服务器端请求伪造（SSRF）攻击进阶利用与防御绕过技术详解

描述
SSRF（Server-Side Request Forgery）是一种由攻击者构造恶意请求，诱使服务器向内部或外部系统发起非预期网络请求的安全漏洞。进阶利用涉及绕过基础防御（如黑名单/白名单校验）、访问云元数据服务、攻击内网应用，甚至结合其他协议（如gopher、dict、file）实现更深入的渗透。防御绕过技术则针对常见防护方案（如URL解析校验、重定向限制等）进行突破。

1. SSRF漏洞核心原理

• 成因：服务端未严格校验用户提供的URL参数，直接使用该参数发起网络请求。
• 危害：
  • 访问服务器本地的敏感服务（如127.0.0.1:3306的数据库）。
  • 攻击内网系统（如Web管理界面、Redis未授权访问）。
  • 窃取云平台元数据（如AWS的169.254.169.254）。
  • 结合其他协议实现命令执行或文件读取。

2. 常见利用场景与进阶技巧

• 云元数据服务利用：

  • 云主机元数据接口通常位于固定IP（如169.254.169.254），通过SSRF可获取临时密钥、实例信息等。
  • 绕过技巧：若防护方过滤该IP，可尝试使用十进制IP（如2852039166）、IPv6缩写（::ffff:169.254.169.254）或域名重定向。

• 攻击内网应用：

  • 扫描内网端口和服务（如HTTP/SSH），利用弱口令或已知漏洞进一步渗透。
  • 示例：通过http://192.168.1.1:8080/admin尝试访问内网管理后台。

• 协议利用扩展：

  • gopher协议：可构造任意TCP数据包，攻击内网Redis、MySQL等（如通过gopher发送Redis命令）。
  • file协议：读取服务器本地文件（如file:///etc/passwd）。
  • dict协议：探测端口信息或获取服务标识。

3. 防御绕过技术详解

• URL解析混淆：

  • 利用解析差异：如http://127.0.0.1@evil.com可能被解析为访问evil.com（实际取决于库的实现）。
  • Unicode编码：将IP或域名转换为Unicode形式（如ⓔⓧⓐⓜⓟⓛⓔ.ⓒⓞⓜ）。
  • 短域名重定向：通过短链服务（如bit.ly）隐藏真实目标URL。

• 白名单绕过：

  • 利用子域名或域名后缀：如白名单允许example.com，可注册evilexample.com或利用example.com.evil.com。
  • URL参数污染：如http://example.com?redirect=http://内网IP，若服务端校验主域名但允许重定向，可二次跳转。

• DNS重绑定攻击结合：

  • 控制域名DNS记录，首次解析返回合法IP通过校验，第二次解析返回内网IP，利用服务器缓存刷新时间差实现绕过。

4. 分层防御方案设计

• 输入校验层：

  • 使用白名单校验协议（仅允许http/https）和域名。
  • 解析URL后提取host，禁止访问内网IP段（如10.0.0.0/8）和回环地址。

• 网络隔离层：

  • 部署服务器时限制出网权限，禁止访问非必要内网段。
  • 使用网络策略禁止服务器访问云元数据接口。

• 请求过程防护：

  • 禁用非必要协议（如gopher、file）。
  • 设置请求超时时间，避免端口扫描利用。
  • 对响应内容进行安全检查（如禁止返回敏感信息）。

5. 进阶防御：沙箱化请求代理

• 独立部署一个无权网络代理服务，专门处理外部请求，与主业务隔离。
• 代理服务配置严格规则（如禁用重定向、仅允许特定Content-Type），减少攻击面。

通过理解SSRF的多种利用手法及对应防御逻辑，可更全面地设计防护策略，避免因单一校验机制被绕过导致漏洞产生。