基于 Host 头的 SSRF 与任意文件写入漏洞分析与防御<\/h1>

1. 漏洞背景<\/h2>

本案例源于一次内网攻防演练，攻击者在办公网发现一套名为 E‑Assets Manager<\/strong> 的“CDN 节点资源同步系统”测试环境。该系统由开发人员在本地搭建，存在未完善的漏洞点，最终导致 SSRF（服务端请求伪造）<\/strong> 与 任意文件写入<\/strong> 组合漏洞。<\/p>

2. 漏洞环境与功能逻辑<\/h2>
2.1 系统功能<\/h3>

系统提供“节点资源同步”功能，设计初衷是将远程节点的静态资源同步到本地。<\/li>
当前为 Demo 版本，仅支持将本机节点资源同步到本地。<\/li> <\/ul>
2.2 请求流程<\/h3>

用户通过 file<\/code> 参数提交资源 URL。<\/li>
服务端拼接 HOST<\/code> 头与 file<\/code> 参数形成完整 URL，发起远程请求。<\/li>
资源存在时，内容被保存至 \/downloaded_files\/<\/code> 目录，且可通过 Web 直接访问。<\/li> <\/ol> 3. 漏洞复现与分析<\/h2> 3.1 SSRF 漏洞成因<\/h3> 漏洞点<\/strong>：服务端使用 request.getServerName()<\/code> 获取 Host 值，而该方法直接取自客户端请求的 Host<\/code> 头。<\/li> 攻击手法<\/strong>：正常请求中，Host<\/code> 头为内网地址（如 192.168.1.100<\/code>）。<\/li> 攻击者篡改 Host<\/code> 头为可控外网服务器地址（如 evil.com<\/code>），系统会向 http:\/\/evil.com\/path\/to\/file.jsp<\/code> 发起请求。<\/li> <\/ul> <\/li> 关键代码<\/strong>： String targetUrl =<\/span> "http:\/\/"<\/span> +<\/span> request.<\/span>getServerName<\/span>()<\/span> +<\/span> "\/"<\/span> +<\/span> fileParam;<\/span> <\/span><\/span><\/code><\/pre><\/li> <\/ul> 3.2 任意文件写入与 RCE<\/h3> 漏洞点<\/strong>：saveUrl()<\/code> 函数将远程响应内容直接写入磁盘，未对路径、文件名或扩展名做限制。<\/li> 攻击效果<\/strong>：攻击者托管恶意 JSP 文件在外部服务器。<\/li> 通过 SSRF 触发下载，文件落地至 Web 目录（如 \/downloaded_files\/shell.jsp<\/code>）。<\/li> 直接访问 Web 路径即可执行恶意代码，实现 RCE。<\/li> <\/ul> <\/li> <\/ul> 4. 漏洞链总结<\/h2> 步骤<\/th> 漏洞类型<\/th> 利用条件<\/th> 结果<\/th> <\/tr> <\/thead> 1<\/td> Host 头篡改<\/td> 服务端信任 request.getServerName()<\/code><\/td> SSRF<\/td> <\/tr> 2<\/td> 任意文件写入<\/td> 写入路径可控、文件内容未过滤<\/td> Webshell 落地<\/td> <\/tr> 3<\/td> 文件可被 Web 访问<\/td> 写入目录在 Web 根目录下<\/td> RCE<\/td> <\/tr> <\/tbody> <\/table> 5. 修复方案<\/h2> 5.1 短期修复<\/h3> 禁用动态 Host 解析<\/strong>：将回源地址固定为配置文件或数据库中的可信域名\/IP，避免从请求头获取。<\/li> 限制写入路径<\/strong>：确保文件仅能写入非 Web 访问的隔离目录。<\/li> 文件类型白名单<\/strong>：仅允许同步图片、CSS 等静态资源后缀。<\/li> <\/ol> 5.2 长期加固<\/h3> 使用网络隔离：测试环境禁止部署在办公网，避免内网横向渗透。<\/li> 代码审计：对文件下载、网络请求等高风险函数进行重点检查。<\/li> <\/ul> 6. 拓展思考<\/h2> 6.1 漏洞场景特性<\/h3> 此类漏洞常见于开发测试环境<\/strong>，因未严格实施安全规范而暴露风险。<\/li> 内网资产发现时，应优先扫描办公网中的非标准服务（如本地搭建的 Demo 系统）。<\/li> <\/ul> 6.2 技术要点<\/h3> request.getServerName()<\/code> 依赖 Host 头，不可用于业务逻辑中的目标地址判断。<\/li> 文件写入操作需遵循“最小权限原则”，禁止内容落地至可执行目录。<\/li> <\/ul> 7. 参考链接<\/h2> 原文地址：https:\/\/xz.aliyun.com\/t\/91292 （注：本文内容基于先知社区公开技术文章整理，仅用于教学目的。）<\/li> <\/ul>