【网络安全 | 漏洞挖掘】利用 Gopher 实现雅虎邮件 Blind SSRF 升级至 RCE远程命令执行

ssrf常与URL挂钩，通过 gopher 协议可扩大漏洞危害，实现远程RCE等。

当仅关注单一Web程序时，一种常用的方法是使用工具如GAU、Ffuf等获取信息或渗透测试。

而 mail.yahoo.com 适用于第二种情况：开启Burp并不断访问功能点，最后分析请求包。

应厂商要求，本文不配图。

---

对 mail.yahoo.com 的请求包进行分析，存在一请求如下：

GET /xxx/logoGrabber?url=http://example.com
Host: mail.yahoo.com
...

其响应内容如下：

{"responseTime":"99999ms","grabbedUrl":"http://example.com","urlInfo":{"pageTitle":"Example Title","pageLogo":"pagelogourl"}}

可知该网站存在 SSRF 的可能，故开始验证。

构造请求包如下：

GET /xxx/logoGrabber?url=http://127.0.0.1/ice/ice.txt
Host: mail.yahoo.com
...

发现其能够出网进行交互，而不能访问雅虎内部的某一IP及本机127.0.0.1，可能 IP 被列入黑名单。

推测 SSRF攻击内部 IP 的概率仍然存在，故枚举子域名并进行类似的请求喷射，得到结果如下：