ssrf探测内网_ssrf端口扫描

web安全要学什么?

Web安全的范围实在太大，哪些先学，哪些后学,如果没有系统的路线会降低大家效率，对于刚入门的同学们来说简直就是“噩梦”。所以，这篇类似学习路线的文章，希望可以帮助刚入门的萌新们少走弯路。（文末附学习资料及工具领取）

首先我们来看看企业对Web安全工程师的岗位招聘需求是什么？

1职位描述

对公司各类系统进行安全加固；

对公司网站、业务系统进行安全评估测试（黑盒、白盒测试）

对公司安全事件进行响应、清理后门、根据日志分析攻击途径

安全技术研究，包括安全防范技术、黑客技术等；

跟踪最新漏洞信息，进行业务产品的安全检查。

2岗位要求

熟悉Web渗透测试方法和攻防技术，包括SQL注入、XSS跨站、CSRF伪造请求、命令执行等OWSP TOP10 安全漏洞与防御；

熟悉Linux、Windows不同平台的渗透测试，对网络安全、系统安全、应用安全有深入理解和自己的认识；

熟悉国内外安全工具，包括Kali、Linux、Metasploit、Nessus、Namp、AWVS、Burp等；

对Web安全整体有深刻理解，有一定漏洞分析和挖掘能力；

根据岗位技能需求，再来制定我们的学习路径，如下：

一、Web安全学习路径

01 HTTP基础

只有搞明白Web是什么，我们才能对Web安全进行深入研究，所以你必须了解HTTP，了解了HTTP，你就会明白安全术语的“输入输出”。黑客通过输入提交“特殊数据”，特殊数据在数据流的每个层处理，如果某个层没处理好，在输出的时候，就会出现相应层的安全问题。关于HTTP，你必须要弄明白以下知识：

HTTP/HTTPS特点、工作流程

HTTP协议（请求篇、响应篇）

了解HTML、Javascript

Get/Post区别

Cookie/Session是什么？

02 了解如下专业术语的意思

Webshell

菜刀

0day

SQL注入

上传漏洞

XSS

CSRF

一句话木马

......

03 专业黑客工具使用

熟悉如何渗透测试安全工具，掌握这些工具能大大提高你在工作的中的效率。

Vmware安装

Windows/kali虚拟机安装

Phpstudy、LAMP环境搭建漏洞靶场

Java、Python环境安装

子域名工具 Sublist3r

Sqlmap

Burpsuite

Nmap

W3af

Nessus

Appscan

AWVS

04 XSS

要研究 XSS 首先了解同源策略 ，Javascript 也要好好学习一下 ，以及HTML实体 HTML实体的10 或16进制还有Javascript 的8进制和16进制编码，最终掌握以下几种类型的XSS：

反射型 XSS：可用于钓鱼、引流、配合其他漏洞，如 CSRF 等。

存储型 XSS：攻击范围广，流量传播大，可配合其他漏洞。

DOM 型 XSS：配合，长度大小不受限制 。

05 SQL注入

所谓SQL注入，就是通过把SQL命令插入到Web表单提交或输入域名或页面请求的查询字符串，最终达到欺骗服务器执行恶意的SQL命令。你需要了解以下知识：

SQL 注入漏洞原理

SQL 注入漏洞对于数据安全的影响

SQL 注入漏洞的方法

常见数据库的 SQL 查询语法

MSSQL,MYSQL,ORACLE 数据库的注入方法

SQL 注入漏洞的类型：数字型注入 、字符型注入、搜索注入 、盲注(sleep注入) 、Sqlmap使用、宽字节注入

SQL 注入漏洞修复和防范方法

一些 SQL 注入漏洞检测工具的使用方法

06 文件上传漏洞

了解下开源编辑器上传都有哪些漏洞，如何绕过系统检测上传一句话木马、WAF如何查杀Webshell，你必须要掌握的一些技能点：

1.客户端检测绕过（JS 检测）

2.服务器检测绕过（目录路径检测）

3.黑名单检测

4.危险解析绕过攻击

5..htaccess 文件

6.解析调用/漏洞绕过

7.白名单检测

8.解析调用/漏洞绕过

9.服务端检测绕过-文件内容检测

10.Apache 解析漏洞

11.IIS 解析漏洞

12.Nginx 解析漏洞

07 文件包含漏洞

去学习下

include() include_once() require() require_once() fopen() readfile()

这些php函数是如何产生文件包含漏洞, 本地包含与远程包含的区别，以及利用文件包含时的一些技巧如：截断 /伪url/超长字符截断等 。

08 命令执行漏洞

PHP代码中常见的代码执行函数有：

eval(), assert(), preg_replace(), call_user_func(), call_user_func_array(),create_function(), array_map()等。

了解这些函数的作用然后些搞清楚如何造成的代码执行漏洞。

09 CSRF 跨站点请求

为什么会造成CSRF，GET型与POST型CSRF 的区别, 如何防御使用 Token防止CSRF？

010 逻辑漏洞

了解以下几类逻辑漏洞原理、危害及学会利用这几类漏洞：

信息轰炸、支付逻辑漏洞、任意密码修改、越权访问、条件竞争、任意注册、任意登录、顺序执行缺陷、URL跳转漏洞.

011 XEE（XML外部实体注入）

当允许XML引入外部实体时，通过构造恶意内容，可以导致文件读取、命令执行、内网探测等危害。

012 SSRF

了解SSRF的原理,以及SSRF的危害。

SSRF能做什么？当我们在进行Web渗透的时候是无法访问目标的内部网络的，那么这个时候就用到了SSRF漏洞，利用外网存在SSRF的Web站点可以获取如下信息。

1.可以对外网、服务器所在内网、本地进行端口扫描，获取一些服务的banner信息;

2.攻击运行在内网或本地的应用程序（比如溢出）;

3.对内网Web应用进行指纹识别，通过访问默认文件实现;

4.攻击内外网的Web应用，主要是使用get参数就可以实现的攻击（比如struts2，sqli等）;

5.利用file协议读取本地文件等。

如果上述漏洞原理掌握的都差不多那么你就算入门Web安全了。

如果看了上面你还不知道具体如何学习？可参考合天网安实验室Web安全工程师岗位培养路径学习：网页链接

weblogic漏洞系列-SSRF漏洞

0x01前言：

SSRF漏洞的原理这里就不在细说了，这里主要讲解weblogic中SSRF漏洞的检测办法，以及利用手段。

0x02检测漏洞:

2.1、直接访问： ,SSRF漏洞存在于：

2.2、向服务器提交以下参数

?rdoSearch=nametxtSearchname=sdftxtSearchkey=txtSearchfor=selfor=Business+locationbtnSubmit=Searchoperator=

关键点是operator这个参数，访问7001端口时返回一个404的状态码。

2.3、访问一个不存在的端口会返回以下信息。

可以通过返回的信息不同，来判断端口开放的状态。

2.4、实战挖掘的过程中总共遇到过以下几种状态(referer: )：

状态一、

状态二、

状态三、

状态四、

状态五、

2.5批量检测脚本：

0x03、利用手段

3.1内网端口探测

我们可以根据返回的不同状态信息，来判断内网的IP是否存在以及对应端口是否开放。这里有一个地方需要注意的是，需要知道目标内网网段。如果盲目的去进行网段扫描会耗费大量的时间。

实战挖掘中发现这个位置有可能会泄露内网网段。

确定网段之后可以使用脚本来进行快速探测。

SSRF不仅仅只是为了探测端口，更强大之处是在于探测到一些信息之后从而进一步的利用.

更多的利用手段可以参考以下文章：

0x04、Referer:

利用 XMLRpc的 SSRF 漏洞进行内网端口的探测

直接访问：

页面提示如下：

提示信息告诉我们，该URL访问的是一个xmlrpc服务，但该服务只接受POST请求。

因为这里可以通过xmlrpc来对外发起网络请求，所以这里也存在SSRF漏洞。

关于xmlrpc请求为什么会存在SSRF漏洞，下面贴一段搜索到的解释：

通过搜索引擎可以查到xmlrpc的请求包格式，于是构造如下xml请求来探测内网端口是否开放：

用BurpSuite改包：

可以看到服务器内网的1133端口并未开放。

再测试内网的88端口：

可以看到服务器内网的88端口是开放的。

打造自己的渗透测试框架—溯光

TrackRay简介

溯光，英文名“TrackRay”，意为逆光而行，追溯光源。同时致敬安全圈前辈开发的“溯雪”，“流光”。

溯光是一个开源的插件化渗透测试框架，框架自身实现了漏洞扫描功能，集成了知名安全工具：Metasploit、Nmap、Sqlmap、AWVS等。

溯光使用 Java 编写，SpringBoot 作为基础框架，JPA + HSQLDB嵌入式数据库做持久化，Maven 管理依赖，Jython 实现 Python 插件调用，quartz 做任务调度，freemarker + thymeleaf 做视图层，Websocket 实现命令行式插件交互。

框架可扩展性高，支持 Java、Python、JSON 等方式编写插件，有“漏洞扫描插件”、“爬虫插件”、“MVC插件”、“内部插件”、“无交互插件”和“可交互插件” 等插件类型。

功能展示

主页

登录

任务创建

任务列表

任务详情

无交互接口插件调用

MVC插件示例

交互式插件控制台

MSF 控制台

依赖环境

JDK 1.8

Python 2.7

Maven

Git

Metasploit

Nmap(建议安装)

SQLMAP(建议安装)

AWVS

**加粗为必须环境，没有安装程序则无法正常编译运行

不论是 Windows 还是 linux 一定需要先安装 JDK1.8 和 Maven。安装过程这里不做演示。保证 JDK 和 Maven 都在系统环境变量，能执行java -version 和 mvn --version即可。

安装过程

第一步

手动启动 AWVS 服务

登录后台，生成一个API密匙。

复制密匙和 AWVS 的地址。

找到web/src/main/resources/application.properties配置文件。

修改如下部分

第二步

找到你 python 的第三方库目录。

Windows 的一般在 python 安装目录下的/Lib/site-packages

Linux 下可以通过输出 sys.path 来找第三方包路径

我的是 D:/Python2/Lib/site-packages

同样找到web/src/main/resources/application.properties配置文件。

修改python.package.path参数

第三步

安装 Maven 后找到仓库位置。

如果没有在 settings.xml 里配置指定仓库目录，默认会在当前用户目录中生成一个 .m2的目录

找到仓库目录后修改 application.properties 的 maven.repository.path参数

第四步

这个是 DNSLOG 回显检测漏洞时需要的。

去 ceye.io 注册一个账号，拿到给你分配的域名和 TOKEN。

修改配置文件

第五步

启动 msf 和 sqlmapapi。

如果你是 kali 操作系统，可以直接运行startdep.sh。

如果是其他系统，则要找到 metasploit 和 sqlmap 的目录分别执行

启动成功后修改配置文件

第六步

编译打包程序

等待依赖下载完成和编译完成，如果以上操作都没有出现问题则会提示 BUILD SUCCESS

编译成功后会在当前目录打包一个trackray.jar就是溯光的主程序。

然后直接执行startup.bat或startup.sh溯光就会启动服务。

没有抛出异常或ERROR日志，访问 8080 端口正常。

服务启动正常后，登录 iZone 社区账号。

**开发插件建议使用 Intellij IDEA IDE，需要安装 lombok 插件。

目录结构

插件

AbstractPlugin

这是交互式插件和非交互式插件的父类。

BASE常量

其中的静态常量 BASE 是 /resources/include/ 的所在目录。

如果你的插件需要额外的静态资源，那么你可以在 /resources/include 目录里创建一个和插件 KEY 相同的文件夹，便于识别，如果没有在 @Plugin 注解中设置 value 则默认的插件 KEY 就是当前类名首字母小写。

如 Typecho001 = typecho001

check(Map param)

这是用于检验是否合规的方法，需要被强制重写，当返回 true 时才会调用 start() 方法

param 参数是从前台传过来的参数键值对。

常被用于检验参数格式是否正确或漏洞是否存在。

after()

在 start() 方法之前调用

before()

在 start() 方法之后调用

start()

这是一个抽象方法，所有继承了该类的子类都需要重写这个方法。

在 check 方法 通过后会调用 start() 方法

start() 方法返回值最终会会当做插件结果，响应给前台。

shell()

调用当前系统 shell 来辅助完成插件功能。

executor()

插件执行的主方法

crawlerPage

http请求对象（不推荐使用）

fetcher

执行 http 请求对象（不推荐使用）

errorMsg

当校验不通过时，返回给前台的信息。

param

前台传过来的参数键值对

requests

HTTP 发包工具（推荐使用）

hackKit

hack 常用工具包

无交互插件

无交互插件需要你填写好所有要填写的参数，直接请求接口来执行插件。

默认需要去继承 CommonPlugin类。

这是一个抽象类，继承了 AbstractPlugin

主要多出来两个属性：request 和 response。

继承了 CommonPlugin 的类可以通过调用这两个属性来控制请求和响应内容。

无交互插件同时也需要使用 @Rule 和 @Plugin 插件，这两个注解后面会讲到。

在 ，找到相应的插件填写好参数提交即可完成调用。

或直接调用接口。

交互式插件

交互式插件一般在命令行控制台中调用，可以允许你通过命令行交互来完成插件的调用。

交互式插件由 Websocket 实现，想要写一个交互式插件，首先要继承 WebSocketPlugin 类。

同时设置 @Rule 注解的 websocket 参数为 true ，如果需要异步交互需要将 sync 也设置为 true。

内部插件

内部插件是不可以通过外部去调用的，需要继承 InnerPlugin 并使用 @Plugin 注解，通常在漏洞扫描时时会调用。

例如 “网页爬虫”，“指纹识别”，“端口扫描” 等，都是通过调用内部插件实现的。

还有用于检测 SSRF 等漏洞用的 FuckCeye 插件也属于内部插件。

通过 spring 的自动注入，来注入内部插件到当前对象。

例子可参考 WebLogicWLSRCE.java

爬虫插件

爬虫插件会在扫描任务被勾选“网页爬虫”时调用，每爬取一条请求就会调用一次爬虫插件。

爬虫插件需要继承 CrawlerPlugin，继承该类必须重写 check 和 process 方法。

check 方法用于检验请求是否符合插件规则，以免产生多余请求。

当 check 方法 返回为 true 时会调用 process 方法。

process 方法里写插件主要检测代码。

addVulnerable()

当插件检测出漏洞时，可以通过调用 addVulnerable() 方法来向数据库插入一条漏洞。

requests

requests 属性为请求工具包，处理 https 和 http 都很方便。

response

response 属性为当前爬虫得到的 HTTP 响应。

task

task 属性为当前任务对象，如果你的爬虫插件不是检测漏洞而希望是检测一些敏感信息的话可以修改 task.getResult() 里的属性。

参考 FingerProbe.java 或 InfoProbe.java。

target

爬虫爬取到的 URL 对象。

fetcher crawlerPage

http 请求对象（不建议使用）。

漏洞扫描插件

漏洞扫描插件会在，扫描任务中勾选“漏洞攻击模块”时调用。

漏洞扫描插件分为三种

1.独立插件

独立的漏洞扫描插件需要继承 AbstractExploit 并使用 @Plugin 或 @Exploit

AbstractExploit 中有以下需要了解的方法和属性。

requests

http / https 发包工具

target 当前扫描任务的地址。

task

当前扫描任务对象。

check()

check 是一个抽象方法，需要被子类强制重写。

该方法一般用于检验是否符合当前漏洞扫描插件的规则，以免产生多与请求。

attack()

attack 也是一个抽象方法，需要被子类强制重写。

该方法是检测漏洞的主方法。

before()

在 attack 方法前执行

after()

在 attack 方法后执行

addVulnerable()

当插件检测出漏洞时，可以通过调用 addVulnerable() 方法来向数据库插入一条漏洞。

fetcher crawlerPage

http 请求对象（不建议使用）。

2.漏洞规则

位于

实际上这是一个“内部插件”，会在勾选漏洞模块攻击时调用。

有一些漏洞检测方法很简单，只通过简单的判断响应体就能识别出来，也就没有必要再去写一个独立的插件而占用空间了。

在 doSwitch() 方法中会先去根据当前任务的指纹识别结果走一遍 switch 流程。

swtich 的每一个 case 都是 WEB 指纹的枚举对象。

当 switch 找到当前任务 WEB 指纹对应的 case 后，case 内的代码会通过构建一个漏洞规则添加到 loaders 集合里。

如果规则是通用的，可以写在 switch 的外面。

3.kunpeng JSON插件

kunpeng 是一个 go 语言编写的 poc 测试框架，这里我对 kunpeng 的 JSON 插件做了一个支持。

只需要按照 kunpeng json 插件的格式规范创建一个 json 文件到 /resources/json 目录。

在扫描任务勾选“漏洞攻击模块”时会被调用，或通过 MVC 插件调用 。

MVC 插件

位于

MVC 插件的特点在于，他可以像是在写一个功能一样，而非简单的接口式调用。

MVC 插件需要继承 MVCPlugin 类，并使用 @Rule,@Plugin 注解。

MVCPlugin 内置了一个 ModelAndView 对象， 是 SpringMVC 提供的。

可以通过 setViewName() 来指定视图层的网页模板。

通过 addObject(key,value) 向视图层网页模板注入参数。

这里的视图层是使用 thymeleaf 实现的，需要懂 thymeleaf 的语法。

例子可以参考：com.trackray.module.inner.JSONPlugin

继承 MVCPlugin 必须要重写一个 index 方法，这是插件的入口。

如果需要写其他的功能，就得再创建一个 public 返回值为 void 的无参方法。

并且要在该方法上使用 @Function 注解，该注解的 value 参数如果不填写的话则默认的 requestMapping 地址为方法名。

例如

最后还需要在 /module/src/main/resources/templates 创建一个目录名为插件 KEY 的目录。

里面存放扩展名为 .html 的模板文件。

Python 插件

python 插件有两种实现方式。

1.通过命令行实现

这种方式最为简单，通过在 include 里写一个 python 脚本。

然后在插件里调用 shell() 方法来执行系统命令。

案例可参考 com.trackray.module.plugin.windows.smb.MS17010

但这样还需要再写 java 的代码，对于没有学过 java 的人来说很不友好。

2.通过jython实现

jython 是一个 Python 语言在 Java 中的完全实现。

我将它的调用过程写成了一个交互式插件。

你可以通过在 /resources/python/ 目录下安装如下规范去创建一个 python 文件。

在这个 python 文件中需要写两个方法。

关于注解

@Rule

一般用在“可交互插件”和“无交互插件”类上。

@Plugin

WEB指纹

这里顺便再说一下如何添加指纹库。

指纹库位于 base 模块，是一个枚举类。

可以在首部或尾部添加一条新的枚举，尽量使用 $ 开头。

第一个参数是 指纹的名称，如果第二个参数是 String 类型则是该指纹的说明。

FingerBean 类是指纹匹配对象。

vulhub Weblogic SSRF漏洞 复现

假装自己在闲逛,发现了一个网址

好的先来一个全端口扫描，用我最近学会的新玩具netcat

发现一个7001端口，浏览器访问一下

没啥发现，那就扫一下路径

发现不少路径访问一下看看

这里发现一个6379的服务（咋知道这是啥服务呢？）

直接redis的payload打过去就好了

监听的机器等好一会就收到连接了

payload 原本长这样

发送的时候进行url编码了，post的话好像没啥必要