CNVD 实战笔记：通过 Java 代码审计挖掘 SSRF 漏洞

CNVD 实战笔记：通过 Java 代码审计挖掘 SSRF 漏洞

首先通过搜索关键词来寻找cms中ssrf的使用

/**
 * 审计的函数
 * 1. URL
 * 2. HttpClient
 * 3. OkHttpClient
 * 4. HttpURLConnection
 * 5. Socket
 * 6. ImageIO
 * 7. DriverManager.getConnection
 * 8. SimpleDriverDataSource.getConnection
 */

当搜索到OkHttpClient时发现了存在一个工具类调用封装了okhttp3 ，不过只主要支持http协议。接着向上找调用查看url变量是否可控

这里就只记录发现漏洞的一条线，实战需要每条都寻找，向上寻找到了fetchRemoteFile调用

一直找到了路由处，发现有利用的可能。查看权限校验这还是一个未授权的接口，权限具体过程就不细说了

可以看到此处逻辑，会获取type参数，然后isExternalUrl校验这是否是一个外部url，如果是外部url直接报错

校验的逻辑非常简单，判断是否以http://,https://开头，相当于做了过滤

通过校验后便会在url后面加上拼接上/index.json作为参数传入。我们先接着看后面的代码

public static JSON fetchRemoteJson(String fileUrl) throws RebuildException {
    String content = fetchRemoteFile(fileUrl);
    if (JSONUtils.wellFormat(content)) {
        return (JSON) JSON.parse(content);
    }
    throw new RebuildException("Unable to read data from RB-Store");
}

接着来看fetchRemoteFile，判断fileUrl是不是以http开头，如果是以http开头则直接调用get获取其内容，如果不是http开头，会拼接一些乱七八糟的url导致无法利用。可是前面对外部的url已经进行了校验。

不过在这停留想了一段时间后发现了，这里判断是的http，但是上面校验的是http://,https://。这就导致了前面的校验和后面的判断不统一（很多漏洞的原理），存在有绕过的可能，于是我便尝试以http:/,https:/行动

写了测试类后发现是可以办到的，okhttp3库能够解析http:/ ,https:/

接着还需要解决url后面拼接/index.json,这个的处理方法其实还是蛮多的，这里选择用参数抵消掉后面拼接的index.json让其成为一个无效参数带过去即可

例如:http://10.82.189.40:18080/setup/load-index?type=http:/127.0.0.1:80/2.txt?x=

可以看到成功的获取了我放在服务器的内容，但由于之后会进行json解析导致只有json格式才会回显。相当于就是无回显ssrf，能让其访问任意的http资源，但是无回显，危害程度就比较低了。不过算是一次实战经验。