Замутим POC? SSRF уязвимость

Raskolnikov · 15.06.2019

Значит есть уязвимость форума phpbb в функции удалённой загрузки аватара, линк

Ссылка скрыта от гостей

Убил уже двое суток на поиск этой уязвимости, обойти фильтры получилось, но сделать url валидным не в какую не выходит

Вот так выглядит запрос, к уязвимого параметру "avatar_remote_url"

Код:

POST /phpbb325/ucp.php?i=ucp_profile&mode=avatar HTTP/1.1
Host: 192.168.0.103
User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64; rv:67.0) Gecko/20100101 Firefox/67.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8
Accept-Language: ru-RU,ru;q=0.8,en-US;q=0.5,en;q=0.3
Accept-Encoding: gzip, deflate
Referer: http://192.168.0.103/phpbb325/ucp.php?i=ucp_profile&mode=avatar
Content-Type: multipart/form-data; boundary=---------------------------20989167295118
Content-Length: 959
Connection: close
Cookie: phpbb3_sxncq_u=48; phpbb3_sxncq_k=; phpbb3_sxncq_sid=c8fb60903e535e3ccaadea1639daabc6; phpbb3_9s3yh_u=48; phpbb3_9s3yh_k=; phpbb3_9s3yh_sid=6cbf3ee2bed367e0e751536f64e87ccc
Upgrade-Insecure-Requests: 1

-----------------------------20989167295118
Content-Disposition: form-data; name="avatar_driver"

avatar_driver_remote
-----------------------------20989167295118
Content-Disposition: form-data; name="avatar_remote_url"

http://www.site.com/wordpress/wp-content/uploads/2017/10/AVATAR-HOMME-1.jpg
-----------------------------20989167295118
Content-Disposition: form-data; name="avatar_remote_width"

250
-----------------------------20989167295118
Content-Disposition: form-data; name="avatar_remote_height"

300
-----------------------------20989167295118
Content-Disposition: form-data; name="submit"

ÐÑÐ¿ÑÐ°Ð²Ð¸ÑÑ
-----------------------------20989167295118
Content-Disposition: form-data; name="creation_time"

1560591204
-----------------------------20989167295118
Content-Disposition: form-data; name="form_token"

f334617ac929de30cbb44da9e04a540af8871739
-----------------------------20989167295118--

Вот так выглядит файл, который занимается обработкой url

PHP:

<?php
/**
*
* This file is part of the phpBB Forum Software package.
*
* @copyright (c) phpBB Limited <https://www.phpbb.com>
* @license GNU General Public License, version 2 (GPL-2.0)
*
* For full copyright and license information, please see
* the docs/CREDITS.txt file.
*
*/

namespace phpbb\avatar\driver;

/**
* Handles avatars hosted remotely
*/
class remote extends \phpbb\avatar\driver\driver
{
    /**
    * {@inheritdoc}
    */
    public function get_data($row)
    {
        return array(
            'src' => $row['avatar'],
            'width' => $row['avatar_width'],
            'height' => $row['avatar_height'],
        );
    }

    /**
    * {@inheritdoc}
    */
    public function prepare_form($request, $template, $user, $row, &$error)
    {
        $template->assign_vars(array(
            'AVATAR_REMOTE_WIDTH' => ((in_array($row['avatar_type'], array(AVATAR_REMOTE, $this->get_name(), 'remote'))) && $row['avatar_width']) ? $row['avatar_width'] : $request->variable('avatar_remote_width', ''),
            'AVATAR_REMOTE_HEIGHT' => ((in_array($row['avatar_type'], array(AVATAR_REMOTE, $this->get_name(), 'remote'))) && $row['avatar_height']) ? $row['avatar_height'] : $request->variable('avatar_remote_width', ''),
            'AVATAR_REMOTE_URL' => ((in_array($row['avatar_type'], array(AVATAR_REMOTE, $this->get_name(), 'remote'))) && $row['avatar']) ? $row['avatar'] : '',
        ));

        return true;
    }

    /**
    * {@inheritdoc}
    */
    public function process_form($request, $template, $user, $row, &$error)
    {
        $url = $request->variable('avatar_remote_url', '');
        $width = $request->variable('avatar_remote_width', 0);
        $height = $request->variable('avatar_remote_height', 0);

        if (empty($url))
        {
            return false;
        }

        if (!preg_match('#^(http|https|ftp)://#i', $url))
        {
            $url = 'http://' . $url;
        }

        if (!function_exists('validate_data'))
        {
            require($this->phpbb_root_path . 'includes/functions_user.' . $this->php_ext);
        }

        $validate_array = validate_data(
            array(
                'url' => $url,
            ),
            array(
                'url' => array('string', true, 5, 255),
            )
        );

        $error = array_merge($error, $validate_array);

        if (!empty($error))
        {
            return false;
        }

        // Check if this url looks alright
        // Do not allow specifying the port (see RFC 3986) or IP addresses
        if (!preg_match('#^(http|https|ftp)://(?:(.*?\.)*?[a-z0-9\-]+?\.[a-z]{2,4}|(?:\d{1,3}\.){3,5}\d{1,3}):?([0-9]*?).*?\.('. implode('|', $this->allowed_extensions) . ')$#i', $url) ||
            preg_match('@^(http|https|ftp)://[^/:?#]+:[0-9]+[/:?#]@i', $url) ||
            preg_match('#^(http|https|ftp)://(?:(?:\d{1,2}|1\d\d|2[0-4]\d|25[0-5])\.){3}(?:\d{1,2}|1\d\d|2[0-4]\d|25[0-5])#i', $url) ||
            preg_match('#^(http|https|ftp)://(?:(?:(?:[\dA-F]{1,4}:){6}(?:[\dA-F]{1,4}:[\dA-F]{1,4}|(?:(?:\d{1,2}|1\d\d|2[0-4]\d|25[0-5])\.){3}(?:\d{1,2}|1\d\d|2[0-4]\d|25[0-5])))|(?:::(?:[\dA-F]{1,4}:){0,5}(?:[\dA-F]{1,4}(?::[\dA-F]{1,4})?|(?:(?:\d{1,2}|1\d\d|2[0-4]\d|25[0-5])\.){3}(?:\d{1,2}|1\d\d|2[0-4]\d|25[0-5])))|(?:(?:[\dA-F]{1,4}:):(?:[\dA-F]{1,4}:){4}(?:[\dA-F]{1,4}:[\dA-F]{1,4}|(?:(?:\d{1,2}|1\d\d|2[0-4]\d|25[0-5])\.){3}(?:\d{1,2}|1\d\d|2[0-4]\d|25[0-5])))|(?:(?:[\dA-F]{1,4}:){1,2}:(?:[\dA-F]{1,4}:){3}(?:[\dA-F]{1,4}:[\dA-F]{1,4}|(?:(?:\d{1,2}|1\d\d|2[0-4]\d|25[0-5])\.){3}(?:\d{1,2}|1\d\d|2[0-4]\d|25[0-5])))|(?:(?:[\dA-F]{1,4}:){1,3}:(?:[\dA-F]{1,4}:){2}(?:[\dA-F]{1,4}:[\dA-F]{1,4}|(?:(?:\d{1,2}|1\d\d|2[0-4]\d|25[0-5])\.){3}(?:\d{1,2}|1\d\d|2[0-4]\d|25[0-5])))|(?:(?:[\dA-F]{1,4}:){1,4}:(?:[\dA-F]{1,4}:)(?:[\dA-F]{1,4}:[\dA-F]{1,4}|(?:(?:\d{1,2}|1\d\d|2[0-4]\d|25[0-5])\.){3}(?:\d{1,2}|1\d\d|2[0-4]\d|25[0-5])))|(?:(?:[\dA-F]{1,4}:){1,5}:(?:[\dA-F]{1,4}:[\dA-F]{1,4}|(?:(?:\d{1,2}|1\d\d|2[0-4]\d|25[0-5])\.){3}(?:\d{1,2}|1\d\d|2[0-4]\d|25[0-5])))|(?:(?:[\dA-F]{1,4}:){1,6}:[\dA-F]{1,4})|(?:(?:[\dA-F]{1,4}:){1,7}:)|(?:::))#i', $url))
        {
            $error[] = 'AVATAR_URL_INVALID';
            return false;
        }

        // Get image dimensions
        if (($width <= 0 || $height <= 0) && (($image_data = $this->imagesize->getImageSize($url)) === false))
        {
            $error[] = 'UNABLE_GET_IMAGE_SIZE';
            return false;
        }

        if (!empty($image_data) && ($image_data['width'] <= 0 || $image_data['height'] <= 0))
        {
            $error[] = 'AVATAR_NO_SIZE';
            return false;
        }

        $width = ($width && $height) ? $width : $image_data['width'];
        $height = ($width && $height) ? $height : $image_data['height'];

        if ($width <= 0 || $height <= 0)
        {
            $error[] = 'AVATAR_NO_SIZE';
            return false;
        }

        $types = \phpbb\files\upload::image_types();
        $extension = strtolower(\phpbb\files\filespec::get_extension($url));

        // Check if this is actually an image
        if ($file_stream = @fopen($url, 'r'))
        {
            // Timeout after 1 second
            stream_set_timeout($file_stream, 1);
            // read some data to ensure headers are present
            fread($file_stream, 1024);
            $meta = stream_get_meta_data($file_stream);

            if (isset($meta['wrapper_data']['headers']) && is_array($meta['wrapper_data']['headers']))
            {
                $headers = $meta['wrapper_data']['headers'];
            }
            else if (isset($meta['wrapper_data']) && is_array($meta['wrapper_data']))
            {
                $headers = $meta['wrapper_data'];
            }
            else
            {
                $headers = array();
            }

            foreach ($headers as $header)
            {
                $header = preg_split('/ /', $header, 2);
                if (strtr(strtolower(trim($header[0], ':')), '_', '-') === 'content-type')
                {
                    if (strpos($header[1], 'image/') !== 0)
                    {
                        $error[] = 'AVATAR_URL_INVALID';
                        fclose($file_stream);
                        return false;
                    }
                    else
                    {
                        fclose($file_stream);
                        break;
                    }
                }
            }
        }
        else
        {
            $error[] = 'AVATAR_URL_INVALID';
            return false;
        }

        if (!empty($image_data) && (!isset($types[$image_data['type']]) || !in_array($extension, $types[$image_data['type']])))
        {
            if (!isset($types[$image_data['type']]))
            {
                $error[] = 'UNABLE_GET_IMAGE_SIZE';
            }
            else
            {
                $error[] = array('IMAGE_FILETYPE_MISMATCH', $types[$image_data['type']][0], $extension);
            }

            return false;
        }

        if ($this->config['avatar_max_width'] || $this->config['avatar_max_height'])
        {
            if ($width > $this->config['avatar_max_width'] || $height > $this->config['avatar_max_height'])
            {
                $error[] = array('AVATAR_WRONG_SIZE', $this->config['avatar_min_width'], $this->config['avatar_min_height'], $this->config['avatar_max_width'], $this->config['avatar_max_height'], $width, $height);
                return false;
            }
        }

        if ($this->config['avatar_min_width'] || $this->config['avatar_min_height'])
        {
            if ($width < $this->config['avatar_min_width'] || $height < $this->config['avatar_min_height'])
            {
                $error[] = array('AVATAR_WRONG_SIZE', $this->config['avatar_min_width'], $this->config['avatar_min_height'], $this->config['avatar_max_width'], $this->config['avatar_max_height'], $width, $height);
                return false;
            }
        }

        return array(
            'avatar' => $url,
            'avatar_width' => $width,
            'avatar_height' => $height,
        );
    }

    /**
    * {@inheritdoc}
    */
    public function get_template_name()
    {
        return 'ucp_avatar_options_remote.html';
    }
}

Как видим, сначала url проверяется на соответствие регуляркам, затем попадает в функцию fopen() и fread()

Что удалось обнаружить мною:

Ссылка скрыта от гостей

- проходит
https://foo@127.0.0.1:22@site.com/upload/image.png - проходит
Но вот в таком виде url не валидный

Ещё пропускает символы: '$', '[ ]', '{ }'

Так же разрешён враппер ftp
Может можно как-то через него сделать ссылку валидной?

Прошу помощи, очень интересно взглянуть на poc или буду рад любой подсказке/наводке

c0mb0 · 15.06.2019

Эксплойта разве нет? и что это даст, я так понимаю в идеале эта тема позволит сканировать сервисы и порты сервера\сайта, или что-то более?

Raskolnikov · 15.06.2019

c0mb0 сказал(а):
Эксплойта разве нет? и что это даст, я так понимаю в идеале эта тема позволит сканировать сервисы и порты сервера\сайта, или что-то более?

Был бы эксп, не спрашивал бы. Помимо сканера портов, можно читать файлы, в некоторых случая можно добиться rce

Raskolnikov · 16.06.2019

Неужели здесь никто с SSRF не дружит?

Все сервисы Codeby

Поиск

Поиск

Замутим POC? SSRF уязвимость

Raskolnikov

c0mb0

Raskolnikov

Raskolnikov