ctf.show靶场ssrf攻略
前言
欢迎来到我的博客
个人主页:北岭敲键盘的荒漠猫-CSDN博客
web351
解析:post传入url参数他就会访问。
解法:
hackbar传入url参数写入https://127.0.0.1/flag.php
web352
解析:post传入url参数，不能是127.0.0.1和localhost
解法:缩写127.1传入
web353
解析:不能传localhost和127.0
<?php
error_reporting(0);
highlight_file(__FILE__);
$url=$_POST['url'];
$x=parse_url($url);
if($x['scheme']==='http'||$x['scheme']==='https'){
if(!preg_match('/localhost|127\.0\.|\。/i', $url)){
$ch=curl_init($url);
curl_setopt($ch, CURLOPT_HEADER, 0);
curl_setopt($ch, CURLOPT_RETURNTRANSFER, 1);
$result=curl_exec($ch);
curl_close($ch);
echo ($result);
}
else{die('hacker');
}
}
else{die('hacker');
}
?> 解题:
缩写法https://127.1/flag.php
绕过
web354
解析:传url访问网址，不可以有localhost和1和0
<?php
error_reporting(0);
highlight_file(__FILE__);
$url=$_POST['url'];
$x=parse_url($url);
if($x['scheme']==='http'||$x['scheme']==='https'){
if(!preg_match('/localhost|1|0|。/i', $url)){
$ch=curl_init($url);
curl_setopt($ch, CURLOPT_HEADER, 0);
curl_setopt($ch, CURLOPT_RETURNTRANSFER, 1);
$result=curl_exec($ch);
curl_close($ch);
echo ($result);
}
else{die('hacker');
}
}
else{die('hacker');
}
?>解题:
自创域名绑定127.0.0.1，然后post我们的域名。
也可以服务器3xx重定向
web355
解析:限制url长度
<?php
error_reporting(0);
highlight_file(__FILE__);
$url=$_POST['url'];
$x=parse_url($url);
if($x['scheme']==='http'||$x['scheme']==='https'){
$host=$x['host'];
if((strlen($host)<=5)){
$ch=curl_init($url);
curl_setopt($ch, CURLOPT_HEADER, 0);
curl_setopt($ch, CURLOPT_RETURNTRANSFER, 1);
$result=curl_exec($ch);
curl_close($ch);
echo ($result);
}
else{die('hacker');
}
}
else{die('hacker');
}
?> hacker解题:
缩写法绕过，0或者127.0等
web356
解析:长度限制更小，小于3
<?php
error_reporting(0);
highlight_file(__FILE__);
$url=$_POST['url'];
$x=parse_url($url);
if($x['scheme']==='http'||$x['scheme']==='https'){
$host=$x['host'];
if((strlen($host)<=3)){
$ch=curl_init($url);
curl_setopt($ch, CURLOPT_HEADER, 0);
curl_setopt($ch, CURLOPT_RETURNTRANSFER, 1);
$result=curl_exec($ch);
curl_close($ch);
echo ($result);
}
else{die('hacker');
}
}
else{die('hacker');
}
?> hacker解题:
0代替127.0.0.1
web357
解析：他会把域名进行解析为ip，不能是自身的ip
<?php
error_reporting(0);
highlight_file(__FILE__);
$url=$_POST['url'];
$x=parse_url($url);
if($x['scheme']==='http'||$x['scheme']==='https'){
$ip = gethostbyname($x['host']);
echo '</br>'.$ip.'</br>';
if(!filter_var($ip, FILTER_VALIDATE_IP, FILTER_FLAG_NO_PRIV_RANGE | FILTER_FLAG_NO_RES_RANGE)) {die('ip!');
}echo file_get_contents($_POST['url']);
}
else{die('scheme');
}
?>解题：
3xx重定向，自己服务器上搭建一个网站，网站内容如下
<?php header("Location:http://127.0.0.1/flag.php"); ?>
然后写自己网站ip让他访问就行了
web358
解析：此题为白名单，判断变量$url所代表的字符串是否以 “http://” 开头，中间包含 “ctf.”，然后可以有任意字符，最后以 “show” 结尾
<?php
error_reporting(0);
highlight_file(__FILE__);
$url=$_POST['url'];
$x=parse_url($url);
if(preg_match('/^http:\/\/ctf\..*show$/i',$url)){echo file_get_contents($url);
} 解题：
利用@，把他需要出现的文字写到@之前，然后最后以show结尾，我们可以利用参数传递？传参无用参数show来解题
payload:
url=http://ctf.@127.0.0.1/flag.php?show
web359
解题过程:
开局一个登录框
瞎写一通观察数据包发现有一个url
在自己服务器上开启python服务后让他访问我的服务器发现
他会对url进行访问
无过滤，题目要求我们打数据库，我们利用gopher协议攻击
启动Gopherus工具
生成的payload我们还需要对后面的内容URL编码一下
因为它是url编码的形态，但是我们传过去他们会url解码一次，后面这个url编码形式的就会被误解码所以我们需要编码一次让他解码后又是这个样子。
发送后访问URL判断是否成功
访问很成功可以直接连接webshell了
没看见flag，直接上linux查找文件指令
直接查看
解题完成
web360
题目解题:让我们打redis
我们看源码
<?php
error_reporting(0);
highlight_file(__FILE__);
$url=$_POST['url'];
$ch=curl_init($url);
curl_setopt($ch, CURLOPT_HEADER, 0);
curl_setopt($ch, CURLOPT_RETURNTRANSFER, 1);
$result=curl_exec($ch);
curl_close($ch);
echo ($result);
?> 可以传参url，
利用上面相同的方法生成payload
post传参进去（记得url编码一次）
然后生成shell.php
之后我们直接哥斯拉连接就行了
flag在
/flaaag