[网鼎杯 2020 玄武组]SSRFMe

[网鼎杯 2020 玄武组]SSRFMe

源码

<?php
function check_inner_ip($url)
{
    $match_result=preg_match('/^(http|https|gopher|dict)?:\/\/.*(\/)?.*$/',$url);
    if (!$match_result)
    {
        die('url fomat error');
    }
    try
    {
        $url_parse=parse_url($url);
    }
    catch(Exception $e)
    {
        die('url fomat error');
        return false;
    }
    $hostname=$url_parse['host'];
    $ip=gethostbyname($hostname);
    $int_ip=ip2long($ip);
    return ip2long('127.0.0.0')>>24 == $int_ip>>24 || ip2long('10.0.0.0')>>24 == $int_ip>>24 || ip2long('172.16.0.0')>>20 == $int_ip>>20 || ip2long('192.168.0.0')>>16 == $int_ip>>16;
}

function safe_request_url($url)
{

    if (check_inner_ip($url))
    {
        echo $url.' is inner ip';
    }
    else
    {
        $ch = curl_init();
        curl_setopt($ch, CURLOPT_URL, $url);
        curl_setopt($ch, CURLOPT_RETURNTRANSFER, 1);
        curl_setopt($ch, CURLOPT_HEADER, 0);
        $output = curl_exec($ch);
        $result_info = curl_getinfo($ch);
        if ($result_info['redirect_url'])
        {
            safe_request_url($result_info['redirect_url']);
        }
        curl_close($ch);
        var_dump($output);
    }

}
if(isset($_GET['url'])){
    $url = $_GET['url'];
    if(!empty($url)){
        safe_request_url($url);
    }
}
else{
    highlight_file(__FILE__);
}
// Please visit hint.php locally.
?>

• 题目给了提示，请在本地访问hint.php。
• 代码不算难懂：就是只能使用这些协议：http|https|gopher|dict，而且还进行了过滤不严的127.0.0.1，直接使用0.0.0.0绕过
  [[ssrf绕过#绕过127.0.0.1]]
  访问得到

<?php
if($_SERVER['REMOTE_ADDR']==="127.0.0.1"){
  highlight_file(__FILE__);
}
if(isset($_POST['file'])){
  file_put_contents($_POST['file'],"<?php echo 'redispass is root';exit();".$_POST['file']);
}

• 尝试绕过死亡exit()，但是/var目录没有写了权限，/tmp目录有写入权限
• 而且这里给了提示：redis pass is root 告诉我们密码是root

主从复制

[[redis-主从复制]]

原理

• 字面意思，redis为了数据更改方便，有这一模式，主机的内容更改会导致从机的内容跟着更改。
• 这时我们将自己的服务主机设置为主机，目标的设置为从机，则从机会有主机的执行脚本，从而rce
• 详细的参考博客
  redis主从复制

使用

准备工作

需要使用
https://github.com/xmsec/redis-ssrf 和 https://github.com/n0b0dyCN/redis-rogue-server 下的exp.so文件

使用过程

• 在自己的服务主机里把这两个py文件和exp.so传至同一目录下，也可以开个小号使用buu内网

更改ssrf-redis.py内容

• 这里只需要更改4处内容就行
  lhost改为自己或者buu内网的IP，command改为执行的命令
  
  更改ip绕过本题的waf
  
  根据提示填入passwd为root
  

生成payload启动服务

只是在kali下演示一下，自己主机得到的回显

使用payload得到flag，要进行二次编码

反弹shell

参考下一篇文章
[网鼎杯 2020 玄武组]SSRFMe-反弹shell