文章介绍了Gopher协议的历史及其在SSRF攻击中的应用，包括利用Gopher协议攻击Redis，写入定时任务和数据流构造。同时提到了file和dict协议，分别用于读取本地文件和探测内网服务，dict协议还能用于Redis命令执行。Gopherus工具用于自动化生成payload，简化攻击过程。
目录
Gopher协议简介
Gopher定义：Gopher是Internet上一个非常有名的信息查找系统，它将Internet上的文件组织成某种索引，很方便地将用户从Internet的一处带到另一处。在WWW出现之前，Gopher是Internet上最主要的信息检索工具，Gopher站点也是最主要的站点，使用tcp70端口。但在WWW出现后，Gopher失去了昔日的辉煌。现在它基本过时，人们很少再使用它；
gopher支持发出GET、POST请求。可以先截获get请求包和post请求包，再构造成符合gopher协议的请求,gopher协议是ssrf利用中一个最强大的协议(俗称万能协议)
SSRF攻击中常用协议
file协议
file协议主要用于读取服务器本地文件，访问本地的静态资源
file协议数据格式：
file://文件绝对路径名
例如：
file:///etc/passwd
file:///var/www/html/index.php
file:///usr/local/apache-tomcat/conf/server.xmldict协议
dict协议一般常用来探测内网主机以及端口开放情况，既然能够探测端口，那么可以探测不同端口对应的服务的指纹信息。当然dict协议也可以用来执行一些服务的命令，如redis
- 内网主机探测
最低0.47元/天 解锁文章
扫一扫
1万+
到【灌水乐园】发言
