漏洞挖掘 | Selenium Grid 中的 SSRF

admin 2024年9月19日15:01:15评论7 views字数 1924阅读6分24秒阅读模式

 

Selenium 网格框架上的基本服务器端请求伪造

最近,我正在阅读漏洞文章看到Peter Jaric写的一篇 Selenium Grid 文章;他解释了 Selenium Grid 框架上缺乏身份验证和安全措施强化的问题。

在网上进行了更多搜索,我发现 Selenium Grid 开箱即用,不提供内置身份验证,并且具有加载脚本的功能,使服务器容易受到服务器端请求伪造攻击。

我决定了解有关 SSRF 攻击的更多信息,并将其应用于我在实验室中构建的 Selenium Grid 测试实例。像往常一样,在开始之前,我们将在深入研究利用部分之前先回顾一下关键概念。

$_什么是Selenium_Grid?

它是一个质量保证框架,用于跨不同环境自动执行 Web 应用程序 UI 和性能测试的客户端相关测试。它允许在不同的浏览器和操作系统上运行测试,就像测试在不同的机器上运行一样。

Selenium 在测试和自动化领域的主要优势是能够在大量时间内跨多个节点(机器)执行大量测试用例。

该框架有两个主要组件:中心和节点。根据需要可以启动多个节点。

集线器是所有其他机器(节点)订阅的主服务器。节点接收运行 selenium 会话和执行自动化测试所需的所有配置。

漏洞挖掘 | Selenium Grid 中的 SSRFimg

🔥$_SSRF:

当攻击者可以代表受影响的易受攻击的服务器发起请求时,就会发生 SSRF。该攻击允许访问内部或外部资源,这些资源可能不会公开或可供除服务器之外的任何用户使用。

该攻击滥用服务器的信任来检索敏感信息,例如:

•网络相关信息,即开放端口和正在运行的服务
•枚举目录并查看其内容
•服务器上的用户列表
•操作系统信息
此外,受攻击的机器可以用作网络上其他机器的枢纽点。
根据应用程序的要求,有多种协议/方案可用于执行 SSRF 攻击。最常见的是:http、ftp 和 file。
漏洞挖掘 | Selenium Grid 中的 SSRF

img

$_Attack_Dynamics:

该攻击可概括为 3 个主要步骤:
步骤#1攻击者通过 SSRF 漏洞向受影响的服务器发送请求。
步骤#2服务器收到请求并对自身(内部)或外部资源进行第二次调用以获取请求的内容。
步骤#3一旦响应返回到服务器,它就会将其转发回攻击者。
漏洞挖掘 | Selenium Grid 中的 SSRF

img

😈$_Exploitation_Time:

现在我们了解了该漏洞及其影响,让我们回到 Selenium Grid 实例并将我们所学到的知识应用到测试节点上。
📝只有节点容易受到 SSRF 攻击;集线器不受影响。
通过 Web 开发人员工具或 Burp Suite 代理检查应用程序是否存在 SSRF 时,您会发现请求被发送到纯 URL。直接 URL的暴露被认为是我们在执行 SSRF 攻击时可以利用的漏洞。
我们可以将找到的 URL 替换为 localhost(127.0.0.1) 地址或外部资源,以强制服务器代表我们(攻击者)发送请求以获取所需的数据。
让我们对正在运行的节点执行此操作...
单击“创建会话”创建一个新会话,选择要启动的浏览器类型,然后单击“确定”。
如下所示,我有 3 个 Chrome 会话可供测试。
漏洞挖掘 | Selenium Grid 中的 SSRF

img
正如我们在文章开头提到的,Selenium 内置了从直接 URL 加载脚本的功能 — WebDrive JS Script 。该框架希望用户加载无需身份验证即可与服务器通信的 JavaScript 代码。 (这使得服务器容易受到 SSRF 攻击)。
为了证明这一点,我单击“加载脚本”并输入“http://www.google.com”,然后单击“发送”。 POST 请求已处理完毕并获得 200 OK 响应。
漏洞挖掘 | Selenium Grid 中的 SSRF

img
我点击了“截屏”,我看到服务器处理了我的请求并向 Google 网站发出了外部请求。
漏洞挖掘 | Selenium Grid 中的 SSRF

img
然后,我开始使用其他 URL 方案进行测试,看看是否可以检索内部信息。除了http:// 之外,唯一适用于 Selenium 的是 file://
漏洞挖掘 | Selenium Grid 中的 SSRF

img
📝注意:使用额外的斜杠来转义正向双斜杠
我能够列出服务器上C盘的目录并获取一些文件的内容.ie主机文件,服务,网络和system.ini
漏洞挖掘 | Selenium Grid 中的 SSRF

img
漏洞挖掘 | Selenium Grid 中的 SSRF

img
正如我们在上面看到的,我能够滥用加载脚本功能将请求发送到服务器并将结果返回给我。我发现这个漏洞对于侦察目的和横向移动的渗透测试非常方便。

⚡️ $_预防

Selenium 上应该有一个过滤或白名单 URL schemas:// 的安全机制,以保护服务器防止暴露内部/外部信息的请求。
这就是本文的全部内容。感谢您的阅读!
以上内容由白帽子左一翻译并整理。原文:https://medium.com/r3d-buck3t/abusing-ssrf-on-selenium-grid-1783bf503c15

声明:⽂中所涉及的技术、思路和⼯具仅供以安全为⽬的的学习交流使⽤,任何⼈不得将其⽤于⾮法⽤途以及盈利等⽬的,否则后果⾃⾏承担。

原文始发于微信公众号(白帽子左一):漏洞挖掘 | Selenium Grid 中的 SSRF

 

  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2024年9月19日15:01:15
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                   漏洞挖掘 | Selenium Grid 中的 SSRFhttps://cn-sec.com/archives/3179457.html

发表评论

匿名网友 填写信息