockopen();
//等函数
?>

Java

HttpURLconnection();
HttpClient.execute();
HttpClient.executeMethod();
HttpURLConnection.connect();
HttpURLConnection.getInputStream();
URL.openStream();
HttpServletRequest();
getParameter();
URL;
HttpClient();
Request();
URLConnection();
okhttp();
BasicHttpEntityEnclosingRequest();
DefaultBHttpClientConnection();
BasicHttpRequest();
URI