ctfhub Web SSRF

内网访问

开启题目

输入链接访问

http://127.0.0.1/flag.php

找到fliag

伪协议读取文件

开启题目

输入以下语句访问flag.php文件

file:///var/www/html/flag.php

查看网页源代码

找到flag

端口扫描

开启题目

访问该靶场回环地址的8000端口

127.0.0.1:8000

使用bp抓到该包 

设置参数如下，开始扫描8000到9000端口

结果如下，在8314端口找到flag

在浏览器中验证该端口

找到flag

POST请求

开启题目

访问127.0.0.1/flag.php

在页面源码处找到key 

尝试访问，提示不能访问127.0.0.1

 使用bp抓包，得到下包

修改数据包，使用gopher

将数据包内容进行URL编码，url编码地址

 修改编码后的内容，将%0A全部替换成%0D%0A，在请求的末尾加上%0A%0D

结果如下 

将数据包二次URL编码

二次编码后，将gropher请求头编码后的‘：’和‘/’还原

将编码后的内容输入url框中

找到flag

上传文件

开启题目

编写1.php，内容随便

 访问题目链接后发现没有提交按钮，需要自己在网页源码进行添加按钮

输入以下语句，创建提交按钮

<input type="submit" name="submit">

使用bp抓包

 修改请求头如下

将数据包URL编码

修改URL编码后的数据包，同POST请求一样，将%0A全部替换成%0D%0A，在请求末尾添加%0D%0A

将数据包二次编码

在URL框中输入数据包

找到flag

FastCGI协议

打开环境，在kali中克隆后，输出base64格式的一句话木马

在kali中配置如下

将kali中的编码在进行二次编码，在将结果拼接到网站后，访问一句话木马文件

使用菜刀连接一句话木马

访问获得flag

Redis协议

用kali工具gopherus.py 工具的redis功能，并输入如下命令

得到编码

将编码去二次url编码，在拼接到网站后访问一句话木马文件

使用菜刀连接工具

打开flag文件获得

URL Bypass

根据题目描述，构造payload：url=http://notfound.ctfhub.com@127.0.0.1/flag.php，成功得到flag。

分析@前的内容都作为访问名，后面的是目的主机名

数字IP Bypass

尝试直接访问flag.php

找一个十进制转十进制

把127转16进制,是7F记得加上0x

.也被过滤了，改成0

用localhost也可以

302跳转 Bypass

直接访问

显示的是坏的

所以任然使用localhost

127.0.0.1——255都是本机

DNS重绑定 Bypass

很明显,题目是想定死我们域名的ip为54.87.54.87,但是这样就没法读到内网的信息了,如果我们域名解析的IP直接为127.0.0.1,那就无法过$ip === $dev_ip,接下来就得利用DNS Rebinding

查看附件

这是一个测试dns重绑定漏洞的网站,可以让一个域名随机的绑定两个IP

拼接，后去本机的回环地址找flag.php