PHP开发中防御SSRF

参考phith0n的谈一谈如何在Python开发中拒绝SSRF漏洞，用PHP写一个检测是否是内网URL的函数。

需要注意的是，我写的这个检测URL的函数并没有考虑到客户端允许重定向跟踪的情况。如果允许重定向跟踪则需要检查每个30x响应包的location字段。

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
<?php
/*
*  判断是否合法的URL，合法则返回true；
*  格式不是http/https协议，或是内网IP，则视为不合法
*
*  注意：判断是否是内网url的时候并没有检测30X跳转的location响应头部，
*  使用此方法时，要求curl或其他工具设置不允许重定向跟踪
*
*  @author Ovie
*  @param string $url
*  @return bool
*/
function is_allowed_URL($url){
    //可用来防止HTTP头注入
  	if (!$url || !filter_var($url, FILTER_VALIDATE_URL, FILTER_FLAG_PATH_REQUIRED & FILTER_FLAG_HOST_REQUIRED & FILTER_FLAG_QUERY_REQUIRED)){
  		return false;
	}
  
  	//仅允许http或https协议
	if(!preg_match('/^https?:\/\/.*$/', $url)){
		return false;
	}
	
	$host = parse_url($url, PHP_URL_HOST);
	if(!$host){
		return false;
	}
	
	$ip = gethostbyname($host);
	$ip = ip2long($ip);
	if($ip === false){
		return false;
	}
	
	$is_inner_ipaddress = ip2long('127.0.0.0') >> 24 == $ip >> 24 or 
		ip2long('10.0.0.0') >> 24 == $ip >> 24 or 
		ip2long('172.16.0.0') >> 20 == $ip >> 20 or 
		ip2long('192.168.0.0') >> 16 == $ip >> 16 ;
	if($is_inner_ipaddress){
		return false;
	}
	
	return true;
}

if(isset($_GET['url'])){
	$url = $_GET['url'];
	var_dump(is_allowed_URL($url));
}
?>

说下上面的用到的两个PHP函数:parse_url()和gethostbyname()。

  1. PHP解析URL的host：

    parse_url()函数不是用来验证给定 URL 的合法性的，只是将其分解为几部分。不完整的 URL 也被接受，parse_url()会尝试尽量正确地将其解析。

    参考：http://php.net/manual/zh/function.parse-url.php

  2. PHP解析URL的IP：

    gethostbyname($hostname)函数会返回IPv4地址，解析失败的话就会返回没被修改过的$hostname。

    参考：http://php.net/manual/zh/function.gethostbyname.php

（以下内容于2021年1月25日添加）

之前的代码早有绕过方式，且有个大的错误，就是在给$is_inner_ipaddress变量赋值的时候用了or，而不是||，导致192.168.0.1这些内网ip其实是没被检测到的，原因是or的优先级比赋值符=的小，||的优先级才比=的大（参考：https://stackoverflow.com/questions/5998309/logical-operators-or-or/5998330#5998330）。

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84
85
86
87
88
89
90
91
92
93
94
95
96
97
98
99
100
101
102
103
<?php
/*
*  判断是否合法的URL，合法则返回true
*  不合法的情况：
*  1. 包含非ASCII码字符
*  2. 不是http或https协议
*  3. ipv6地址（不支持ipv6地址，将判断为不合法）
*  4. URL的user、pass、host，fragment段包含@、\或其它字符
*  5. 请求地址为内网IP：192.168.0.0/16，10.0.0.0/8，172.16.0.0/12，127.0.0.1/8
*  6. 请求地址为169.254.169.254，100.100.100.200，192.0.0.192这几个常见云主机metadata地址ip
*
*
*  注意，该方法未考虑到：
*  1. 30X跳转的location响应头部是否为合法URL
*  2. DNS Rebinding攻击
*
*  @author Ovie
*  @param string $url
*  @return bool
*/
function is_allowed_URL($url)
{
    // Only allow ASCII URL (so will forbid CRLF and other Unicode char)
    if (!$url || !filter_var($url, FILTER_VALIDATE_URL, FILTER_FLAG_PATH_REQUIRED & FILTER_FLAG_HOST_REQUIRED & FILTER_FLAG_QUERY_REQUIRED)) {
        return false;
    }

    // Only allow http and https scheme
    if (!preg_match('/^https?:\/\/.*$/', $url)) {
        return false;
    }

    $parts = parse_url($url);
    foreach (array("user", "pass", "host", "fragment") as $key) {
        if (isset($parts[$key]) && preg_match("~[:/?#\\\\@]~", $parts[$key])) {
            return false;
        }
    }

    // gethostbyname do not support ipv6
    $ip = gethostbyname($parts['host']);
    $ip = ip2long($ip);
    if ($ip === false) {
        return false;
    }


    $is_inner_ipaddress = ip2long('127.0.0.0') >> 24 == $ip >> 24 ||
    ip2long('10.0.0.0') >> 24 == $ip >> 24 ||
    ip2long('172.16.0.0') >> 20 == $ip >> 20 ||
    ip2long('192.168.0.0') >> 16 == $ip >> 16 ||
    $ip == 0 ||
    ip2long('169.254.169.254') == $ip ||
    ip2long('192.0.0.192') == $ip ||
    ip2long('100.100.100.200') == $ip;
    if ($is_inner_ipaddress) {
        return false;
    }

    return true;
}

/*
if(isset($_GET['url'])){
	$url = $_GET['url'];
	var_dump(is_allowed_URL($url));
}
*/

function test($url)
{
    $res = is_allowed_URL($url);
    echo $url . " : " . ($res ? $res : "false") . "\n";
}



test("https://127.0.0.1:8080/ppppp");
test("https://169.254.169.254:8080/ppppp");
test("https://192.0.0.192:8080/ppppp");
test("https://100.100.100.200:8080/ppppp");
test("https://127.0.0.1:8080\@baidu.com/ppppp");
test("https://baidu.com#@127.0.0.1:8080/ppppp");
test("https://127.1:8080/ppppp");
test("https://127.0.0.1.:8080/ppppp");
test("https://2130706433:8080/ppppp");
test("https://0:8080/ppppp");
test("https://[::]:8080/ppppp");
test("https://localhost:8080/ppppp");
test("https://0:0:0:0:0:ffff:127.0.0.1:8080/ppppp");
test("https://127.0000.000000.000001:8080/ppppp");
test("https://127.0.0.1:8080#@baidu.com/ppppp");
test("http://[::1]/");
test("https://0.0.0.0:8080/ppppp");
test("https://127.2.0.2:8080/ppppp");
test("https://0x7f.0x0.0x0.0x1:8080/ppppp");
test("https://baidu.com.127.0.0.1.nip.io:8080/ppppp");
test("https://baidu.com@127.0.0.1:8080@baidu.com/ppppp");
test("https://127.0.0.1:8080\.baidu.com/ppppp");
test("https://127.0.0.1:8080:443/ppppp");


?>

在php 7.2下运行的结果：

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
https://127.0.0.1:8080/ppppp : false
https://169.254.169.254:8080/ppppp : false
https://192.0.0.192:8080/ppppp : false
https://100.100.100.200:8080/ppppp : false
https://127.0.0.1:8080\@baidu.com/ppppp : false
https://baidu.com#@127.0.0.1:8080/ppppp : false
https://127.1:8080/ppppp : false
https://127.0.0.1.:8080/ppppp : false
https://2130706433:8080/ppppp : false
https://0:8080/ppppp : false
https://[::]:8080/ppppp : false
https://localhost:8080/ppppp : false
https://0:0:0:0:0:ffff:127.0.0.1:8080/ppppp : false
https://127.0000.000000.000001:8080/ppppp : false
https://127.0.0.1:8080#@baidu.com/ppppp : false
http://[::1]/ : false
https://0.0.0.0:8080/ppppp : false
https://127.2.0.2:8080/ppppp : false
https://0x7f.0x0.0x0.0x1:8080/ppppp : false
https://baidu.com.127.0.0.1.nip.io:8080/ppppp : false
https://baidu.com@127.0.0.1:8080@baidu.com/ppppp : false
https://127.0.0.1:8080\.baidu.com/ppppp : false
https://127.0.0.1:8080:443/ppppp : false

这份验证代码有些繁琐，不同场景下可能需要做点调整。如有什么问题，请指出~

Web安全 PHP

本博客所有文章除特别声明外，均采用 CC BY-SA 4.0 协议 ，转载请注明出处！