ข้ามการป้องกัน SSRF

สวัสดี,

เป็นเวลานานแล้วที่ฉันโพสต์ครั้งล่าสุด ฉันต้องการแบ่งปันการบายพาส SSRF ที่ฉันพบขณะค้นหาโปรแกรมส่วนตัว

SSRF หมายถึงการปลอมแปลงคำขอฝั่งเซิร์ฟเวอร์ การปลอมแปลงคำขอฝั่งเซิร์ฟเวอร์ทำให้ผู้โจมตีละเมิดคำขอ HTTP เพื่อขอข้อมูลเกี่ยวกับเซิร์ฟเวอร์ภายในหรือเครือข่ายภายใน

สิ่งที่ต้องระวัง? พารามิเตอร์เช่น url= next= host= image= img= เป็นต้น สิ่งใดก็ตามที่ดูเหมือนจะส่งคำขอเว็บไปยังเซิร์ฟเวอร์ สิ่งนี้สามารถใช้ในทางที่ผิดเพื่อชี้คำขอเป็นการภายใน

ฉันพบจุดสิ้นสุดที่มีช่องโหว่ได้อย่างไร

ในขณะที่กำลังตามล่าหาโปรแกรมส่วนตัว ฉันได้ทำการตรวจตราอย่างละเอียด ฉันได้รวบรวมรายชื่อโดเมนย่อยจำนวนมาก โดยส่วนใหญ่ดึงมาจากการสำรวจสำมะโนประชากร หลังจากนี้ฉันได้บังคับเดรัจฉานและค้นหา URL ในทุกโฮสต์ในเครื่องย้อนกลับ ในตอนนั้น ssrf เป็นจุดสนใจของฉัน ดังนั้นฉันจึงรวบรวมไดเร็กทอรีและเอาต์พุตปลายทาง และ grep สำหรับ “proxy.php” โชคดีที่ฉันโดน

เมื่อศึกษาคำขอ นี่เป็นการสร้างคำขอ HTTP ขาออกไปยัง URL ที่ระบุ หากฉันป้อนลิงก์ผู้ทำงานร่วมกันเรอ ฉันไม่ได้รับการค้นหา ฉันลองใช้พื้นฐานตามปกติ โดยป้อน 127.0.0.1 และเครื่องหมาย IP ของโฮสต์ภายใน แต่ละคำขอจะถูกบล็อกเว้นแต่ว่าคำขอนั้นจะมีชื่อโฮสต์ของเว็บไซต์อยู่ในนั้น

นี่คือสิ่งที่ได้รับทางเทคนิค เมื่อส่งคำขอดังกล่าวกับผู้ทำงานร่วมกันของฉัน burp ควบคู่ไปกับการจัดรูปแบบข้อมูลประจำตัวของเบราว์เซอร์ เช่น url=https:// hostnameofwebsite.com@myburpcollablink ฉันได้รับการตอบกลับ

ฉันพยายามใช้ประโยชน์จากสิ่งนี้โดยเปลี่ยนมัน เพราะตอนนี้ด้านบนกำลังใช้เบราว์เซอร์เพื่อส่งชื่อโฮสต์ของเว็บไซต์เป็นข้อมูลรับรองไปยัง myburpcollablink ซึ่งไม่ดี

เมื่อเร็ว ๆ นี้ฉันเพิ่งเห็นวิดีโอ ssrf บน google เมื่อมีการอธิบายว่าหากคุณใช้ \ สิ่งนี้จะหยุดแยกวิเคราะห์ในแบ็กเอนด์หลังจากโฮสต์แรก ส่วนหน้าจะตีความคำขอเป็นชื่อโฮสต์ของเว็บไซต์เป็นข้อมูลประจำตัวของ myburpcollablink แต่ส่วนหลังจะประมวลผลเฉพาะคำขอส่วนหน้า ดังนั้นชื่อโฮสต์ของเว็บไซต์ ที่นี่ฉันเปลี่ยนและใช้ url=http://169.254.1698.254\@hostnameofwebsite

ให้อธิบาย 169.254 เป็นที่อยู่ IP ภายในของข้อมูลเมตา AWS คำขอส่วนหน้าเห็นสิ่งนี้เป็น 169.254 เป็นข้อมูลประจำตัวของชื่อโฮสต์ของเว็บไซต์ ซึ่งผ่านการตรวจสอบส่วนหน้าเนื่องจากชื่อโฮสต์ของเว็บไซต์ต้องอยู่ในคำขอ แบ็กเอนด์ละเว้นรูปแบบและกระบวนการนี้เป็นhttp://169.254.169.254\ซึ่งจะตัดออกและส่งผ่านคำขอเท่านั้น

ปิดตามที่แก้ไข