CTFHUB--SSRF（中）--FastCGI协议\Redis协议 以及gopherus工具攻击

Fastcgi协议分析 && PHP-FPM未授权访问漏洞 && Exp编写 | 离别歌

CTFHub-FastCGI协议及其ssrf漏洞_ctfhub fastcgi-优快云博客

SSRF - ctfhub -2【FastCGI协议、Redis协议、URL Bypass、数字IP Bypass、302跳转 Bypass、DNS重绑定Bypass】_ctfhub fastcgi-优快云博客

FastCGI协议

FastCGI是CGI的一种替代方法。CGI是Web服务器与编程语言交互的一个标准，但是CGI每次都需要启动一个新的进程来处理请求，这样效率很低。FastCGI是一个常驻型的CGI，它在服务器启动的时候先启动一个应用程序池，然后由这个应用程序池来管理和调度应用程序的执行。

FastCGI的工作流程如下：

1. Web服务器启动时载入FastCGI进程管理器

2. FastCGI进程管理器初始化并等待从Web服务器发来的请求

3. 当客户端请求到达Web服务器时，FastCGI进程管理器启动一个或多个FastCGI进程，这个进程执行特定的应用程序，处理请求，并返回结果给Web服务器

4. FastCGI进程继续等待并处理来自Web服务器的请求，而不是结束

Fastcgi其实是一个通信协议，和HTTP协议一样的通信，都是进行数据交换的一个通道。只不过http协议是浏览器（即客户端）于服务器中间件的通信协议，而FastCGI协议是服务器中间件和某种语言编写的正在运行的后端程序间的通信协议。这张图能很清楚的表达

HTTP协议是浏览器和服务器中间件进行数据交换的协议，浏览器将HTTP头和HTTP体用某个规则组装成数据包，以TCP的方式发送到服务器中间件，服务器中间件按照规则将数据包解码，并按要求拿到用户需要的数据，再以HTTP协议的规则打包返回给服务器。

而fastcgi协议则是服务器中间件和某个语言后端进行数据交换的协议。Fastcgi协议由多个record组成，record也有header和body一说，服务器中间件将这二者按照fastcgi的规则封装好发送给语言后端，语言后端解码以后拿到具体数据，进行指定操作，并将结果再按照该协议封装好后返回给服务器中间件。

漏洞原理：

PHP-FPM默认监听9000端口，如果这个端口暴露在公网，则我们可以自己构造fastcgi协议，和fpm进行通信。本来我们可以执行任意文件，但是在FPM某个版本之后，增加了security.limit_extensions选项，限定了只有某些后缀的文件允许被fpm执行，默认是.php，所以现在要使用这个漏洞，我们得先知道服务器上的一个php文件，假设我们爆破不出来目标环境的web目录，我们可以找找默认源安装后可能存在的php文件，比如/usr/local/lib/php/PEAR.php。

​ 现在我们已经有可以执行代码的思路了，但是仅仅这样我们只能执行服务器上已有的代码，不能任意执行，所以我们还得想办法上传自己的代码，PHP.INI中有两个有趣的配置项，auto_prepend_file和auto_append_file。

auto_prepend_file是告诉PHP，在执行目标文件之前，先包含auto_prepend_file中指定的文件；auto_append_file是告诉PHP，在执行完成目标文件后，包含auto_append_file指向的文件。

​ 假设我们设置auto_prepend_file为php://input，那么就等于在执行任何php文件前都要包含一遍POST的内容。所以，我们只需要把待执行的代码放在Body中，他们就能被执行了。（当然，还需要开启远程文件包含选项allow_url_include）。设置auto_prepend_file的值又涉及到PHP-FPM的两个环境变量，PHP_VALUE和PHP_ADMIN_VALUE。这两个环境变量就是用来设置PHP配置项的，PHP_VALUE可以设置模式为PHP_INI_USER和PHP_INI_ALL的选项，PHP_ADMIN_VALUE可以设置所有选项。（disable_functions除外，这个选项是PHP加载的时候就确定了，在范围内的函数直接不会被加载到PHP上下文中），所以我们在传入环境变量是加入

'PHP_VALUE': 'auto_prepend_file = php://input',
'PHP_ADMIN_VALUE': 'allow_url_include &