1. SSRF漏洞
1.1 SSRF概述及成因
SSRF被称为服务端请求伪造，攻击者利⽤SSRF漏洞通过伪造服务器发起请求，由于请求是由内部发起的，所以ssrf漏洞攻击的⽬标主机是从外⽹⽆法直接访问的内部系统。
SSRF漏洞形成的原因多是服务端提供了从外部服务获取数据的功能，但没有对⽬标地址、协议等主要参数进⾏过滤和限制，从⽽导致攻击者可以⾃由构造参数，发起恶意请求。
1.2 攻击流程
1.攻击者与服务器构建请求。
2.服务器向客户端发送构建的请求。
3.客户端响应服务器发送的请求。
4.服务器向攻击者返回客户端的请求。
1.3 漏洞危害
对外⽹、服务器所在内⽹、本地进⾏端⼝扫描； 攻击运⾏在内⽹或本地的服务、应⽤； 对内⽹web应⽤进⾏指纹识别、识别内⽹资产信息； 实现 CRLF 注⼊：利⽤ Redis 未授权访问，HTTP CRLF 注⼊实现 getshell。
1.4 漏洞挖掘
1.4.1 从web功能上
分享 ：通过URL地址分享⽹⻚内容
转码服务 ：通过URL地址把管地址的⽹⻚内容调优使其适合⼿机屏幕浏览
在线翻译 ：通过URL地址翻译对应⽂本的内容，提供此功能的国内公司百度、有道等
图⽚加载与下载 ：通过URL地址加载或下载图⽚
图⽚、⽂章收藏功能
未公开的api实现以及其他调⽤URL的功能
1.4.2 从 URL关键字中寻找
Share、wap、url、Link、src、source、target、u、3g、Display、sourceURI、imageURL、domain
1.5 产⽣SSRF漏洞的函数
1.5.1 file_get_contents
从⽤户指定的url获取图⽚，然后把它⽤⼀个随机⽂件名保存在硬盘上，并展示给⽤户。
<?php
if(isset($_POST['url']))
{
$contenet=file_get_contents($_POST['url']);
$filename='./images/'.rand().';img1.jpg';
file_put_contents($filename,$contenet);
echo $_POST['url'];
$img="<img src=\"".$filename."\"/>";
}
echo $img;
?>1.5.2 fsockopen
实现获取⽤户制定url的数据（⽂件或者html）。这个函数会使socket跟服务器建⽴TCP连接，传输原始数据。
<?php
function GetFile($host,$port,$link)
{
$fp = fsockopen($host, intval($port), $errno, $errstr, 30);
if (!$fp) {
echo "$errstr (error number $errno) \n";
} else {
$out = "GET $link HTTP/1.1\r\n";
$out .= "Host: $host\r\n";
$out .= "Connection: Close\r\n\r\n";
$out .= "\r\n";
fwrite($fp, $out);
$contents='';
while (!feof($fp)) {
$contents.= fgets($fp, 1024);
}
fclose($fp);
return $contents;
}
}
?>1.5.3 curl_exec
curl是⼀个⾮常常⻅的实现，通过php获取数据。⽂件/数据被下载并存储在curled⽂件夹下的磁盘中，并附加⼀个随机数和".txt"⽂件扩展名。
<?php
if(isset($_POST['url']))
{
$link=$_POST['url'];
$curlobj=curl_init();
curl_setopt($curlobj, CURLOPT_POST, 0);
curl_setopt($curlobj,CURLOPT_URL,$link);
curl_setopt($curlobj, CURLOPT_RETURNTRANSFER, 1);
$result=curl_exec($curlobj);
curl_close($curlobj);
$filename = './curled/'.rand().'.txt';
file_put_contents($filename, $result);
echo $result;
}?>1.5.4 注意事项
1.⼀般情况下PHP不会开启fopen的gopher wrapper
2.file_get_contents的gopher协议不能URL编码
3.file_get_contents关于Gopher的302跳转会出现bug，导致利⽤失败
4.curl/libcurl 7.43 上gopher协议存在bug(%00截断) 经测试7.49 可⽤
5.curl_exec() 默认不跟踪跳转，
6.file_get_contents() file_get_contents⽀持php://input协议