ctfshow SSRF 351-358

已于 2024-05-11 19:39:24 修改
阅读量1k 收藏 19
点赞数 17
文章标签： github
于 2024-05-09 19:11:25 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/2301_80548709/article/details/138620704
版权

做题前,需要先学习关于ssrf漏洞的相关知识

小注意:

当使用 file_get_contents() 函数访问远程 URL 时，它会尝试获取该 URL 指向的资源的内容，并将内容以字符串的形式返回。

如果 b.php 文件是一个 PHP 文件，它包含的内容取决于该 PHP 文件本身的内容。例如，如果 b.php 文件包含一些 HTML 和 PHP 代码，那么 file_get_contents() 将返回这些代码的内容。如果 b.php 文件是一个纯文本文件，那么 file_get_contents() 将返回该文本文件的内容。

需要注意的是，如果 b.php 文件包含了 PHP 代码，并且该代码生成了输出（例如使用了 echo 或 print 函数），那么 file_get_contents() 返回的内容将是该 PHP 文件执行后生成的输出。如果 b.php 文件只包含 PHP 代码，没有输出，则 file_get_contents() 返回的内容将是空字符串。

SSRF原理(详细)

351.

<?php
error_reporting(0);
highlight_file(__FILE__);
$url=$_POST['url'];
$ch=curl_init($url);
curl_setopt($ch, CURLOPT_HEADER, 0);
curl_setopt($ch, CURLOPT_RETURNTRANSFER, 1);
$result=curl_exec($ch);
curl_close($ch);
echo ($result);
?>

这个代码,就是我们能访问的服务器的源代码,它没有任何绕过,没有任何过滤,我们需要的flag存在于flag.php文件中,但是这个文件是我们可以访问的服务器通过中转的方式,才能获取的,也就是说只有这个服务器可以访问,如果我们直接访问就会出现

明白了,我们将所需要访问的url改为本地访问即可,因为代码在别人的服务器上运行,我们只需要用回环地址,找到flag.php文件即可,post传参进去即可,

url=http://127.0.0.1/flag.php

 352.

<?php
error_reporting(0);
highlight_file(__FILE__);
$url=$_POST['url'];
$x=parse_url($url);
if($x['scheme']==='http'||$x['scheme']==='https'){
if(!preg_match('/localhost|127.0.0/')){
$ch=curl_init($url);
curl_setopt($ch, CURLOPT_HEADER, 0);
curl_setopt($ch, CURLOPT_RETURNTRANSFER, 1);
$result=curl_exec($ch);
curl_close($ch);
echo ($result);
}
else{
    die('hacker');
}
}
else{
    die('hacker');
}
?> hacker

这个添加了过滤,让我们的伪协议只能是http/https协议,可以杜绝使用file协议等使用了白名单,

后面,他又使用正则表达式,可能是想要过滤localhost和127.0.0,但是他缺少了一个重要的参数,也就是后面需要检查的字符串变量,导致无论如何都可以检查过关,所以忽略不看,通过两个条件,我们可以发现上一个题的payload依旧可以在这一个题上使用,所以做法一样

353.

 <?php
error_reporting(0);
highlight_file(__FILE__);
$url=$_POST['url'];
$x=parse_url($url);
if($x['scheme']==='http'||$x['scheme']==='https'){
if(!preg_match('/localhost|127\.0\.|\。/i', $url)){
$ch=curl_init($url);
curl_setopt($ch, CURLOPT_HEADER, 0);
curl_setopt($ch, CURLOPT_RETURNTRANSFER, 1);
$result=curl_exec($ch);
curl_close($ch);
echo ($result);
}
else{
    die('hacker');
}
}
else{
    die('hacker');
}
?> hacker

这个代码依然是希望我们使用http/https协议,这里完全匹配了127.0.0.1,同时。也被过滤掉了,这要求我们通过其他方式过滤,这里我们使用进制进行过滤

127.0.0.1八进制：0177.0.0.1。十六进制：0x7f.0.0.1。十进制：2130706433.

354. 

<?php
error_reporting(0);
highlight_file(__FILE__);
$url=$_POST['url'];
$x=parse_url($url);
if($x['scheme']==='http'||$x['scheme']==='https'){
if(!preg_match('/localhost|1|0|。/i', $url)){
$ch=curl_init($url);
curl_setopt($ch, CURLOPT_HEADER, 0);
curl_setopt($ch, CURLOPT_RETURNTRANSFER, 1);
$result=curl_exec($ch);
curl_close($ch);
echo ($result);
}
else{
    die('hacker');
}
}
else{
    die('hacker');
}
?> hacker

这个我们直接看正则表达式,过滤localhost/0/1/。没办法,只能考虑其他办法了,这时有一个DNS解析的方法来了,众所周知,由于ip地址太过难记,所以人们搞出了域名,以十分好记的名称一对一的储存在DNS解析器中,例如人们知道百度的域名baidu.com,但是不记得他的网站ip地址,

对于这个题呢,127.0.0.1这个环回ip的域名除了localhost以外,http(s)/sudo.cc/这个域名的解析是指向127.0.0.1的

 

其它可以参考这篇文章

一些公共 http 域名，但是解析到 127.0.0.1

亲测有效!!

355.

<?php
error_reporting(0);
highlight_file(__FILE__);
$url=$_POST['url'];
$x=parse_url($url);
if($x['scheme']==='http'||$x['scheme']==='https'){
$host=$x['host'];
if((strlen($host)<=5)){
$ch=curl_init($url);
curl_setopt($ch, CURLOPT_HEADER, 0);
curl_setopt($ch, CURLOPT_RETURNTRANSFER, 1);
$result=curl_exec($ch);
curl_close($ch);
echo ($result);
}
else{
    die('hacker');
}
}
else{
    die('hacker');
}
?> hacker

这个的要求就是主机名不能超过5个字符,这里又来一个姿势点,

有关于ip地址的转换,这一篇博客就够了

ip地址进制转化

简单来讲就是,当以4小节储存的ip地址中间两节全为0时,可以酌情省略,其他情况想将ip地址转化为4小节以下的节数时,需要将4节的二进制数均分为2节,或者只要一节,同时进行进制转化,

所以按照规则,127.0.0.1可以写成

  • ping 127.0.0.1
  • ping 127.0.1
  • ping 127.1：
  • ping 0x7f.1：十六进制
  • ping 2130706433：十进制

而对于本题来讲,可以直接127.1即可

356.

<?php
error_reporting(0);
highlight_file(__FILE__);
$url=$_POST['url'];
$x=parse_url($url);
if($x['scheme']==='http'||$x['scheme']==='https'){
$host=$x['host'];
if((strlen($host)<=3)){
$ch=curl_init($url);
curl_setopt($ch, CURLOPT_HEADER, 0);
curl_setopt($ch, CURLOPT_RETURNTRANSFER, 1);
$result=curl_exec($ch);
curl_close($ch);
echo ($result);
}
else{
    die('hacker');
}
}
else{
    die('hacker');
}
?> hacker

这个题进一步压缩长度在3个字符以下,emmm,看来还需要一点新知识......

了解得知,经过省略的ip地址  0   在linux系统中会解析为127.0.0.1,在windows系统中则是0.0.0.0

而对于我们这道题来讲,这种题通常挂在服务器上搭建linux系统,可以用0,试一试,当然,我这里只是试一试,并不是确定了它的操作系统就是linux哈,

我这一试,出来了.66666

好吧,是看别的师傅做的,我也是菜鸟啊,可以原谅

357.

<?php
error_reporting(0);
highlight_file(__FILE__);
$url=$_POST['url'];
$x=parse_url($url);
if($x['scheme']==='http'||$x['scheme']==='https'){
$ip = gethostbyname($x['host']);
echo '</br>'.$ip.'</br>';
if(!filter_var($ip, FILTER_VALIDATE_IP, FILTER_FLAG_NO_PRIV_RANGE | FILTER_FLAG_NO_RES_RANGE)) {
    die('ip!');
}


echo file_get_contents($_POST['url']);
}
else{
    die('scheme');
}
?> scheme

这个代码主要的判断是FILTER_FLAG_NO_PRIV_RANGE 和 FILTER_FLAG_NO_RES_RANGE

FILTER_FLAG_NO_PRIV_RANGE 和 FILTER_FLAG_NO_RES_RANGE 是标志，用于指示不接受私有地址和保留地址。

FILTER_FLAG_NO_PRIV_RANGE 和 FILTER_FLAG_NO_RES_RANGE 是 PHP 过滤器中的标志（flags），用于过滤 IP 地址。

  1. FILTER_FLAG_NO_PRIV_RANGE：当用于 FILTER_VALIDATE_IP 过滤器时，这个标志会阻止私有地址范围（Private Address Range）的 IP 地址通过验证。私有地址范围包括以下 IP 地址段：

    • 10.0.0.0 到 10.255.255.255
    • 172.16.0.0 到 172.31.255.255
    • 192.168.0.0 到 192.168.255.255
    • FC00::/7 (IPv6)

  2. FILTER_FLAG_NO_RES_RANGE：当用于 FILTER_VALIDATE_IP 过滤器时，这个标志会阻止保留地址范围（Reserved Address Range）的 IP 地址通过验证。保留地址范围包括以下 IP 地址段：

    • 0.0.0.0 到 0.255.255.255
    • 169.254.0.0 到 169.254.255.255
    • 127.0.0.0 到 127.255.255.255
    • 224.0.0.0 到 255.255.255.255
    • ::1 (IPv6)
    • FF00::/8 (IPv6)

这里需要公网ip所以我们需要有自己的服务器来搞定这个事情,创建一个文件

<?php
header("Location:http://127.0.0.1/flag.php",TRUE,302);

访问即可.这个题有这样一个知识点

302重定向是HTTP状态代码之一，表示临时性的重定向。当服务器收到客户端的请求后，如果需要将请求的资源临时重定向到另一个URL，但未来可能会恢复到原始URL时，就会返回302状态码。这意味着客户端应该继续使用原始URL进行后续请求，因为重定向是暂时的。302重定向常用于网站维护、临时性更改或者流量控制等场景。

也就是说,可以通过重定向的逻辑,将我们需要访问的url放在重定向后,用第一个url去绕过我们当前服务器的逻辑,

358.

<?php
error_reporting(0);
highlight_file(__FILE__);
$url=$_POST['url'];
$x=parse_url($url);
if(preg_match('/^http:\/\/ctf\..*show$/i',$url)){
    echo file_get_contents($url);
}

这个题的判断规则就是,匹配以http://ctf开头,show结尾的字符串,这个就是用@符号规则来访问他的flag文件,对于这个来讲只需要

http://ctf@127.0.0.1/flag.php即可

瓜农ynnddddd
关注
  • 17
    点赞
  • 踩
  • 19
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
CTFshow SSRF(web351-360)
Kradress的博客
03-17 614
表示不允许私有IP地址（例如，10.0.0.0/8，172.16.0.0/12和192.168.0.0/16），而。后面要进行url编码，因为curl还会进行一次url解码。后面要进行url编码，因为curl还会进行一次url解码。显示网页内容，说明存在SSRF漏洞，那应该就是用。因为不能用私网，所以这题还是可以用。题目hint：打无密码的mysql。发现是一个登录框，抓个包看看，输入。，用于过滤和验证输入的IP地址。，这里可以用进制转换绕过。的返回结果，直接写马。的返回结果，直接写马。
ssrf-king:用于burp的SSRF插件可在所有请求中自动进行SSRF检测
03-07
:fire: 自卫队 :fire: v1.12最新 burp的SSRF插件，可在所有请求中自动进行SSRF检测 如果您遇到任何问题或想要下面未列出的新功能，请在此表格中创建一个新的问题 即将发布的功能清单 :check_mark: 它将很快有一个用户界面来指定您自己的回叫有效负载 它将很快能够测试Json和XML 测试SMTP SSRF 如何安装/建造 git clone https://github.com/ethicalhackingplayground/ssrf-king gradle build 现在可以在build / libs下找到文件“ ssrf-king.jar”，然后可以将其导入Burpsuite。 另外，goto可以下载编译的文件。 特征 :check_mark: 测试所有外部交互的请求。 :check_mark: 检查是否有任何交互不是用户IP（如果有的话），它是一个开放的重定向。 :check_mark: 提醒用户任何外部交互，包括以下信息：
第三节 SSRF利用 - 内网资源访问-01
09-15
第三节 SSRF利用 - 内网资源访问-01
ssrf-req-filter:在 NodeJS 中发送请求时防止 SSRF 的模块。 阻止对本地和私有 IP 地址的请求
05-31
ssrf-req-filter - 防止 SSRF 攻击 :shield: 服务器端请求伪造 (SSRF) SSRF 是一种攻击媒介，它滥用应用程序与内部/外部网络或机器本身进行交互。 此向量的促成因素之一是 URL 处理不当。 安装 npm install ssrf-req-filter 用法 轴： const ssrfFilter = require('ssrf-req-filter'); const url = 'https://127.0.0.1' axios.get(url, {httpAgent: ssrfFilter(url), httpsAgent: ssrfFilter(url)}) .then((response) => { console.log(`Success`); }) .catch((error) => {
SSRF-Testing:SSRF（服务器端请求伪造）测试资源
04-23
SSRF（服务器端请求伪造）测试资源 基于快速URL的绕过： http://google.com:80+&@127.88.23.245:22/#+@google.com:80/ http://127.88.23.245:22/+&@google.com:80#+@google.com:80/ http://google.com:80+&@google.com:80#+@127.88.23.245:22/ http://127.88.23.245:22/?@google.com:80/ http://127.88.23.245:22/#@www.google.com:80/ http://google.com:80\\@127.88.23.245:22/ htaccess-各种情况下的重定向测试 状态码：300、301、302、303、305、307、308 文件类型：jpg，
ssrfpll.rar_DQ 锁相环_SSRF-PLL_同步锁相环_锁相环_锁相环 同步
07-14
基于同步坐标系的自建锁相环模块仿真，dq坐标系与matlab自带模块相差90度，新建的dq坐标系是符合中式习惯坐标系
CTFshow刷题日记-WEB-SSRF（web351-360）SSRF总结
Love&Share
09-28 5452
SSRF基础 SSRF(Server-Side Request Forgery:服务器端请求伪造) 是一种由攻击者构造形成由服务端发起请求的一个安全漏洞。一般情况下，SSRF攻击的目标是从外网无法访问的内部系统。（正是因为它是由服务端发起的，所以它能够请求到与它相连而与外网隔离的内部系统） 相关函数和类 file_get_contents()：将整个文件或一个url所指向的文件读入一个字符串中 readfile()：输出一个文件的内容 fsockopen()：打开一个网络连接或者一个Unix 套接字连接
ctfshow SSRF web351-web360 wp
mumuzi的博客
02-10 3596
WDNMD(We Did Nothing Means Done)
ctfshow--ssrf
ing_end的博客
04-23 3797
SSRF概述及其危害 *SSRF概述 ​ 强制服务器发送一个攻击者的请求 ​ 互联网上的很多web应用提供了从其他服务器（也可以是本地)获取数据的功能。使用用户指定的URL，web应用可以获取图片（载入图片）、文件资源（下载或读取)。如下图所示，百度提供识图功能。如果链接可以访问任意请求，则存在ssrf漏洞 ​ 用户可以从本地或者URL的方式获取图片资源，交给百度识图处理。如果提交的是URL地址，该应用就会通过URL寻找图片资源。如果web 应用开放了类似于百度识图这样的功能，并且对用户提供的URL和远端
ctfshow-web入门-ssrf-351--360
yutianovo的博客
01-14 695
Web351 <?php error_reporting(0); highlight_file(__FILE__); $url=$_POST['url']; $ch=curl_init($url); curl_setopt($ch, CURLOPT_HEADER, 0); curl_setopt($ch, CURLOPT_RETURNTRANSFER, 1); $result=curl_exec($ch); curl_close($ch); echo ($result); ?> 使用 file
在Github找自己想要的的项目
m0_72811193的博客
05-25 1075
首先进入到github的首页；如何要找最新的通过这种方式找到自己想要的项目了。
Github 2024-06-04开源项目日报 Top10
老孙正经胡说
06-04 533
根据Github Trendings的统计，今日(2024-06-04统计)共有10个项目上榜。
github搭建个人博客
wudi6688的博客
06-04 236
码云 Gitee 、GitHub 提供了基于 SSH 协议的 Git 服务，在使用 SSH 协议访问仓库仓库之前，需要先配置好账户/仓库的 SSH 公钥。首先用户登录之后，打开设置页面，安全设置里面ssh公钥打开，下面就是公钥的模板，标题随便起，知道表达意思即可，公钥就是剪切板内容，博客发布成功之后，可以访问博客地址：xxxxxx，就可通过他提供的博客地址进行访问，预览在线博客啦！登录gitee平台，进入主界面，右侧加号+，新建仓库，注意：仓库名称和gitee用户名称一致。windows安装nodejs。
Github 2024-05-29 开源项目日报Top10
老孙正经胡说
05-29 1329
根据Github Trendings的统计，今日(2024-05-29统计)共有10个项目上榜。
使用GitHub托管静态网页
a871923942的博客
06-04 87
如果没有自己的服务器，也没有域名，又想部署静态网页的，那就可以尝试使用GitHub托管自己的静态网页。
github将默认分支main改为master
m0_37759590的博客
06-01 324
github将默认分支main改为master
Github 2024-05-29 C开源项目日报 Top10
老孙正经胡说
05-29 769
创建周期：247 天开发语言：C, C++协议类型：BSD 3-Clause “New” or “Revised” LicenseStar数量：386 个Fork数量：47 次关注人数：386 人贡献人数：1 人Open Issues数量：45 个Github地址：https://github.com/airockchip/rknn-toolkit2.gitRKNN软件栈是一个帮助用户将AI模型部署到Rockchip芯片的工具。
速盾：图片cdn托管
最新发布
zhuguowang01的博客
06-04 47
除了提高加载速度，图片cdn托管还有一些其他的好处。此外，图片cdn托管还可以提供更好的图片压缩和优化功能，从而减少图片文件的大小，节省带宽和存储空间。一种常见的方式是将图片文件上传到cdn服务提供商的服务器中，然后通过cdn服务提供商的api接口将图片文件链接到网页中。当用户访问网站时，cdn服务器会根据用户的地理位置选择最近的服务器来提供图片文件，从而减少延迟和提高加载速度。图片cdn托管是一种将网站上的图片文件存放在专门的cdn（Content Delivery Network）服务器上的技术。
ctfshow ssrf
08-16
在引用中提到了一系列与SSRF相关的内容，包括web351、web352、parse_url以及更改IP地址的写法等。些内容可能是指在CTF比赛中的具体题目或技术细节。 引用提到了SSRF的原理，即通过在URL中加入特殊字符来绕过解析...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值