SSRF漏洞原理、利用方式及修复方案？Java和PHP的SS

[问答题]

SSRF漏洞原理、利用方式及修复方案？Java和PHP的SSRF区别？

正能量y先生

原理：由攻击者构造的攻击链接传给服务端执行造成的漏洞，一般用来在外网探测或攻击内网服务。
SSRF漏洞一般位于远程图片加载与下载、图片或文章收藏功能、URL分享、通过URL在线翻译、转码等功能点处。
利用：
1）CURL支持协议
2）利用file协议读取文件
3）利用dict协议查看端口开放
4）利用gopher协议反弹shell
防御：
1）限制协议为HTTP、HTTPS
2）不用限制302重定向
3）设置URL白名单或者限制内网IP
HttpURLConnection ，file_get_contents（）；等，漏洞函数不同？？

发表于 2019-04-13 17:46:33 回复(0)