0x00 前言
本次学习的是2020 Blackhat 的一篇文章When TLS Hacks you，简单来说，作者提出了一种新的SSRF攻击思路：利用DNS重绑定和TLS协议的会话恢复进行攻击。具体可参考：Blackhat - When TLS Hacks you
0x01 前置知识
SSRF攻击
SSRF全称是服务器端请求伪造。在各种Web应用程序中，这是一个非常普遍的漏洞，攻击者可以在其中代表服务器伪造网络请求。假如，具有以下URL：https://example.com/?ping=www.xxx.com我们可以从中得出什么？它像是一个ping参数，可以通过某种方式与www.xxx.com 进行通信。也许它下载了文件，也许它向它发送了其他一些HTTP请求。看到这样的URL，攻击者可能会检查是否可以通过这种方式访问其他内部文件。
攻击者还将检查路径是否可以使用完整的主机名扩展，例如ping=http://127.0.0.1/。这将导致服务器去连接本地IP地址，或者去连接外界无法进行访问的内网地址，这是由于攻击者代表Web服务器伪造了该请求。这种攻击可能导致各种危害：包括执行端口探测，内网主机探测，或在本地主机上与可用的服务进行交互。
如果没有任何防御措施，也可以使用file:///C:/windows/win.ini语句访问本地文件。
TLS 会话恢复
当两个通信方发起TLS会话时，正在交换握手。在握手期间，双方会相互验证并建立加密算法以及会话密钥。完成后，加密的通信将继续。为了节省时间和资源（协商和创建会话密钥需要占用大量CPU资源），服务器会发送一个所谓的会话ID给客户。重新连接的客户端可以在ClientHello消息过程中提供此会话ID，并重新使用以前建立的会话密钥。这被称为会话恢复，因为双方已经协商了要使用的算法和密钥，因此可以显着加快通信的速度。重要的一点是，在握手期间，客户端会显示服务器提供的会话ID值。
详情可参考之前的文章，TLS 1.3 与 TLS 1.2 的会话恢复
DNS重绑定攻击
整个攻击过程类似于之前讲过的DNS重绑定攻击，攻击内网设备。不同地方是在这里利用的是TLS的会话恢复。
详情可参考之前的文章，详解DNS 重绑定攻击
0x02 攻击原理
原理图：
攻击流程：
0x03 影响范围
借用作者的原图，下图是易受攻击的HTTPS客户端应用：
下图是可以攻击的目标，以及可利用的方式：