本文介绍了PHP中的伪协议php://filter及其在数据流过滤中的应用，展示了如何通过php://filter读取源码，同时也着重讨论了如何通过验证输入、使用白名单、禁用危险协议等方式来防范伪协议引发的安全威胁。
| — | — | — |
| php://input | on/off | on |
| php://stdin | on/off | on |
| php://memory | on/off | on |
| php://temp | on/off | on |
| php://filter | on/off | on/off |
看着确实挺多的，有点迷糊，但是只需要记住php://input 以及 php://filter 就行了，就这俩常用
php://filter
| 名称 | 描述 |
|---|---|
| resource<—>要过滤的数据流 | 这是个必要参数。它指定了你需要筛选过滤的数据流(简单来说就是你的数据来源) |
| read<—>读链的筛选列表 | 这个参数可选。可以设定一个或多个过滤器名称。以管道符（/）分隔 |
| write<—>读链的筛选列表 | 这个参数可选。可以设定一个或多个过滤器名称。以管道符（/）分隔 |
举个例子，就以靶场http://buuoj.cn 这个上面的提为例：
题目给了提示，文件包含，所以这个p盲猜是include内的参数，所以直接输入flag试试
这样读取并未获取到想要的信息，此时，我们考虑使用伪协议间接读取它的源码
通过在url后面添加了伪协议读取方式，我们就将它的源码以base64的编码格式读取出来了，通过这个例子，我们通过php://filter伪协议将服务器中的flag.php文件源码读取出来了，说明这个伪协议可能造成源码或者服务器敏感信息泄露。
php://filter 是一种元封装器， 设计用于数据流打开时的筛选过滤应用。这对于一体式（all-in-one）的文件函数非常有用，类似 readfile()、 file() 和 file_get_contents()， 在数据流内容读取之前没有机会应用其他过滤器。
php://filter读取源码可以使用以下的一些命令：
读：php://filter/resource=文件名
php://filter/read=convert.base64-encode/resource=文件名
写：php://filter/resource=文件名&txt=文件内容
php://filter/write=convert.base64-encode/resource=文件名&txt=文件内容
3.3 zip://,bzip2://,zlib://协议
zip://, bzip2://, zlib:// 均属于压缩流，可以访问压缩文件中的子文件，更重要的是不需要指定后缀名
zip://协议
格式：
zip:// [压缩文件绝对路径]#[压缩文件内的子文件名]
例如: zip://archive.zip#dir/file.txt
先将要执行的PHP代码写好文件名为phpcode.txt，将phpcode.txt进行zip压缩,压缩文件名为file.zip,如果可以上传zip文件便直接上传，若不能便将file.zip重命名为file.jpg后在上传，其他几种压缩格式也可以这样操作。
由于#在get请求中会将后面的参数忽略所以使用get请求时候应进行url编码为%23，且此处经过测试相对路径是不可行，所以只能用绝对路径。
更多过滤器使用可参考
四、伪协议的防护
PHP这门语言，凭借其上手快，轻量级，以往在建站的时候被广泛使用，现实使用较少了，虽然使用少了但我们还是要对其存在的漏洞有所了解，掌握其中原理，以及了解其漏洞的基本利用方法。以下提供几种防御伪协议的方法：
4.1 验证输入数据
对用户输入的数据，采取零信任，无论输入来自url参数、表单数据还是其他途径，都需要进行严格过滤和验证。可以使用过滤器函数（如：filter_var()）对输入数据进行验证，确保其符合预期的格式和内容，避免恶意构造的URL导致安全漏洞。
4.2 使用白名单机制
为了防止伪协议被滥用，应该限制可访问的资源范围。可以创建一个白名单，只允许指定的资源可以通过伪协议进行访问。这样可以避免用户通过伪协议访问敏感文件和敏感资源。
4.3 禁用危险的协议
PHP提供了一些危险的伪协议，如：php://input 、php://filter、data://等，它们可能被用于读取、写入或执行恶意代码。为了防止安全漏洞，建议禁用这些危险的伪协议。可以通过修改php.ini文件或在代码中使用ini_set()函数来实现。
4.4 不要动态拼接URL
动态拼接URL可能导致安全风险，特别是包含用户输入的情况下。应该尽量避免将用户输入直接拼接到URL中，而是使用URL编码函数（urlencode()）对用户输入进行处理，确保URL的完整性和安全性。
4.5 使用安全的文件访问函数
在使用伪协议访问文件时，应该使用安全的文件访问函数,如file_ get contents0、file_ put contents0等。避免使不安全的函数，如include(、 require0等, 以防止恶意代码执行。
4.6限制文件访问权限
为了避免敏感文件被访问，应该设置合适的文件访问权限。确保只有授权的用户或进程才能访问这些文件。可以使用chmod命令或文件管理I具来设置文件权限。
4.7.定期更新和维护
及时更新PHP版本和相关组件，以获取最新的安全补J和功能改进。同时,定期检查和维护代码，修复可能存在的安全漏洞和错误。
4.8.使用安全的数据库操作
如果使用伪协议访问数据库,应该使用安全的数据库操作函数,如PD0或预处理语句,以防止SQL注入等安全威胁。
4.9.记录和监控日志
为了及时发现和处理安全事件,建议记录和监控伪协议访问的日志。可以使用日志分析工具或安全监控系统来实现。
总结起来，防御PHP伪协议安全威胁的方法包括验证输入数据、使用白名单机制、禁用危险的伪协议、不动态拼接URL、使用安全的文件访问函数、限制文件访问权限、定期更新和维护、使用安全的数据库操作、记录和监控日志等。通过综合使用这些方法，可以有效减少伪协议带来的安全风险,保护系统和用户的数据安全。
一、网安学习成长路线图
网安所有方向的技术点做的整理，形成各个领域的知识点汇总，它的用处就在于，你可以按照上面的知识点去找对应的学习资源，保证自己学得较为全面。
二、网安视频合集
观看零基础学习视频，看视频学习是最快捷也是最有效果的方式，跟着视频中老师的思路，从基础到深入，还是很容易入门的。
三、精品网安学习书籍
当我学到一定基础，有自己的理解能力的时候，会去阅读一些前辈整理的书籍或者手写的笔记资料，这些笔记详细记载了他们对一些技术点的理解，这些理解是比较独到，可以学到不一样的思路。
四、网络安全源码合集+工具包
光学理论是没用的，要学会跟着一起敲，要动手实操，才能将自己的所学运用到实际当中去，这时候可以搞点实战案例来学习。
五、网络安全面试题
最后就是大家最关心的网络安全面试题板块
网上学习资料一大堆，但如果学到的知识不成体系，遇到问题时只是浅尝辄止，不再深入研究，那么很难做到真正的技术提升。
一个人可以走的很快，但一群人才能走的更远！不论你是正从事IT行业的老鸟或是对IT行业感兴趣的新人，都欢迎加入我们的的圈子（技术交流、学习资源、职场吐槽、大厂内推、面试辅导），让我们一起学习成长！
144万+
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
