0174. Reddit上价值$7,500的访问控制不当

原创

la\_revoltage
la\_revoltage

Rsec

2026年6月11日 16:26
贵州

在小说阅读器读本章

去阅读

本文章仅用网络安全研究学习，请勿使用相关技术进行违法犯罪活动。

声明：本文搬运自互联网，如你是原作者，请联系我们！

类型：访问控制不当

一、原报告

报告地址：

https://hackerone.com/reports/2967634

概括：

通过 https://52.90.28.77:30920 的代理可以访问内部域名。

要重现此问题，只需使用以下 curl 命令即可

curl --insecure https://52.90.28.77:30920/reddit --header \"Host: █████████\"

snoo.dev 显然是员工使用的内部域名：https://search.censys.io/search?resource=certificates&q=snoo.dev
GitHub 上也多次提到过它：https://github.com/search?q=org%3Areddit%20snoo.dev&type=code

攻击者可以访问内部域

二、分析

企业内部 Kubernetes 集群/反向代理（K8s NodePort）的边界访问控制。

2.这个功能在普通的网站里，前后台的数据交互大概长什么样？

正常的前后台交互：用户 -> 浏览器发出请求 -> 经过 Cloudflare（进行身份验证、WAF拦截） -> 核心服务器。
本案中的畸形交互：用户 -> 浏览器发出请求 -> 直接打到 Reddit 暴露在公网的反向代理/K8s NodePort（52.90.28.77:30920） -> 该代理没做鉴权，直接把请求转发给了内网开发服务器。

4. 开发者做了什么防御？

开发者以为这个代理（IP:端口）躲在内网/安全的云生态里，外网的人根本找不到、也访问不到（这就是典型的“通过隐蔽实现安全”的安全误区）。所以，真正的绕过点不是绕过了“域名校验”，而是通过空间测绘找到了本不该暴露的后门，然后通过 Host 头告诉这个后门你想去哪。

利用 HTTP 路由机制盲打。直接绕过 Cloudflare 访问源站 IP+非标端口，并在 HTTP 请求中伪造 Host: [internal].snoo.dev。该代理由于配置不当，将其当成了合法的内网互访流量，直接为其做路由转发，导致内网沦陷。

6. [业务场景] + [测试手法/绕过点] + [报告链接/CWE]

在配置错误的内部 K8s 网关/反向代理中，通过扫描非标端口并伪造内部开发子域名（如 \*.snoo.dev）的 Host 头，可绕过外部访问控制，直接打穿边界，访问企业 VPC 内网的任意开发测试服务。

扩充“影子资产”字典：测试一个目标时，先去查其组织证书，寻找非 .main-domain.com 的隐藏根域名（如内网代号、吉祥物等）。
扫描源站 ASN 与非标端口：查出目标的 ASN，过滤出所有开放了 30000-40000（K8s 常见端口）或 8080/8443 等代理端口的原生 IP（排除 Cloudflare/Akamai 等 CDN IP）。
直接IP访问：遇到受限访问网站，反查IP，扫描IP，找到端口后，使用IP+端口访问。
Burp Host 头爆破： IP+非标端口，返回 404、403 或报错时，不要放弃！
动作：保持 IP 不变，把 HTTP 请求里的 Host: 字段，替换为你收集到的各种内网子域名/开发域名。
观察：检查 Content-Length（返回包大小）或 Status Code 是否发生突变（例如从 404 变成 200，或者吐出 K8s/Verbose 报错）。
漏洞性质评估：如果遇到了这种内网穿透（类似 SSRF 效果），只要能证明可以触及内网敏感组件（如内部 K8s 报错、开发环境），即使该 IP 不在 Scope 内，也要以“严重基础设施误配置”为由提交，争取高额奖励。