记某次SRC捡洞的经历

原创

狐狸
狐狸

狐狸说安全

2026年10月14日 11:41
山东

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

免责声明

由于传播、利用本公众号狐狸说安全所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，公众号狐狸说安全及作者不为此承担任何责任，一旦造成后果请自行承担！如有侵权烦请告知，我们会立即删除并致歉，谢谢！

0x01 概述

其实这个洞是年初的时候挖的了，当时这些AI的手机APP都在搞营销，我搜也去凑了个热闹，我要喝奶茶！！！但是他跟我说让我稍后在点，气死我了，那我闲来无事索性测一下功能是否存在漏洞吧，毕竟是新出来的东西，万一有遗漏掉的地方呢，于是乎.........

注：漏洞均已提交至平台并均完全修复

0x02 正文

在web，手机APP，电脑程序三个都存在同样的漏洞，故为三端同步

首先我们打开APP

点击编辑的地方

导出为pdf格式文件，然后就会生成文件，本地打开就可以看到iframe标签被解析，成功使用SSRF漏洞嵌套iframe标签输出了元数据信息

Payload：

获取到了蛮多敏感信息的，但是这还没完，等等，还有！

另一个程序，只是因为内嵌应用了这个自家的AI，功能全一模一样的内嵌式应用，所以，能覆盖很多程序，但是洞是同一个洞，只是出现在不同的载体上而已

转文档编辑

导出pdf即可触发ssrf漏洞

但是注意，需要稍微绕一下，经过测试，单ip多次这样打ssrf的话会被waf拦截，导致下载回传的ssrf攻击获取到的数据为空，返回的pdf中的iframe内容呈现为空白，需要多次轮换ip才可以获取到

而且不能出现双引号这个特殊字符，有时也会被waf检测到

下面是成功利用ssrf攻击得到的全回显数据

Payload：

和之前攻击方法一样

获取到临时sts凭证

进行连接测试

测试成功

由于敏感信息过于庞大，不与展示细节部分，只讲思路（其实也没啥思路，就是导出pdf的地方利用了内部的一些组件，没有过滤，解析了html内容，正好存在元数据，就直接利用SSRF打了元数据，提高了危害罢了）

纯纯捡漏，只不过我运气好，被我捡到了哈哈哈

0x03内部圈子