山东省住房城乡建设厅查询网站,沈阳信息工程学校中专,网站开发过程文档,宁波网站建设果核一、SSRF漏洞原理漏洞概述SSRF#xff08;Server-side Request Forge#xff0c;服务端请求伪造#xff09;是一种由攻击者构造形成由服务端发起请求的安全漏洞。一般情况下#xff0c;SSRF攻击的目标是从外网无法访问的内部系统。正是因为它是由服务端发起的#xff0c;所…一、SSRF漏洞原理漏洞概述SSRFServer-side Request Forge服务端请求伪造是一种由攻击者构造形成由服务端发起请求的安全漏洞。一般情况下SSRF攻击的目标是从外网无法访问的内部系统。正是因为它是由服务端发起的所以它能够请求到与它相连而与外网隔离的内部系统。存在漏洞的位置1.分享通过URL地址分享网页内容2.转码服务3.在线翻译4.图片加载与下载通过URL地址加载或下载图片5.图片、文章收藏功能6.未公开的api实现以及其他调用URL的功能7.从URL关键字中寻找相关危险函数SSRF涉及到的危险函数主要是网络访问支持伪协议的网络读取的函数以PHP为例涉及到的函数有1.file_get_contents()—file_get_contents是把文件写入字符串当把url是内网文件的时候会先去把这个文件的内容读出来再写入导致了文件读取2.fsockopen()——fsockopen是打开一个网络连接或者Unix套接字连接3.curl_exec()——利用方式很多最常见的是通过file、dict、gopher这三个协议来进行渗透4.curl()5.fopen()——打开一个文件文件或者 URL。6.readfile()——输出一个文件的内容。与file_get_contents相似 举例以百度识图为例用户可以从本地或者URL的方式获取图片资源交给百度识图处理。如果提交的是URL地址该应用就会通过URL寻找图片资源。Web应用开放了类似于百度识图这样的功能并且对用户提供的URL和远端服务器返回的信息没有进行合适的验证或者过滤就可能存在“请求伪造”的缺陷二、SSRF漏洞危害端口扫描内网Web应用指纹识别攻击内网Web应用三、SSRF漏洞防御与修复禁止302跳转或者每跳转一次都进行校验目的地址是否为内网地址或合法地址。过滤返回信息验证远程服务器对请求的返回结果是否合法。禁用高危协议例如gopher、dict、ftp、file等只允许http/https设置URL白名单或者限制内网IP限制请求的端口为http的常用端口只允许访问HTTP和HTTPS的请求或者根据业务需要治开放远程调用服务的端口catch错误信息做统一错误信息避免黑客通过错误信息判断端口对应的服务
