annyoung

피해자 환경은 공격자 서버로 요청할 수 있게끔 iframe의 src attribute에 삽입해서 userAgent를 확인했을때 IE11+Windows로 파악했다. 더 확실하게 확인하기 위해서 iframe의 src에 http://localhost와 file:///C:\\ 했을때 결과를 봤다. iframe에서 에러난 화면이 ie11로 보였다. ie11 익스를 하려고 했는데 장애가 있을까봐 시도해보진 못했다. 우선 file 스키마나 cors는 브라우저가 이미 애초에 로컬 리소스를 띄워줬기 때문에 접근이 가능했지 않았을까 하는 생각이든다. 아니면 애초에 레거시 브라우저라서 가능했을 수도 있다. 아무튼 ec2 metadata 엔드포인트에 요청했고 다행히 credentials을 받아낼 수 있었다. 하지만 변수가 있..

개인적으로 느끼는게 SSRF가 pdf generator에서 많이 발생하곤 한다. pdf 파일을 vi나 xxd로 확인해보면 Chromium이거나, Skia/PDF인 경우 chromedriver에서 렌더링하기 때문에 XSS로 인해 SSRF가 많이 발생한다. 사이트 기능중에 pdf generator가 있다면 한번쯤 테스트 해보는걸 추천한다. 테스트 하는 방법은 다음과 같다. pdf generator에서 필요한 값에 위처럼 입력하면 fetch로 공격자 서버에 요청보내게 되어 SSRF가 발생하는걸 볼 수 있다.