记录黑客技术中优秀的内容, 传播黑客文化,分享黑客技术精华

通过搜狗某搜索功能扫描搜狗内网及修复

2013-12-13 15:30
搜狗图片搜索功能未对图片url进行有效控制,导致可以利用其访问搜狗内网。
 
搜狗搜索图片功能,会根据url去访问相应服务器上的图片:
但是这个功能没有对访问的url地址进行有效控制,如果提交类似下面这样的url,就可以让应用去访问搜狗内部web服务器,攻击者可以利用其扫描搜狗内部服务器情况。
 
http://192.168.1.1/images/1.gif
 
如果能访问到服务器,提交url:http://pic.sogou.com/ris?query=http%3A%2F%2Fwww.sogou.com%2F
 
如果服务器无法访问,则显示超时,提交url:http://pic.sogou.com/ris?query=http%3A%2F%2F192.168.1.1
 
这样写一个程序遍历192.168.1.1-192.168.254.254整个ip段:
 
返回200的说明是可以成功访问到的:
 

测试一下:
 
访问http://pic.sogou.com/ris?query=http%3A%2F%2F192.168.1.2%2Fimages%2Flogo_l.gif
 
会返回504
 
访问:http://pic.sogou.com/ris?query=http%3A%2F%2F192.168.1.7%2Fimages%2Flogo_l.gif
 
会返回200
修复方案:
进行访问控制吧,防止内部资源被访问
知识来源: www.2cto.com/Article/201312/264407.html

阅读:78561 | 评论:0 | 标签:扫描

想收藏或者和大家分享这篇好文章→复制链接地址

“通过搜狗某搜索功能扫描搜狗内网及修复”共有0条留言

发表评论

姓名:

邮箱:

网址:

验证码:

公告

关注公众号hackdig,学习最新黑客技术

推广

工具

标签云