SSRF简介

SSRF（Server-Side Request Forgery，服务器端请求伪造）的原理

SSRF（服务器端请求伪造）是一种攻击技术，攻击者通过操控一个Web应用发起伪造的请求，从而欺骗目标服务器，导致服务器向攻击者指定的地址（可能是外部服务器，也可能是内网地址）发起请求。这类攻击利用了服务器本身的网络访问权限，通常可以绕过防火墙和网络隔离，访问原本无法访问的资源，进而引发数据泄露、系统入侵等安全问题。

SSRF的关键在于通过操控Web应用的请求机制来访问原本不可访问的服务。攻击者并不直接与目标服务器交互，而是通过漏洞利用Web服务器发起恶意请求。

SSRF攻击的工作流程

攻击者输入恶意数据：攻击者通过Web应用的输入点提交恶意URL或地址。这些输入点通常是用户可以控制的字段，如Web表单、URL参数、文件上传等。
Web应用发起请求：Web应用将攻击者提交的恶意输入当作目标URL或地址，并通过后端代码（如HTTP请求库）发起请求。此时，Web应用扮演了请求发起者的角色，攻击者的恶意请求通过Web服务器发起。
恶意请求触发访问：根据攻击者提供的恶意URL或地址，Web应用可能会访问内部资源（如内网的API、管理接口或数据库服务）或者外部资源（如攻击者控制的恶意网站）。
返回的响应被利用：如果Web应用未正确处理这些请求，攻击者可能通过返回的数据进行进一步的攻击，例如泄露敏感信息、获取内网服务的返回数据、进行端口扫描等。
利用网络环境漏洞：通过SSRF，攻击者可以利用目标服务器的内网权限绕过防火墙、网络隔离等安全策略，访问本不应该暴露的服务和数据。

SSRF的攻击场景

SSRF攻击通常发生在以下几种场景中：

URL输入漏洞
用户通过Web应用提交一个URL，Web应用会尝试访问这个URL，常见的例子包括：
- 允许用户提交URL的文件下载功能
- 允许用户输入URL并在Web页面中显示其内容
- 通过URL查询外部API或获取资源
文件上传漏洞
Web应用可能允许用户上传文件，并对上传的文件进行处理。如果Web应用在文件上传时需要根据上传内容的URL进行请求，攻击者可以上传带有恶意URL的文件（如包含http://localhost/admin的图片或其他格式的文件）。
HTTP请求头恶意伪造
一些应用会根据请求头的内容（如X-Forwarded-For、Host等）发起请求。攻击者可以伪造这些头信息，诱使Web应用访问内网服务。
其他网络请求功能
Web应用可能有其他类型的网络请求功能，如发送HTTP请求以获取数据，或在后台进行Web抓取。攻击者可以通过伪造请求的目标来控制访问内网或外部资源。

SSRF攻击的常见利用方法

内网服务扫描
通过SSRF，攻击者可以扫描目标Web服务器所在的内网，发现本来应该无法访问的内网服务。例如，通过访问http://localhost:8080，攻击者可以访问目标服务器的本地管理接口、数据库服务等。
信息泄漏
SSRF攻击可能导致内部资源的泄漏。例如，攻击者可以通过访问http://localhost:9200来扫描和获取Elasticsearch数据库的敏感信息，或通过访问http://127.0.0.1:5000获取内网API的返回数据。
端口扫描
攻击者可以通过控制请求目标地址和端口进行端口扫描，识别目标服务器所在内网的开放端口。例如，攻击者可以利用SSRF通过请求http://localhost:1-65535来扫描目标服务器所有的端口。
服务绕过
有些Web应用配置了IP白名单或防火墙，阻止来自外部的直接访问。攻击者可以通过SSR攻击发起来自Web应用服务器的请求，从而绕过这些安全机制。
利用内网API或管理面板
Web服务器可能会访问内部的管理系统、API或其他受保护的资源。攻击者通过SSRF访问这些资源，可能会获取敏感数据、执行管理命令或修改系统设置。

SSRF攻击的例子

例子1：URL作为参数

假设有一个Web应用，它允许用户输入一个URL并返回该URL指向的资源。攻击者可以提交恶意的URL，如：

http://localhost/admin

Web应用会尝试从localhost请求该资源，而实际上localhost是Web服务器的内部地址，可能会导致访问敏感的管理接口，泄露后台管理页面。

例子2：文件上传

假设某个Web应用允许用户上传图片，攻击者上传一个图片文件，并在图片的元数据中嵌入恶意的URL（如http://127.0.0.1:8080/api）。当应用处理文件时，它会访问该URL，从而使攻击者能够访问内网资源。

防御SSRF的策略

限制服务器请求的目标范围
在Web应用服务器中，使用防火墙或网络访问控制列表（ACL）来限制请求的目标范围，禁止访问localhost、127.0.0.1、内网IP地址（如192.168.x.x、10.x.x.x）等。
严格校验输入的URL
对用户输入的URL进行严格校验，防止请求内网资源。可以通过正则表达式、白名单等方式限制允许的域名和IP地址。拒绝掉本地地址（如localhost、127.0.0.1等）和不可访问的IP段。
限制HTTP请求头
在HTTP请求中，某些头信息（如X-Forwarded-For、Host、Referer）可以被恶意伪造。要确保对这些头信息进行严格校验，防止攻击者通过伪造请求头进行绕过。
使用请求代理
在发起外部请求时，使用请求代理来控制外部请求的来源，减少Web服务器直接发起恶意请求的风险。
输出过滤和响应校验
对返回的内容进行适当的过滤和检查，确保不泄露内部敏感信息。例如，不应将堆栈信息、错误信息等直接返回给用户。
日志审计
对Web服务器的请求进行详细日志记录，尤其是外部请求。审计异常请求、未授权访问等，帮助发现潜在的SSRF攻击行为。