iwebsec靶场文件包含漏洞通关笔记3-session文件包含

最新推荐文章于 2024-06-19 15:00:41 发布

mooyuan天天

最新推荐文章于 2024-06-19 15:00:41 发布

阅读量421

点赞数 2

分类专栏： iwebsec靶场网络安全文章标签： php 安全 web安全

本文链接：https://blog.csdn.net/mooyuan/article/details/128066538

版权

iwebsec靶场同时被 2 个专栏收录

42 篇文章 18 订阅

订阅专栏

网络安全

19 篇文章 1 订阅

订阅专栏

1.打开靶场

2.源码分析

（1）session文件包含漏洞的的工作原理

（2）sessionstart()做了哪些初始化工作

3.获取session文件位置

4.向session写入webshell

5.访问webshell

1.打开靶场

iwebsec 靶场漏洞库iwebsechttp://iwebsec.com:81/fi/03.php

随手根据提示，参数写iwebsec=iwebsec，提示SESSION["username"]的内容是iwebsec，于是基于session包含进行渗透

2.源码分析

如下所示，源码中包含session_start，加上把iwebsec赋值session的特点，确认是session文件包含漏洞

<?php

  require_once('../header.php');
  ?>
<html>
	<head>
		<title>session本地文件包含</title>
	</head>
	<h2>session本地文件包含</h2>
		<div class="alert alert-success">
			<p>/03.php?iwebsec=iwebsec </p>
		</div>
	<body>
<?php
	if(isset($_GET['iwebsec'])){
		session_start();
		$iwebsec=$_GET['iwebsec'];
		$_SESSION["username"]=$iwebsec;
		echo 'SESSION["username"]的内容是'. $_SESSION['username'];
	}else{
		exit();
	}
	
?>

（1）session文件包含漏洞的的工作原理

    1）首先使用session_start()函数进行初始换
    2）当执行PHP脚本时，通过使用SESSION超全局变量注册session变量。
    3）当PHP脚本执行结束时，未被销毁的session变量会被自动保存在本地一定路径下的session库中，这个路径可以通过php.ini文件中的session.savepath指定，下次浏览网页时可以加载使用。

（2）sessionstart()做了哪些初始化工作

    1）读取名为PHPSESSID（如果没有改变默认值）的cookie值，假使为xxxxxx。
    2）若读取到PHPSESSID这个COOKIE，创建SESSION变量，并从相应的目录中（可以再php.ini中设置）读取sess_xxxxxx（默认是这种命名方式）文件,将字符装在入SESSION变量中;
    3）若没有读取到PHPSESSID这个COOKIE，也会创建SESSION超全局变量注册session变量。同时创建一个sess_xxxxxx(名称为随机值)的session文件,同时将xxxxxx作为PHPSESSID的cookie值返回给浏览器端。

3.获取session文件位置

通常情况下session文件名的构造：sess_ + sessionid

sessionid可以在cookie页面进行查看右键-查看元素-网络

此时访问

iwebsec 靶场漏洞库iwebsechttp://iwebsec.com:81/fi/03.php?iwebsec=iwebsec

点击此报文在右边点击响应-cookie，如下所示获取到cookie的名称为plu9vbe6dj9a9gad1jg8idbmo7

于是session的文件名为

sess_plu9vbe6dj9a9gad1jg8idbmo7

文件的位置为

/var/lib/php/session/sess_plu9vbe6dj9a9gad1jg8idbmo7

4.向session写入webshell

目前打算写入一个显示php版本号的脚本，即写入<?php phpinfo();?>

于是构造如下url

http://iwebsec.com:81/fi/03.php?iwebsec=<?php phpinfo();?>

5.访问webshell

由于session文件位置为/var/lib/php/session/sess_plu9vbe6dj9a9gad1jg8idbmo7

利用第一关的任意文件包含漏洞来访问它，相对路径为

/fi/01.php?filename=../../../../var/lib/php/session/sess_plu9vbe6dj9a9gad1jg8idbmo7

那么访问url为

iwebsec 靶场漏洞库iwebsechttp://iwebsec.com:81/fi/01.php?filename=../../../../var/lib/php/session/sess_plu9vbe6dj9a9gad1jg8idbmo7

如下所示，渗透成功

mooyuan天天

关注

2
点赞
踩
4

收藏

觉得还不错? 一键收藏
打赏
0
评论
iwebsec靶场文件包含漏洞通关笔记3-session文件包含

3）当PHP脚本执行结束时，未被销毁的session变量会被自动保存在本地一定路径下的session库中，这个路径可以通过php.ini文件中的session.savepath指定，下次浏览网页时可以加载使用。2）若读取到PHPSESSID这个COOKIE，创建SESSION变量，并从相应的目录中（可以再php.ini中设置）读取sess_xxxxxx（默认是这种命名方式）文件,将字符装在入SESSION变量中;2）当执行PHP脚本时，通过使用SESSION超全局变量注册session变量。
复制链接

扫一扫