SSRF基礎

OWASP Night 2019-09-18 / OWASP Japan

[auient]

gopherプロトコルすごい

[zu2]

gopher便利スギ

[JULY]

最後にある、一旦リダイレクトさせるようにして、プロトコルの制限を回避して、というのは目からウロコだった。というか、gopher って久しぶりに聞いたなぁ（インターネット老人会メンバー）。

[watass]

確かにプロトコルまで指定できるケース考えると攻撃の手段一気に広がりそう

[mkusunok]

このところSTKでSIMにマルウェア突っ込むとか、SSRFした先でGopherとか、四半世紀前を知らないと何が起こってるのか理解できない攻撃が多くて、そろそろWebもモバイルもレガシーなんだと痛感するな

[napsucks]

gopherってcurlでサポートされてたのか。1990年代のいにしえのプロトコルだと思ってたわ

[sho]

うえぇぇ。タイトル詐欺だw 相変わらず良く気づくなぁ。

[hogege]

φ(..)メモメモ

[yujiorama]

gopher プロトコル!

[ko-ya-ma]

gopherってこんなことに使えちゃうやつだったのか

[ya--mada]

外部パラメータでキックするURLを指定しないとイケない場合は、curlベースの実装を使っているなら iptables なり別系でガードしておく必要がある。勝手にリダイレクトしない実装でもよいけど、NWで抑えておけるようにも

[oldriver]

gopher

[shinagaki]

令和になってから gopher を聞いたの、これが初めて

[efcl]

SSRFの概要、攻撃方法、防御方法についてのスライド

[yuiseki]

なかなかおもしろい攻撃方法だ

[rjge]

おお…gopherプロトコルってまだサポートされてるのか…

[takezaki]

わかりやす

[gfx]

gopherこわい。多機能すぎるHTTPクライアント（libcurl）は考えものだなー。

[tasukuchan]

gopherなるほど

[teramako]

gopherプロトコル // 301リダイレクトからのgopherコンボ // http://2852039166/ とか http://0xa9fea9fe/ とできることを初めて知った

[daaaaaai]

ありそう・・・

[field_combat]

こんなやり方があるのか

[tsekine]

若輩者なのでgopherを本当に使ったサービスなんぞ使ったことがないのだが、まだプロトコルとして（デフォルトコンパイルで）サポートする必要あるのか？

[uunfo]

IPアドレスって.区切りじゃなくてもいいのか…。リダイレクトやgopherでブラックリストを回避できるのね。

[castaneai]

gopherプロトコルで任意のテキストベースのプロトコルを真似できる、やばい

[kabuquery]

よし！試してみよう！