文件包含支持的伪协议

---

一、什么是伪协议？

PHP官方文档

• 伪协议： 带有URL 风格的封装协议。
• PHP 带有很多内置 URL 风格的封装协议，可用于类似 fopen()、 copy()、 file_exists() 和 filesize() 的文件系统函数。 除了这些封装协议，还能通过 stream_wrapper_register() 来注册自定义的封装协议。
• 封装：是php面向对象的其中一个特性，将多个可重复使用的函数封装到一个类里面，在使用时直接实例化该类的某一个方法，获得需要的数据。

file:// — 访问本地文件系统
http:// — 访问 HTTP(s) 网址
ftp:// — 访问 FTP(s) URLs
php:// — 访问各个输入/输出流（I/O streams）
zlib:// — 压缩流
data:// — 数据（RFC 2397）
glob:// — 查找匹配的文件路径模式
phar:// — PHP 归档
ssh2:// — 安全外壳协议 2
rar:// — RAR
ogg:// — 音频流
expect:// — 处理交互式的流

二、文件包含支持的伪协议用法

描述之前，我们先把php.ini的allow_url_fopen 和allow_url_include设置为On。以便对这些伪协议进行分析。

1、php://

php:// — 访问各个输入/输出流（I/O streams）

1.1 php://input

php://input：访问请求的原始数据的只读流。
注：当enctype=”multipart/form-data”时，php://input是无效的。

示例：

include会把参数’info’当作文件执行

正常情况下，除非输入的参数刚好是这个目录下的某个文件，
比如我有个名为alert.php的文件

否则就会报错

现在我们利用php://input协议

截取数据包

在最后面，我们加入要执行的代码<?php echo phpinfo(); ?>
这里输入的实际上就是请求的数据，然后它被当作代码执行了。

放包

扩展

这里有道关于php://input的ctf题，我们提取部分代码进行分析。
链接
简单的代码示例：
file_get_contens($data):将文件内容以字符串形式输出

这里的data被当作文件读取，而实际上，后台并不能找到名为"a"的这个文件，所以会报错。

利用php://input绕过

现在我们输入的值为空，返回false

用burpsite进行抓包，在最后面输入我们要传进去的值“xxx”（因为根据源代码，只有data为xxx时，才会返回true）

放包

这个时候，后台得到的数据应该是这样子的


若是修改参数

则会发生和最初一样的报错，文件不存在

也就是说，file_get_contents("php://input")能够获取请求原始数据流。
按照函数的检测逻辑，"php://input"被当作了空的文件来读取，输出的自然也是空字符串。然后，当我们在burpsite上抓包，POST中输入data的时候，后台看见的代码应该是$a ="".$data
但是具体是否如此我也不太清楚，网上并没有找到准确的答案。
像这样的：

这样子也可以

经过测试，我发现还有其他一些php伪协议也可以被file_get_contents执行，例如：
php://stdout,php://stdin,php://stderr
php://output,php://memory,php://temp

1.2 php://output

• php://output 只写的数据流
• php://output允许你以 print 和 echo 一样的方式写入到输出缓冲区。

示例：

内容并没有被写入。因为php://input是只读流。

换成php://output,只写的数据流

所谓缓冲区就是，临时存放数据的地方。当我们重新访问时，它就会刷新；
当我们修改文件中的内容时，它也会刷新自己的内容。像这里的 $f 实际上并没有被创建到相对路径下，而是被放置在缓冲区。

1.3 php://filter

• php://filter是一种元封装器，是PHP中特有的协议流，设计用于数据流打开时的筛选过滤应用，作用是作为一个“中间流”来处理其他流。

• php://filter目标使用以下的参数作为它路径的一部分。复合过滤链能够在一个路径上指定。

名称	描述	备注
resource=<要过滤的数据流>	指定了你要筛选过滤的数据流。	必选
read=<读链的筛选列表>	可以设定一个或多个过滤器名称，以管道符分隔	可选
write=<写链的筛选列表>	可以设定一个或多个过滤器名称，以管道符分隔。	可选
<；两个链的筛选列表>	任何没有以 read= 或 write= 作前缀 的筛选器列表会视情况应用于读或写链。

page=php://filter/read=convert.base64-encode/resource=../../../../../../phpstudy_pro\WWW\feng\php_output.php

得到：
PD9waHANCgkNCgkkZj1mb3BlbigicGhwOi8vb3V0cHV0IiwiYSIpOw0KCWZ3cml0ZSgkZiwidGhpcyBpcyBhIHNlbnRlbmNlIik7DQoJZmNsb3NlKCRmKTsNCj8+
进行base64解码

但是如果是有中文的文件，就不好读取了。base64对中文支持并不友好，需要对中文进行编码之后再转base64。这里我就不尝试了。读取的文件都是非中文的。

php://filter可用于读取包含有敏感信息的PHP等源⽂件，使用base64加密是了防止被浏览器当作XML语言解析，导致出错。

1.4 其它php://伪协议

2、file://

• 常用于读取本地文件

示例：

3、data://

• data://伪协议，是数据流封装器，和php://相似，都是利用了流的概念，将原本的include的文件流重定向到了用户可控制的输入流中，简单来说就是执行文件的包含方法包含了你的输入流，通过包含你输入的payload来实现目的。

格式：?file=data://text/plain,payload ?>
例1：
?page=data://text/plain,<script>alert(document.cookie)</script>

例2：
?page=data://text/plain,<?php system("ping 127.0.0.1");?>
例3：

如果对特殊字符进行了过滤，可以通过base64编码后再输入
?page=data://text/plain;base64,PD9waHAgZWNobyBwaHBpbmZvKCk7Pz4=

4、phar://

• php解压缩包的一个函数，不管后缀是什么，都当作压缩包来解压。
• 格式：

?file=phar://压缩包名/内部文件名
例：phar://x.zip/x.php
步骤：写一个一句话木马shell.php，然后用zip协议压缩为shell.zip，
再将后缀改为png等其他格式

注：php 版本大于等于5.3.0，压缩包需要是zip协议压缩，rar不行，将木马文件压缩后，改为其他任意格式的文件都可以正常使用。

5、zip://

源代码：

压缩（zip）

为了验证zip函数可以将任意文件当作压缩包来解压，我们修改后缀为bb.txt

访问(绝对路径)

这里貌似可以直接访问本地文件（但是phar不能）

更多的协议与相关测试，以后有时间再补充

三、总结

• 文件包含的主要函数有：include()、require()、include_once()、require_once()等。
• 文件包含支持的伪协议主要有：php://input、php://filter、data://、phar://、zip://等
• 伪协议在文件包含漏洞上的使用能够帮助我们绕过一些检测机制（比如包含的文件必须是“file”开头之类的判别，又或者利用data伪协议写入一句话木马）。
• 另外，这些协议的使用还有一些使用条件，我并没有写出来。
  大家可以自行去网上查找相关资料。