IThome 2024 鐵人賽一直刷 CTF - Day23

發表於 2024-09-26 更新於 2024-12-19 分類於 IThome 2024 鐵人賽，一直刷 CTF 閱讀次數：文章字數： 867 所需閱讀時間 ≈ 3 分鐘

前言

本日進度：

【成大資安社社課】不是 web3.0 的 web3 - 完

上課紀錄

SSRF (Server-Side Request Forgery)

伺服器端請求偽造 (Server-Side Request Forgery)
繞過防火牆，存取內網設備
多數資料庫、 mail server 等機敏設備會選擇架在內網

先回看 url 的定義 rfc3986

對於 scheme 的利用

本地
php 偽協議

gopher

但 gopher 這堂課不會詳細講道，之後再看

檢查 authority 是否合法

目標：成功存取內網的 ip 位置

可能被阻擋的方法

黑名單
- 破解方法：
  
  利用 Domain 混淆
白名單
- 破解方法：
  
  利用 Open Redirect https://google.com/amp/moon-jam.me 就會自動轉址到 moon-jam.me
DNS 解析後判斷是否合法
- 破解方法：
  
  利用 DNS Rebinding
  
  製作 DNS Rebinding 的網站
  
  上一秒的時候解析是 8.8.8.8 所以不會被擋掉
  
  但下一秒的時候解析就變成 127.0.0.1 了，就能成功存取內網 ip
  
  orange 做的神奇東西，在不同服務解析出來的結果不一樣

Lab - ssrf 1

用之前介紹的方法，利用 http://0 會被當成 http://localhost ，所以就可以成功存取內網 ip

Lab - ssrf 2

看他的程式碼知道網址的開頭要是 httpbin.dev ，去 https://httpbin.dev 看看有什麼東西，發現了

於是只要使用 https://httpbin.dev/redirect-to?url=http://localhost/internal-only 就可以成功存取內網 ip 拿盪 flag 了

Lab - ssrf 3

這提是用 DNS Rebinding 的方式，但試了好幾次都沒成功，只好來寫個程式以量取勝

import requests

url = "http://chall.nckuctf.org:28123/mkreq?url=http%3A%2F%2F7f000001.c0a80001.rbndr.us%2Finternal-only"

while True:
    response = requests.get(url)
    print(response.text)
    if "NCKU" in response.text:
        print(response.text)
        break