SSRF aveugle exploité via Shellshock
Blind SSRF with Shellshock exploitation
Ce site utilise un module d’analyse qui récupère l’URL fournie dans l’entête Referer chaque fois qu’une page produit est consultée. Pour résoudre le lab, il faut détourner cette fonctionnalité afin d’effectuer une SSRF aveugle vers un serveur interne situé dans la plage 192.168.0.X sur le port 8080. Lors de l’attaque aveugle, on doit injecter un payload Shellshock pour exfiltrer le nom de l’utilisateur du système.
Observation initiale
Lorsqu’on visite une page produit, le site envoie bien une requête basée sur l’en-tête Referer :
Cela confirme que l’application contacte automatiquement l’URL fournie dans ce header.
Exploitation via SSRF aveugle
L’objectif est de forcer l’application à contacter un hôte interne :
Comme le service interne est vulnérable à Shellshock, on injecte un payload dans l’en-tête User-Agent, qui sera interprété par le serveur ciblé.
Le payload exécute une commande permettant d’exfiltrer le résultat de whoami via une requête DNS envoyée à Burp Collaborator :
Résultat
Une requête DNS apparaît côté Collaborator, contenant le nom de l’utilisateur système. Dans ce cas, l’utilisateur renvoyé est :
Mis à jour
Ce contenu vous a-t-il été utile ?