1. About SSRF

SSRF, Server-Side Request Forgery, 服务器端请求伪造

和CSRF做好区分。

漏洞原因：服务端提供了从其他服务器应用获取数据的功能,但又没有对目标地址做严格过滤与限制导致攻击者可以传入任意的地址来让后端服务器对其发起请求,并返回对该目标地址请求的数据。

PHP中下面函数的使用不当会导致SSRF:

file_get_contents();
fsockopen();
curl_exec();

2. 靶场练习

pikachu

ssrf(curl)

题目放出一个链接：

<a href="ssrf_curl.php?url=http://10.10.10.133/pk/vul/ssrf/ssrf_info/info1.php">累了吧,来读一首诗吧</a>

点击后，url变成了http://10.10.10.133//pk/vul/ssrf/ssrf_curl.php?url=http://10.10.10.133/pk/vul/ssrf/ssrf_info/info1.php

在服务段c盘放个php.ini配置文件，也能访问, 导致信息泄露。

http://10.10.10.133/pk/vul/ssrf/ssrf_curl.php?url=file://c:/php.ini

看下源码：

//payload:
//file:///etc/passwd  读取文件
//http://192.168.1.15:22 根据banner返回,错误提示,时间延迟扫描端口

if(isset($_GET['url']) && $_GET['url'] != null){

    //接收前端URL没问题,但是要做好过滤,如果不做过滤,就会导致SSRF
    $URL = $_GET['url'];
    $CH = curl_init($URL);
    curl_setopt($CH, CURLOPT_HEADER, FALSE);
    curl_setopt($CH, CURLOPT_SSL_VERIFYPEER, FALSE);
    $RES = curl_exec($CH);
    curl_close($CH) ;
//ssrf的问是:前端传进来的url被后台使用curl_exec()进行了请求,然后将请求的结果又返回给了前端。
//除了http/https外,curl还支持一些其他的协议curl --version 可以查看其支持的协议,telnet
//curl支持很多协议，有FTP, FTPS, HTTP, HTTPS, GOPHER, TELNET, DICT, FILE以及LDAP
    echo $RES;

}

ssrf(file_get_content)

c://info.ini也能访问。

直接看下源码：

//读取PHP文件的源码:php://filter/read=convert.base64-encode/resource=ssrf.php
//内网请求:http://x.x.x.x/xx.index
if(isset($_GET['file']) && $_GET['file'] !=null){
    $filename = $_GET['file'];
    $str = file_get_contents($filename);
    echo $str;
}