从Burp Suite到Gopher协议：实战解析SSRF文件上传攻击链
在CTF竞赛和渗透测试中，服务器端请求伪造（SSRF）漏洞常被用来突破网络边界，而Gopher协议则因其灵活的数据包构造能力成为攻击者的利器。本文将带您深入理解如何利用Burp Suite这一专业工具，将常规HTTP文件上传请求转化为Gopher协议攻击载荷，实现对内网服务的精准打击。
1. 环境准备与基础概念
在开始实战前，我们需要明确几个关键概念。SSRF漏洞允许攻击者诱导服务器向任意地址发起请求，而Gopher协议则是一个支持发送任意TCP数据包的古老协议。当两者结合时，攻击者可以通过精心构造的Gopher URL，让受害服务器执行非预期的网络操作。
实验环境需求：
- Burp Suite Community/Professional版
- 支持Gopher协议的靶机环境（如CTFHub SSRF题目实例）
- 基础的HTTP协议理解能力
注意：所有实验应在授权环境下进行，未经授权的测试可能违反法律法规。
2. 捕获与分析原始HTTP请求
首先，我们需要获取一个正常的文件上传请求作为改造基础。使用Burp Suite的拦截功能，我们可以轻松捕获这类请求。
- 配置浏览器代理指向Burp Suite（默认127.0.0.1:8080）
- 在靶机Web界面选择文件并点击上传
- Burp Suite将自动拦截请求，示例如下：
POST /upload.php HTTP/1.1 Host: target.com Content-Type: multipart/form-data; boundary=----WebKitFormBoundaryABC123 Content-Length: 245 ------WebKitFormBoundaryABC123 Content-Disposition: form-data; name="file"; filename="test.txt" Content-Type: text/plain This is test content ------WebKitFormBoundaryABC123--关键点在于理解multipart/form-data的边界格式和请求结构。每个文件上传部分由边界字符串分隔，包含元数据和实际内容。
3. HTTP到Gopher的协议转换
Gopher协议要求我们将原始HTTP请求转换为特定格式的字符串。这个过程需要处理几个关键步骤：
转换规则：
- 将整个HTTP请求（包括头部和正文）转换为单行字符串
- 替换换行符为
%0d%0a（CRLF编码） - 对特殊字符进行URL编码（如空格变为%20）
- 在字符串前添加
gopher://target:port/_前缀
以下是一个Python脚本示例，可自动完成此转换：
import urllib.parse http_request = """POST /upload.php HTTP/1.1 Host: target.com ...完整请求内容...""" # 转换换行符并编码 gopher_payload = urllib.parse.quote(http_request.replace('\n', '\r\n')) gopher_url = f"gopher://127.0.0.1:80/_{gopher_payload}" print("生成的Gopher URL:", gopher_url)常见问题处理：
- 边界字符串必须保持一致
- Content-Length需与转换后长度匹配
- 特殊字符如
+、&需要额外编码
4. 攻击载荷的发送与验证
获得Gopher URL后，我们有两种主要方式发送攻击载荷：
方法对比表：
| 方式 | 优点 | 缺点 | 适用场景 |
|---|---|---|---|
| cURL命令 | 简单直接，无需额外工具 | 不易调试，错误信息有限 | 快速测试 |
| Burp Repeater | 可反复修改，实时查看响应 | 需要手动处理编码 | 精细调试 |
cURL示例：
curl -v "gopher://127.0.0.1:80/_POST%20/upload.php%20HTTP/1.1%0d%0aHost:%20target.com%0d%0a..."Burp Repeater技巧：
- 将Gopher URL粘贴到Repeater
- 使用Decoder模块检查编码是否正确
- 观察服务器响应判断攻击是否成功
在实际测试中，我发现Burp Repeater的"Send to Repeater"功能可以直接从Proxy获取请求，大幅简化了工作流程。但要注意，某些特殊字符在多次编码后可能导致请求失效，这时需要手动调整。
5. 高级技巧与防御对策
掌握了基础方法后，我们可以探索更复杂的攻击场景：
内网服务探测：
- 通过修改端口扫描Redis、MySQL等内网服务
- 利用302跳转绕过某些SSRF防护
防御建议：
- 禁用不必要的URL协议（如Gopher）
- 实施严格的输入验证和输出过滤
- 使用网络隔离限制服务器出站连接
一个实际案例是，我曾遇到一个系统虽然过滤了http://和https://，但允许gopher://协议。通过构造特殊的SMTP请求，最终实现了内网邮件服务的未授权访问。
6. 实战中的疑难问题解决
在实际操作中，经常会遇到各种意外情况。以下是几个典型问题及解决方案：
问题1：边界字符串不一致
- 现象：服务器返回"Invalid multipart request"
- 解决：确保转换前后boundary值完全一致，包括前后缀
问题2：编码过度
- 现象：请求被服务器拒绝但抓包显示格式正确
- 解决：检查是否有多余的URL编码层，特别是
%25（%的编码）
问题3：端口限制
- 现象：连接被目标防火墙阻止
- 解决：尝试常用Web端口（80,443,8080）或已知开放端口
# 调试用的小工具：显示实际发送的原始数据 import urllib.parse print(urllib.parse.unquote(gopher_url))在多次实战中，最耗时的往往是那些看似简单的细节问题。比如一次测试中，因为遗漏了Host头部的空格编码，导致整个攻击链失效，花费了两小时才定位到这个微小但关键的错误。
