SSRF中利用到的协议

一dict协议

定义:词典网络协议,在RFC 2009中进行描述。他的目标是超越Webster protocol,并允许客户端在使用过程中访问更多字典。Dict服务器和客户机使用TCP端口2628。

dict协议在ssrf中的利用

dict协议功能:

1、探测内网主机

2、探测端口的开放情况和指纹信息

3、执行命令

使用方式:

1、dict://serverip:port/命令:参数

2、向服务器的端口请求为【命令:参数】,并在末尾自动补上\r\n(CRLF),为漏洞利用增加了便利

3、dict协议执行命令要一条一条执行

使用条件

必须是redis未设密码的情况下才可利用dict执行命令,否则即便知道密码也无法进行其他操作。因为在每一次发送命令的同时都需要进行身份认证,即第一次发送auth qianxun通过认证,第二次发送get name时还是提示要密码认证,说明redis是无记忆的。而dict只能一次执行一条命令,所以无法操作。

2、file协议

file协议主要用于访问本地计算机中的文件,命令格式为:

file://文件绝对路径
file协议和http协议有什么区别呢?

  • file协议主要用于读取服务器本地文件,访问的是本地的静态资源

  • http是访问本地的html文件,相当于把本机当作http服务器,通过

  • http访问服务器,服务器再去访问本地资源。简单来说file只能静态读取,http可以动态解析

  • http服务器可以开放端口,让他人通过http访问服务器资源,但file不可以

  • file对应的类似http的协议是ftp协议(文件传输协议) file不能跨域

  • 1
    点赞
  • 6
    收藏
    觉得还不错? 一键收藏
  • 0
    评论

“相关推荐”对你有帮助么?

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值