预备知识
SSRF简介
SSRF（Server-Side Request Forgery，服务端请求伪造），是攻击者让服务端发起构造的指定请求链接造成的漏洞。
由于存在防火墙的防护，导致攻击者无法直接入侵内网；这时攻击者可以以服务器为跳板发起一些网络请求，从而攻击内网的应用及获取内网数据。
大都是由于服务端提供了从其他服务器获取数据的功能，比如使用户从指定的URL web应用获取图片、下载文件、读取文件内容等。但又没有对目标地址做严格过滤与限制，导致攻击者可以传入任意的地址来让后端服务器对其发送请求，并返回对该目标地址请求的数据。
最常见的例子：攻击者传入一个未经验证的URL，后端代码直接请求这个URL，就会造成SSRF漏洞。
SSRF的类型
1）显示对攻击者的响应（basic）：在服务器获取攻击者要求的URL后，把响应发送回攻击者。
2）不显示响应（blind）：在服务器获取攻击者要求的URL后，不会把响应内容发送给攻击者，需要通过查看服务器日志判断是否存在服务端请求伪造漏洞。
拓展攻击面
结合gopher协议（信息查找系统）、攻击内网FTP、Telnet、Redis、FastCGI、Memcache，也可以进行get、post请求。
实验环境
操作系统：
CentOS：SSRF漏洞环境 + 模拟内网Redis服务；ip：10.1.1.100
Kali Linux：Redis服务 + 漏洞利用；ip：10.1.1.200
辅助工具：Mozilla Firefox、burpsuite
环境部署
1.在CentOS机器中，检测端口开放情况：# netstat -tunlp
保证Apache、MySQL、PHP都开启。
- 下载源码放到网站根目录/var/www/html下：
`cd /var/www/html
下载：# wget http://tools.hetianlab.com/tools/T039.zip
解压：# unzip T039.zip`
3.Kali机器用浏览器访问 http://10.1.1.100/ssrf.html检测环境是否搭建成功：
实验步骤
CentOS机器开启Redis服务，kali机器写定时任务到CentOS机器中。
- Redis服务安装时默认绑定IP为127.0.0.1，此处不需要设置，查看Redis配置文件redis.conf：
#find / -name redis.conf
#vi /root/redis-5.0.4/redis.conf
5.另外开启一个终端，测试启动：
# cd /usr/redis/
# ./redis-cli ping
启动成功。
6.在kali机器写一个redis反弹shell的bash脚本：
# vi shell.sh
保存退出；
Redis的第0个数据库中添加key为1，名为root的定时任务，value字段最后会多一个n是因为echo重定向最后会自带一个换行符，位置为CentOS机器的/var/spool/cron/，10.1.1.200为获取反弹shell的本地IP地址，666为反弹shell的监听端口，可随意设置。
通过gopher协议攻击Redis，如果内网中的Redis存在未授权访问漏洞，当Redis服务以root权限运行时，利用gopher协议攻击内网中的Redis，通过写入定时任务可以实现反弹shell。
- Kali机器另外开启一个终端，使用socat进行端口转发，获取Redis攻击的TCP数据包：
# socat -v tcp-listen:2333,fork tcp-connect:127.0.0.1:6379
将本地的2333端口转发到Redis服务器的6379端口，访问本地的2333端口其实是访问Redis服务器的6379端口。
2.另启一个终端执行脚本：#bash shell.sh 127.0.0.1 2333
3.查看捕获到的数据
4.利用脚本将数据转换成适配于gopher协议的URL，转换规则：
1）如果第一个字符是 > 或者 < ，则丢弃该行字符串，表示请求和返回的时间；
2）如果前三个字符是 +OK，则丢弃该行字符串，表示返回的字符串；
3）将\r字符替换成 %0d%0a；
4）将空白行替换成 %0a。
- 先将socat获取的数据保存为socat.log文件，然后执行脚本进行数据转换：
保存文件。
# python tran2gopher.py socat.log
7.攻击CentOS机器的Redis服务：
在‘有回显的SSRF’处输入gopher://127.0.0.1:6379/_+数据转换的内容：
点击‘TEST IT’后查看监听结果：
成功获取反弹shell。
在浏览器的‘SEE THE RESULT’处也可以看到定时任务写入成功：
漏洞修复
1.限制协议为HTTP、HTTPS；
2.禁止30x跳转；
3.设置URL白名单或限制内网IP。