DH Web Hacking
📝ServerSide: SSRF
📌Server-Side Request Forgery (SSRF)
다양한 웹 개발 언어의 HTTP 요청을 전송하는 라이브러리는 HTTP 요청을 보낼 클라이언트 뿐만 아니라 서버와 서버간 통신을 위해 사용되기도 한다.
최근의 웹 서비스는 지원하는 기능이 증가함에 따라 구성요소가 증가했다.
이에 따라서 관리 및 코드의 복잡도를 낮추기 위해 마이크로서비스들로 웹 서비스를 구현하는 추세이다.
각각의 ABC 마이크로 서비스는 서버 내부망에 속해있으며, 외부에서는 접근할 수 없다.
하지만 외부로 노출되어있는 웹 애플리케이션을 통해 서버로 접속하고, 이 웹 서비스는 내부망에 연결되어있는 여러 내부망 서비스와 통신한다. 이 과정에서 우리는 웹 서비스의 권환으로 요청을 보내서 외부에서 간접적으로 내부망 서비스를 이용할 수 있다.
서비스 간 HTTP 통신이 이뤄질 때 요청 내에 이용자의 입력값이 포함될 수 있으며,
이는 개발자가 의도하지 않은 요청이 전송될 수 있다. SSRF는 웹 서비스의 요청을 변조하는 취약점으로, 브라우저가 변조된 요청을 보내는 CSRF와는 다르게 웹 서비스의 권환으로 변조된 요청을 보낼 수 있다.
웹 서비스가 보내는 요청을 변조하기 위해서는 요청 내에 이용자의 입력값이 포함되어야 한다. 이는 웹 서비스가 이용자가 입력한 URL에 요청을 보내거나 요청을 보낼 URL에 이용자 번호와 같은 내용이 사용되는 경우, 그리고 이용자가 입력한 값이 HTTP Body에 포함되는 경우로 나눠볼 수 있다.
📌이용자가 입력한 URL에 요청을 보내는 경우
# pip3 install flask requests # 파이썬 flask, requests 라이브러리를 설치하는 명령입니다.
# python3 main.py # 파이썬 코드를 실행하는 명령입니다.
from flask import Flask, request
import requests
app = Flask(__name__)
@app.route("/image_downloader")
def image_downloader():
# 이용자가 입력한 URL에 HTTP 요청을 보내고 응답을 반환하는 페이지 입니다.
image_url = request.args.get("image_url", "") # URL 파라미터에서 image_url 값을 가져옵니다.
response = requests.get(image_url) # requests 라이브러리를 사용해서 image_url URL에 HTTP GET 메소드 요청을 보내고 결과를 response에 저장합니다.
return ( # 아래의 3가지 정보를 반환합니다.
response.content, # HTTP 응답으로 온 데이터
200, # HTTP 응답 코드
{"Content-Type": response.headers.get("Content-Type", "")}, # HTTP 응답으로 온 헤더 중 Content-Type(응답 내용의 타입)
)
@app.route("/request_info")
def request_info():
# 접속한 브라우저(User-Agent)의 정보를 출력하는 페이지 입니다.
return request.user_agent.string
app.run(host="127.0.0.1", port=8000)http://127.0.0.1:8000/image_downloader?image_url=http://127.0.0.1:8000/request_info다음과 같이 입력할 경우, image_downloader에서는 http://127.0.0.1:8000/request_info URL에 HTTP 요청을 보내고 응답을 반환한다. 반환한 값을 확인해보면 브라우저로 request_info 엔드포인트에 접속했을 때와 다르게 브라우저 정보가 python-requests/<LIBRARY_VERSION> 인 것을 확인할 수 있다.
이는 웹 서비스에서 HTTP 요청을 보냈기 때문이다. 이처럼 이용자가 웹 서비스에서 사용하는 마이크로서비스의 API 주소를 알아내고, image_url에 주소를 전달하면 외부에서 직접 접근할 수 없는 마이크로서비스의 기능을 임의로 사용할 수 있다.
📌웹 서비스의 요청 URL에 이용자의 입력값이 포함되는 경우
INTERNAL_API = "http://api.internal/"
# INTERNAL_API = "http://172.17.0.3/"
@app.route("/v1/api/user/information")
def user_info():
user_idx = request.args.get("user_idx", "")
response = requests.get(f"{INTERNAL_API}/user/{user_idx}")
@app.route("/v1/api/user/search")
def user_search():
user_name = request.args.get("user_name", "")
user_type = "public"
response = requests.get(f"{INTERNAL_API}/user/search?user_name={user_name}&user_type={user_type}")user_info 에서는 이용자가 전달한 user_idx 값을 내부 API의 URL경로로 사용한다.
user_search 에서는 이용자가 전달한 user_name 값을 내부 API의 쿼리로 사용한다.
웹 서비스가 요청하는 URL에 이용자의 입력값이 포함되면 요청을 변조할 수 있다.
이용자의 입력값 중 URL의 구성요소 문자를 삽입하면 API 경로를 조작할 수 있다.
user_info 함수에서 user_idx에 ../search를 입력할 경우 웹 서버스의 요청 경로를 상위 경로로 변조할 수 있다.
이 외에도 # 문자를 입력해 경로를 조작할 수 있다. user_search 함수에서 user_name에 secret&user_type=private# 를 입력할 경우 웹 서비스는 # 문자 뒤에 붙는 문자열은 API 경로에서 생략한다.
📌웹 서비스의 요청 Body에 이용자의 입력값이 포함되는 경우
# pip3 install flask
# python main.py
from flask import Flask, request, session
import requests
from os import urandom
app = Flask(__name__)
app.secret_key = urandom(32)
INTERNAL_API = "http://127.0.0.1:8000/"
header = {"Content-Type": "application/x-www-form-urlencoded"}
@app.route("/v1/api/board/write", methods=["POST"])
def board_write():
session["idx"] = "guest" # session idx를 guest로 설정합니다.
title = request.form.get("title", "") # title 값을 form 데이터에서 가져옵니다.
body = request.form.get("body", "") # body 값을 form 데이터에서 가져옵니다.
data = f"title={title}&body={body}&user={session['idx']}" # 전송할 데이터를 구성합니다.
response = requests.post(f"{INTERNAL_API}/board/write", headers=header, data=data) # INTERNAL API 에 이용자가 입력한 값을 HTTP BODY 데이터로 사용해서 요청합니다.
return response.content # INTERNAL API 의 응답 결과를 반환합니다.
@app.route("/board/write", methods=["POST"])
def internal_board_write():
# form 데이터로 입력받은 값을 JSON 형식으로 반환합니다.
title = request.form.get("title", "")
body = request.form.get("body", "")
user = request.form.get("user", "")
info = {
"title": title,
"body": body,
"user": user,
}
return info
@app.route("/")
def index():
# board_write 기능을 호출하기 위한 페이지입니다.
return """
<form action="/v1/api/board/write" method="POST">
<input type="text" placeholder="title" name="title"/><br/>
<input type="text" placeholder="body" name="body"/><br/>
<input type="submit"/>
</form>
"""
app.run(host="127.0.0.1", port=8000, debug=True)board_write는 이용자의 입력값을 HTTP Body에 포함하고 내부 API로 요청을 보낸다.
internal_board_write에서 위 요청을 받는 내부 API를 구현하였고,
전달된 title, body, 계정 이름을 JSON 형식으로 변환하고 반환한다.
index에서 board_write 기능을 호출한다.
data = f"title={title}&body={body}&user={session['idx']}데이터를 구성할 때 이용자의 입력값인 title, body 그리고 user의 값을 파라미터 형식으로 설정한다. 이용자가 URL에서 파라미터를 구분하기 위해 사용하는 구분 문자인 &를 포함하면 설정되는 data의 값을 변조할 수 있다.
title에서 title&user=admin를 삽입하면 다음과 같이 data가 구성된다.
title=title&user=admin&body=body&user=guest내부 API에서는 전달받은 값을 파싱할 때 앞에 존재하는 파라미터의 값을 가져와 사용하기 때문에 user의 값을 변조할 수 있다. 즉 파라미터 user의 값을 admin으로 변조할 수 있다.
