Jira-Scan

تم الاختبار فقط باستخدام Python 3

قدّم قائمة بالمواقع لاختبارها بدون http أو https، وسيقوم هذا باختبار كل واحد منها بحثًا عن ثغرة SSRF.

استخدم VPS من DO

CVE-2017-9506

يسمح IconUriServlet من مكوّن Atlassian OAuth Plugin، من الإصدار 1.3.0 حتى ما قبل الإصدار 1.9.12 ومن الإصدار 2.0.0 حتى ما قبل الإصدار 2.0.4، للمهاجمين عن بُعد بالوصول إلى محتوى موارد الشبكة الداخلية و/أو تنفيذ هجوم XSS عبر ثغرة تزوير الطلبات من جانب الخادم (SSRF).

وفقًا لـ Atlassian Jira، الإصدارات التالية معرّضة للخطر:

• Jira < 7.3.5

نظرة عامة على SSRF

في هجوم تزوير الطلبات من جانب الخادم (SSRF)، يمكن للمهاجم إساءة استخدام وظيفة على الخادم لقراءة الموارد الداخلية أو تحديثها. يمكن للمهاجم توفير أو تعديل عنوان URL ليقرأه الكود الموجود على الخادم أو يرسل البيانات إليه، ومن خلال اختيار عناوين URL بعناية، قد يتمكن المهاجم من قراءة تكوين الخادم مثل بيانات AWS الوصفية، أو الاتصال بخدمات داخلية مثل قواعد البيانات المفعّلة عبر HTTP، أو تنفيذ طلبات POST نحو خدمات داخلية ليس من المقصود كشفها.

الوصف

قد يمتلك التطبيق المستهدف وظيفة لاستيراد البيانات من عنوان URL، أو نشر البيانات إلى عنوان URL، أو قراءة البيانات من عنوان URL يمكن العبث به. يعدّل المهاجم استدعاءات هذه الوظيفة عن طريق توفير عنوان URL مختلف تمامًا أو عن طريق التلاعب في طريقة إنشاء عناوين URL (اجتياز المسار وما إلى ذلك).

عندما يصل الطلب المعدَّل إلى الخادم، يلتقط الكود من جانب الخادم عنوان URL المعدَّل ويحاول قراءة البيانات من عنوان URL المعدَّل. من خلال اختيار عناوين URL المستهدفة، قد يتمكن المهاجم من قراءة البيانات من الخدمات غير المعرّضة مباشرة على الإنترنت:

بيانات وصفية لخادم السحابة - توفر الخدمات السحابية مثل AWS واجهة REST على http://169.254.169.254/latest/meta-data/ حيث يمكن استخراج إعدادات مهمة وأحيانًا حتى مفاتيح المصادقة.

واجهات HTTP لقواعد البيانات - توفر قواعد بيانات NoSQL مثل MongoDB واجهات REST على منافذ HTTP. Docker و Kubetnetes - إذا كانت المنافذ المحلية مكشوفة داخليًا، يمكن للمهاجم إنشاء / حذف pods والحاويات واستخراج أسرار أخرى.

إذا كان من المتوقع أن تكون قاعدة البيانات متاحة داخليًا فقط، فقد يتم تعطيل المصادقة ويمكن للمهاجم استخراج البيانات من واجهات REST الداخلية.

الملفات - قد يتمكن المهاجم من قراءة الملفات باستخدام عناوين URI بصيغة file://. قد يستخدم المهاجم أيضًا هذه الوظيفة لاستيراد بيانات غير موثوقة إلى كود يتوقع قراءة البيانات من مصادر موثوقة فقط، وبالتالي التحايل على التحقق من الإدخال.

حمولات SSRF ممتعة لتجربتها....

AWS - سيكشف دور IAM مفتاح AWS

http://169.254.169.254/latest/meta-data/

Alibaba

http://100.100.100.200/latest/meta-data/

Docker - سرد الحاويات

http://127.0.0.1:2375/v1.24/containers/json

Kubernetes ETCD - يمكن أن يحتوي على مفاتيح API وعناوين IP ومنافذ داخلية

http://127.0.0.1:2379/v2/keys/?recursive=true