SSRF-Vulnerable-Lab靶场训练
参考文章
- SSRF-Vulnerable-Lab
- tag： #SSRF
- Ref：
1、file_get_content.php
提取并显示指定文件内容的应用程序代码
在编程语言中，有一些函数可以获取本地保存文件的内容。这些功能可能能够从远程URL以及本地文件（例如PHP中的file_get_contents）中获取内容。
如果没有对输入内容进行处理，或者处理的不够严格，将有可能导致SSRF漏洞攻击。
输入：file_get_content.php
显示：
---
直接暴露源码
输入：file:///C:/Windows/System32/drivers/etc/hosts
暴露出hosts文件内容
输入：http://127.0.0.1:80
可以探测端口
查看源码（部分）：
if(isset($_POST['read']))
{
$file=trim($_POST['file']);
echo htmlentities(file_get_contents($file));
}
发现对输入没有任何过滤。
2、sql_connect.php
应用程序提供接口以连接到远程主机
Web应用程序具有允许用户使用任何端口指定任何IP的接口。在这里，该应用程序具有尝试连接到“ MySQL”，“ LDAP”等服务的功能。
应用程序希望用户在输入字段中指定远程服务器的主机名/ IP，用户名和密码。然后，应用程序尝试通过指定的端口连接到远程服务器。在这种情况下，应用程序尝试与侦听特定端口的远程服务进行通信。当易受攻击的代码具有连接到MySQL之类的服务器的功能并且用户指定了SMB端口时，易受攻击的应用程序将尝试使用MySQL服务器服务数据包与SMB服务进行通信。即使端口是开放的，由于通信方式的差异，我们仍无法与服务进行通信。
按照默认值访问如图：
修改Host IP为：127.0.0.1:80 （80端口开启了）
明显不一样，用burpsuite爆破IP和端口，
查看源码（部分）：
<?php
set_time_limit(0);
error_reporting(0);
if(isset($_POST['sbmt']))
{
$host=trim($_POST['host']);
$uname=trim($_POST['uname']);
$pass=trim($_POST['pass']);
$r=mysqli_connect($host,$uname,$pass);
if (mysqli_connect_errno())
{
echo mysqli_connect_error();
}
}
echo "<br>";
?>
可知，主要是通过mysqli_connect()连接，错误信息是mysqli_connect_errno()，
3、download.php
与file_get_content.php类似，
输入：download.php，就会下载download.php文件
同样的，输入：file:///C:/Windows/System32/drivers/etc/hosts
查看源码（部分）：
function file_download($download)
{
if(file_exists($download))
{
header("Content-Description: File Transfer");
header('Content-Transfer-Encoding: binary');
header('Expires: 0');
header('Cache-Control: must-revalidate, post-check=0, pre-check=0');
header('Pragma: public');
header('Accept-Ranges: bytes');
header('Content-Disposition: attachment; filename="'.basename($download).'"');
header('Content-Length: ' . filesize($download));
header('Content-Type: application/octet-stream');
ob_clean();
flush();
readfile ($download);
}
else
{
echo "<script>alert('file not found');</script>";
}
}
if(isset($_POST['download']))
{
$file=trim($_POST['file']);
file_download($file);
}
其中没有过滤，通过readfile()函数读取文件。
4、dns-spoofing.php
输入：dns-spoofing.php
直接爆出源码：
查看源码（部分）：
if(isset($_POST['read']))
{
$file=strtolower($_POST['file']);
if(strstr($file, 'localhost') == false && preg_match('/(^https*:\/\/[^:\/]+)/', $file)==true)
{
$host=parse_url($file,PHP_URL_HOST);
if(filter_var($host, FILTER_VALIDATE_IP))
{
if(filter_var($host, FILTER_VALIDATE_IP, FILTER_FLAG_IPV4 | FILTER_FLAG_NO_PRIV_RANGE | FILTER_FLAG_NO_RES_RANGE)== false)
{
echo '
<table width="50%" cellspacing="0" cellpadding="0" class="tb1" style="opacity: 0.6;">
<tr><td align=center style="padding: 10px;" >
The provided IP is from Private range and hence not allowed
</td></tr></table>
<table width="50%" cellspacing="0" cellpadding="0" class="tb1" style="margin:10px 2px 10px;opacity: 0.6;" >';
}
else
{
echo '<textarea rows=20 cols=60>'.file_get_contents($file)."</textarea>";
}
}
else
{
echo '<textarea rows=20 cols=60>'.file_get_contents($file)."</textarea>";
}
}
elseif(strstr(strtolower($file), 'localhost') == true && preg_match('/(^https*:\/\/[^:\/]+)/', $file)==true)
{
echo '
<table width="30%" cellspacing="0" cellpadding="0" class="tb1" style="opacity: 0.6;">
<tr><td align=center style="padding: 10px;" >
Tyring to access Localhost o_0 ?
</td></tr></table>
<table width="50%" cellspacing="0" cellpadding="0" class="tb1" style="margin:10px 2px 10px;opacity: 0.6;" >';
}
else
{
echo '<textarea rows=20 cols=60>'.file_get_contents($file)."</textarea>";
}
}
简单的说就是，该脚本具有允许用户从远程URL获取数据的功能。用户需要指定远程URL与任何IP或域名这个脚本检查用户是否指定了“localhost”、“Internal IPs”或“Reserved IPs”的输入。如果用户指定的域/IP被列入黑名单，脚本将不会获取内容并停止处理。注意的是，该代码并没有将域/IP列入黑名单中
所以，没有可以类似题一的方法，输入：file:///C:/Windows/System32/drivers/etc/hosts
但这是不正规的，依作者的题意，应当基于DNS的欺骗绕过IP黑名单。目前并没有掌握该技巧，暂且放下。
5、dns_rebinding.php
应用程序不仅实现了内部和私有范围的IP黑名单，而且还将用户提供的域名解析为其IP，并再次执行检查是否已解析为黑名单。
在这种情况下，基于DNS的欺骗手段也不会访问内部/保留IP上托管的内容。应用程序代码对其IP执行域解析，并再次对解析的IP执行黑色列出的IP检查。
与题4类似，暂且放下
