Pentest-Tools.com - The essential toolkit for human-led pentesting

Get a hacker's perspective on your web apps, network, and cloud.
Find and report critical, exploitable vulnerabilities with real business impact. Use our 20+ custom tools to map the attack surface, find security issues that let you escalate privileges, and use automated exploits to collect essential evidence, turning your hard work into persuasive reports.

Learn more

PHP SSRF

Reading time: 3 minutes

SSRF PHP-Funktionen

Einige Funktionen wie file_get_contents(), fopen(), file(), md5_file() akzeptieren URLs als Eingabe, denen sie folgen, was mögliche SSRF-Schwachstellen zur Folge hat, wenn der Benutzer die Daten kontrollieren kann:

file_get_contents("http://127.0.0.1:8081");
fopen("http://127.0.0.1:8081", "r");
file("http://127.0.0.1:8081");
md5_file("http://127.0.0.1:8081");

Wordpress SSRF über DNS Rebinding

Wie in diesem Blogbeitrag erklärt, ist sogar die Wordpress-Funktion wp_safe_remote_get anfällig für DNS Rebinding, was sie potenziell anfällig für SSRF-Angriffe macht. Die Hauptvalidierung, die sie aufruft, ist wp_http_validate_url, die überprüft, dass das Protokoll http:// oder https:// ist und dass der Port einer von 80, 443 und 8080 ist, aber sie ist anfällig für DNS Rebinding.

Andere anfällige Funktionen laut dem Beitrag sind:

• wp_safe_remote_request()
• wp_safe_remote_post()
• wp_safe_remote_head()
• WP_REST_URL_Details_Controller::get_remote_url()
• download_url()
• wp_remote_fopen()
• WP_oEmbed::discover()

CRLF

Darüber hinaus könnte es in einigen Fällen sogar möglich sein, beliebige Header über CRLF "Schwachstellen" in den vorherigen Funktionen zu senden:

# The following will create a header called from with value Hi and
# an extra header "Injected: I HAVE IT"
ini_set("from", "Hi\r\nInjected: I HAVE IT");
file_get_contents("http://127.0.0.1:8081");

GET / HTTP/1.1
From: Hi
Injected: I HAVE IT
Host: 127.0.0.1:8081
Connection: close

# Any of the previously mentioned functions will send those headers

Beachten Sie, dass diese Funktionen möglicherweise andere Methoden haben, um beliebige Header in Anfragen festzulegen, wie:

$url = "";

$options = array(
'http'=>array(
'method'=>"GET",
'header'=>"Accept-language: en\r\n" .
"Cookie: foo=bar\r\n" .  // check function.stream-context-create on php.net
"User-Agent: Mozilla/5.0 (iPad; U; CPU OS 3_2 like Mac OS X; en-us) AppleWebKit/531.21.10 (KHTML, like Gecko) Version/4.0.4 Mobile/7B334b Safari/531.21.102011-10-16 20:23:10\r\n" // i.e. An iPad
)
);

$context = stream_context_create($options);
$file = file_get_contents($url, false, $context);