【CTFSHOW】web入门SSRF

写在前面

发现学习渗透和ctf对xss,ssrf,csrf,ssti都有挺高要求的，一直没怎么系统刷过题。今天学习学习，补补之前落下的债(*￣3￣)╭

web351

扫描网站发现存在flag.php文件，通过分析和测试发现需要服务器本地访问，故使用传入127.0.0.1/flag.php

web352

payload:

web353

过滤代码：

if($x['scheme']==='http'||$x['scheme']==='https'){
   
    if(!preg_match('/localhost|127\.0\.|\。/i', $url)){
   

payload:

1. 使用127.1代替127.0.0.1

2. 将127.0.0.1转成十进制

3. 十六进制（记得添加0x前缀）

4. 二进制（但不知到为什么没有回显flag（；´д｀）ゞ）

附：

• 正则表达式分析网站：Regulex

具体使用如下：

• 进制转换网站：IP地址进制转换

具体使用如下：

web354

过滤代码：

if($x