参考phith0n的谈一谈如何在Python开发中拒绝SSRF漏洞，用PHP写一个检测是否是内网URL的函数。
需要注意的是，我写的这个检测URL的函数并没有考虑到客户端允许重定向跟踪的情况。如果允许重定向跟踪则需要检查每个30x响应包的location字段。
<?php
/*
* 判断是否合法的URL，合法则返回true；
* 格式不是http/https协议，或是内网IP，则视为不合法
*
* 注意：判断是否是内网url的时候并没有检测30X跳转的location响应头部，
* 使用此方法时，要求curl或其他工具设置不允许重定向跟踪
*
* @author Ovie
* @param string $url
* @return bool
*/
function is_allowed_URL($url){
//可用来防止HTTP头注入
if (!$url || !filter_var($url, FILTER_VALIDATE_URL, FILTER_FLAG_PATH_REQUIRED & FILTER_FLAG_HOST_REQUIRED & FILTER_FLAG_QUERY_REQUIRED)){
return false;
}
//仅允许http或https协议
if(!preg_match('/^https?:\/\/.*$/', $url)){
return false;
}
$host = parse_url($url, PHP_URL_HOST);
if(!$host){
return false;
}
$ip = gethostbyname($host);
$ip = ip2long($ip);
if($ip === false){
return false;
}
$is_inner_ipaddress = ip2long('127.0.0.0') >> 24 == $ip >> 24 or
ip2long('10.0.0.0') >> 24 == $ip >> 24 or
ip2long('172.16.0.0') >> 20 == $ip >> 20 or
ip2long('192.168.0.0') >> 16 == $ip >> 16 ;
if($is_inner_ipaddress){
return false;
}
return true;
}
if(isset($_GET['url'])){
$url = $_GET['url'];
var_dump(is_allowed_URL($url));
}
?>
说下上面的用到的两个PHP函数:parse_url()和gethostbyname()。
-
PHP解析URL的host：
parse_url()函数不是用来验证给定 URL 的合法性的，只是将其分解为几部分。不完整的 URL 也被接受，parse_url()会尝试尽量正确地将其解析。 -
PHP解析URL的IP：
gethostbyname($hostname)函数会返回IPv4地址，解析失败的话就会返回没被修改过的$hostname。
（以下内容于2021年1月25日添加）
之前的代码早有绕过方式，且有个大的错误，就是在给$is_inner_ipaddress变量赋值的时候用了or，而不是||，导致192.168.0.1这些内网ip其实是没被检测到的，原因是or的优先级比赋值符=的小，||的优先级才比=的大（参考：https://stackoverflow.com/questions/5998309/logical-operators-or-or/5998330#5998330）。
<?php
/*
* 判断是否合法的URL，合法则返回true
* 不合法的情况：
* 1. 包含非ASCII码字符
* 2. 不是http或https协议
* 3. ipv6地址（不支持ipv6地址，将判断为不合法）
* 4. URL的user、pass、host，fragment段包含@、\或其它字符
* 5. 请求地址为内网IP：192.168.0.0/16，10.0.0.0/8，172.16.0.0/12，127.0.0.1/8
* 6. 请求地址为169.254.169.254，100.100.100.200，192.0.0.192这几个常见云主机metadata地址ip
*
*
* 注意，该方法未考虑到：
* 1. 30X跳转的location响应头部是否为合法URL
* 2. DNS Rebinding攻击
*
* @author Ovie
* @param string $url
* @return bool
*/
function is_allowed_URL($url)
{
// Only allow ASCII URL (so will forbid CRLF and other Unicode char)
if (!$url || !filter_var($url, FILTER_VALIDATE_URL, FILTER_FLAG_PATH_REQUIRED & FILTER_FLAG_HOST_REQUIRED & FILTER_FLAG_QUERY_REQUIRED)) {
return false;
}
// Only allow http and https scheme
if (!preg_match('/^https?:\/\/.*$/', $url)) {
return false;
}
$parts = parse_url($url);
foreach (array("user", "pass", "host", "fragment") as $key) {
if (isset($parts[$key]) && preg_match("~[:/?#\\\\@]~", $parts[$key])) {
return false;
}
}
// gethostbyname do not support ipv6
$ip = gethostbyname($parts['host']);
$ip = ip2long($ip);
if ($ip === false) {
return false;
}
$is_inner_ipaddress = ip2long('127.0.0.0') >> 24 == $ip >> 24 ||
ip2long('10.0.0.0') >> 24 == $ip >> 24 ||
ip2long('172.16.0.0') >> 20 == $ip >> 20 ||
ip2long('192.168.0.0') >> 16 == $ip >> 16 ||
$ip == 0 ||
ip2long('169.254.169.254') == $ip ||
ip2long('192.0.0.192') == $ip ||
ip2long('100.100.100.200') == $ip;
if ($is_inner_ipaddress) {
return false;
}
return true;
}
/*
if(isset($_GET['url'])){
$url = $_GET['url'];
var_dump(is_allowed_URL($url));
}
*/
function test($url)
{
$res = is_allowed_URL($url);
echo $url . " : " . ($res ? $res : "false") . "\n";
}
test("https://127.0.0.1:8080/ppppp");
test("https://169.254.169.254:8080/ppppp");
test("https://192.0.0.192:8080/ppppp");
test("https://100.100.100.200:8080/ppppp");
test("https://127.0.0.1:8080\@baidu.com/ppppp");
test("https://baidu.com#@127.0.0.1:8080/ppppp");
test("https://127.1:8080/ppppp");
test("https://127.0.0.1.:8080/ppppp");
test("https://2130706433:8080/ppppp");
test("https://0:8080/ppppp");
test("https://[::]:8080/ppppp");
test("https://localhost:8080/ppppp");
test("https://0:0:0:0:0:ffff:127.0.0.1:8080/ppppp");
test("https://127.0000.000000.000001:8080/ppppp");
test("https://127.0.0.1:8080#@baidu.com/ppppp");
test("http://[::1]/");
test("https://0.0.0.0:8080/ppppp");
test("https://127.2.0.2:8080/ppppp");
test("https://0x7f.0x0.0x0.0x1:8080/ppppp");
test("https://baidu.com.127.0.0.1.nip.io:8080/ppppp");
test("https://baidu.com@127.0.0.1:8080@baidu.com/ppppp");
test("https://127.0.0.1:8080\.baidu.com/ppppp");
test("https://127.0.0.1:8080:443/ppppp");
?>
在php 7.2下运行的结果：
https://127.0.0.1:8080/ppppp : false
https://169.254.169.254:8080/ppppp : false
https://192.0.0.192:8080/ppppp : false
https://100.100.100.200:8080/ppppp : false
https://127.0.0.1:8080\@baidu.com/ppppp : false
https://baidu.com#@127.0.0.1:8080/ppppp : false
https://127.1:8080/ppppp : false
https://127.0.0.1.:8080/ppppp : false
https://2130706433:8080/ppppp : false
https://0:8080/ppppp : false
https://[::]:8080/ppppp : false
https://localhost:8080/ppppp : false
https://0:0:0:0:0:ffff:127.0.0.1:8080/ppppp : false
https://127.0000.000000.000001:8080/ppppp : false
https://127.0.0.1:8080#@baidu.com/ppppp : false
http://[::1]/ : false
https://0.0.0.0:8080/ppppp : false
https://127.2.0.2:8080/ppppp : false
https://0x7f.0x0.0x0.0x1:8080/ppppp : false
https://baidu.com.127.0.0.1.nip.io:8080/ppppp : false
https://baidu.com@127.0.0.1:8080@baidu.com/ppppp : false
https://127.0.0.1:8080\.baidu.com/ppppp : false
https://127.0.0.1:8080:443/ppppp : false
这份验证代码有些繁琐，不同场景下可能需要做点调整。如有什么问题，请指出~
