ssrf-sheriff — Go로 작성된 간단한 SSRF 테스트용 보안관 | Kitploit

SSRF Sheriff

이것은 Go로 작성된 SSRF 테스트 셰리프입니다. 원래 Uber H1-4420 2019 London Live Hacking Event를 위해 만들어졌지만, 현재는 다른 조직들이 구현하고 기여할 수 있도록 오픈소스로 공개되었습니다.

기능

모든 HTTP 메서드(GET, POST, PUT, DELETE 등)에 응답
구성 가능한 비밀 토큰 (base.example.yaml 참조)
콘텐츠별 응답
- 응답 본문에 비밀 토큰 포함
  - JSON
  - XML
  - HTML
  - CSV
  - TXT
  - PNG
  - JPEG
- 응답 본문에 토큰 없음
  - GIF
  - MP3
  - MP4

사용법

go get github.com/teknogeek/ssrf-sheriff
cd $GOPATH/src/github.com/teknogeek/ssrf-sheriff
cp config/base.example.yaml config/base.yaml

# ... configure ...

go run main.go

요청 예시:

일반 텍스트

$ curl -sSD- http://127.0.0.1:8000/foobar
HTTP/1.1 200 OK
Content-Type: text/plain
X-Secret-Token: SUP3R_S3cret_1337_K3y
Date: Mon, 14 Oct 2019 16:37:36 GMT
Content-Length: 21

SUP3R_S3cret_1337_K3y

XML

$ curl -sSD- http://127.0.0.1:8000/foobar.xml
HTTP/1.1 200 OK
Content-Type: application/xml
X-Secret-Token: SUP3R_S3cret_1337_K3y
Date: Mon, 14 Oct 2019 16:37:41 GMT
Content-Length: 81

<SerializableResponse><token>SUP3R_S3cret_1337_K3y</token></SerializableResponse>

할 일

비밀 토큰이 표시된 유효한 응답을 동적으로 생성 (다음 형식에 대해)
- GIF
- MP3
- MP4
모든 요청에 대해 단일 비밀을 반환하는 대신, 요청별로 HTTP 응답 내 비밀을 생성/생성/서명
TLS 지원

크레딧

Frans Rosén의 BountyCon '19 싱가포르 발표에서 영감을 받았습니다(및 요청됨).

MIT 라이선스에 따라 배포됩니다.

도구 다운로드