SSRFmap: Công Cụ Fuzzer và Khai Thác SSRF

SSRFmap Là Gì?

SSRFmap là framework mã nguồn mở viết bằng Python, được xây dựng để tự động hoá việc khai thác Server-Side Request Forgery sau khi đã tìm ra parameter dính lỗi. Nó nhận một file HTTP request đã lưu, thường export từ Burp Suite, cùng tên parameter cần fuzz, rồi chạy parameter đó qua một thư viện module nhắm vào các dịch vụ backend cụ thể như Redis, MySQL, Zabbix, và các endpoint cloud metadata trên AWS, GCP, Alibaba, DigitalOcean.

Module Khai Thác và Khả Năng

• ✓21 module riêng cho từng dịch vụ trong một framework, gồm axfr (DNS zone transfer), fastcgi, redis, và RCE hoặc command execution cho mysql/postgres, một module github cho GitHub Enterprise RCE dưới bản 2.8.7, zabbix, bruteforce tomcat, memcache, smbhash (xác thực SMB qua UNC path), và infoleak docker qua API.
• ✓Các module đọc cloud metadata cho bốn provider — alibaba, aws, gce, và digitalocean — lấy các file như instance metadata và user-data.
• ✓portscan quét top 8000 port trên host mục tiêu, còn networkscan chạy HTTP ping sweep khắp mạng có thể tiếp cận khi SSRF cho bạn một điểm bám.
• ✓readfiles đọc file tuỳ ý trên host dính lỗi, ví dụ /etc/passwd, và lưu kết quả lấy được vào loot/<target>/.
• ✓Xử lý reverse shell được tích hợp sẵn: -l khởi động một listener cục bộ, còn --lhost/--lport tạo payload connect-back theo kiểu Metasploit, được README minh hoạ bằng ví dụ nhắm vào Redis.
• ✓Marker *FUZZ* cho phép chèn payload vào một phần giá trị của parameter thay vì thay toàn bộ, hoạt động ở GET param, header, body POST/PUT, JSON, XML, và trường multipart form.
• ✓--level (1-5, mặc định 1) thay đổi cách encode payload — ví dụ chính README viết lại 127.0.0.1 thành [::] hoặc 0000: — nhằm vượt qua bộ lọc WAF hoặc IDS.

Hướng Dẫn Cài Đặt

Clone repo rồi cài bằng uv: `git clone https://github.com/swisskyrepo/SSRFmap`, `cd SSRFmap/`, `uv sync --frozen`, sau đó xác nhận hoạt động bằng `uv run python ssrfmap.py --help`. README cũng có hướng dẫn Docker: `docker build -t ssrfmap .`, rồi `docker run --rm ssrfmap ssrfmap.py --help`, chỉ mount những request file cần dùng lúc chạy, ví dụ `-v "$(pwd)/examples:/requests:ro"`. Không có gói PyPI nào được ghi trong tài liệu — clone repo GitHub là con đường cài đặt duy nhất mà README mô tả.

Sử Dụng Cơ Bản và Nâng Cao

SSRFmap cần hai đầu vào: một file HTTP request đã lưu (export từ Burp Suite là ổn) qua -r, và parameter cần fuzz qua -p. Chỉ định -m với một hoặc nhiều module cách nhau bằng dấu phẩy, ví dụ `ssrfmap.py -r examples/request.txt -p url -m readfiles,portscan`. Muốn nhắm vào một header thay vì parameter trong body, truyền thẳng tên header đó cho -p, ví dụ -p X-Custom-Header. Khi giá trị của parameter cần giữ gần như nguyên vẹn, đặt marker *FUZZ* đúng vị trí cần chèn thay vì để SSRFmap thay toàn bộ giá trị — marker này hoạt động ở GET param, header, body POST/PUT, JSON, XML, và trường multipart. Với reverse shell, chẳng hạn qua module redis, đặt --lhost/--lport rồi thêm -l để khởi động listener cục bộ. --ssl kết nối tới target HTTPS mà không xác minh chứng chỉ, --uagent đặt User-Agent tuỳ chỉnh, --proxy định tuyến traffic qua thứ như một Burp listener cục bộ, và --level (1-5, mặc định 1) mở rộng phạm vi các cách encode payload được thử trước bộ lọc WAF hoặc IDS. README cũng ghi lại `uv run pytest` và `uv run ruff check .` để chạy bộ test và lint check của chính SSRFmap.

Công Cụ Truyền Cảm Hứng Cho SSRFmap

Câu Hỏi Thường Gặp

Vấn đề SSRFmap giải quyết

Khai thác một lỗ hổng SSRF đã xác nhận, đi xa hơn một proof of concept đơn giản, thường đòi hỏi tự tay xây payload cho bất cứ thứ gì đang lắng nghe phía sau server dính lỗi — một instance Redis, một endpoint cloud metadata, một service nội bộ — rồi làm lại việc đó ở mỗi lần kiểm thử. README của SSRFmap đóng khung lý do tồn tại của công cụ quanh đúng khoảng trống đó: biến một request đã capture và tên parameter thành khai thác tự động qua một thư viện module riêng cho từng backend, thay vì payload gopher viết tay từng lần.

Trường hợp sử dụng tốt nhất

• •Biến một phát hiện SSRF đã xác nhận trong pentest được uỷ quyền thành tác động cụ thể — đọc /etc/passwd, lấy metadata instance của AWS, GCP, Alibaba, hoặc DigitalOcean, hoặc mở reverse shell trên backend Redis — mà không phải tự viết payload khai thác.
• •Các thử thách CTF giấu một service nội bộ phía sau parameter dính SSRF; repo mang topic ctf và hacktoberfest trong số các topic của chính nó.
• •Kiểm tra xem WAF hay IDS phía trước target có thực sự chặn payload SSRF hay không, dùng --level để xoay vòng qua các cách encode như 127.0.0.1 sang [::] sang 0000:.
• •Vẽ ra những gì một server dính lỗi có thể tiếp cận trong nội bộ bằng module portscan và networkscan khi đã có SSRF nhưng không có truy cập mạng trực tiếp vào target.

Ai nên dùng — và ai nên bỏ qua

Hãy thử SSRFmap nếu bạn làm pentest được uỷ quyền hoặc CTF, đã phát hiện hoặc nghi ngờ mạnh một parameter dính SSRF, và muốn đi xa hơn việc xác nhận để đọc file, lấy cloud metadata, hoặc mở shell thật sự mà không tự viết payload gopher. Bỏ qua nếu bạn vẫn đang ở giai đoạn tìm lỗ hổng và cần một scanner lỗ hổng web tổng quát, hoặc nếu target của bạn không khớp với bất kỳ module backend nào được tài liệu hoá — SSRFmap sẽ không tự bịa ra đường khai thác cho một dịch vụ mà nó chưa có module.

Repo liên quan