ctfshow SSRF篇 | tari Blog

type

status

date

slug

summary

web351 简单认识

nginx/1.18.0 PHP/7.3.22

poc

web352 永远相信美好的事情即将发生

nginx/1.18.0 PHP/7.3.22

分析：

协议必须是 http/https ，但过滤了 localhost 和 127.0.0

poc

preg_match 没传参可还行。。因为有 error_reporting(0) ，报错的地方恒为 False…

web353 数字绕过

nginx/1.18.0 PHP/7.3.22

分析：

协议必须是 http/https ，但过滤了 localhost 和 127.0.

这里有许多绕过

进制绕过

0.0.0.0 绕过

ipv6绕过这里不行

特殊地址绕过

这里有个小知识点

第一个 0 在linux系统中一般会解析成127.0.0.1 ，在windows 和 macos 中一般解析成0.0.0.0

web354 难点的数字绕过

nginx/1.18.0 PHP/7.3.22

了解到一个好玩的东西 IDNA ，不过这题用不上

https://www.tr0y.wang/2020/08/18/IDN/

然后又了解到一个有趣的东西，有免费的 http://sudo.cc/ 可以解析到 127.0.0.1 白嫖。

题外：

虽然也可以用自己的域名或服务器，2333

web355 长度限制

nginx/1.18.0 PHP/7.3.22

主机名部分长度限制，可以用 http://0/flag.php 也可以用 http://127.1/flag.php

web356 长度限制

nginx/1.18.0 PHP/7.3.22

同 web255，只不过短了点

web357 IP过滤器

nginx/1.18.0 PHP/7.3.22

分析：

先获取主机名对应的ip，然后用IP过滤器进行过滤

FILTER_FLAG_NO_PRIV_RANGE - 要求值是 RFC 指定的私域 IP （比如 192.168.0.1）

FILTER_FLAG_NO_RES_RANGE - 要求值不在保留的 IP 范围内。该标志接受 IPV4 和 IPV6 值。

即，主机名解析的 IP 不能是保留地址或者是内网 IP。

这时利用公网服务器进行重定向即可，为了以后的题目 fuzz 方便，写好参数

web358 白名单正则

nginx/1.18.0 PHP/7.3.22

分析，

之前一直没分析到这个 parse_url 函数的特性，有些时候有的时候 URL 会长这样

解析时，会把@进行分割，前面是用户，后面是主机名。

web359 打无密码MySQL

nginx/1.16.1 PHP/7.3.11

题目提示

打无密码的mysql
为什么是无密码呢？
https://paper.seebug.org/510/
MySQL客户端连接并登录服务器时存在两种情况：需要密码认证以及无需密码认证。当需要密码认证时使用挑战应答模式，服务器先发送salt然后客户端使用salt加密密码然后验证；当无需密码认证时直接发送TCP/IP数据包即可。所以在非交互模式下登录并操作MySQL只能在无需密码认证，未授权情况下进行，本文利用SSRF漏洞攻击MySQL也是在其未授权情况下进行的。

随便写点东西 Login 一下，然后有个 returl 写个 baidu，发现可以请求 baidu