![3b4aac0d321f64cef2a838c1a839cbc6.png](https://i-blog.csdnimg.cn/blog_migrate/08427d045aa8c90cac41cbf8e3a30497.jpeg)
文件包含漏洞是由于函数加载的参数没有经过严格的过滤或者限制,可以被用户控制,包含恶意文件,从而达到getshell。
常见的敏感信息路径:
Windows系统的敏感信息路径:
c:boot.ini // 查看系统版本
c:windowsrepairsam // 存储Windows系统初次安装的密码
c:ProgramFilesmysqlmy.ini // MySQL配置
c:ProgramFilesmysqldatamysqluser.MYD // MySQL root密码
c:windowsphp.ini // php 配置信息
Linux/Unix系统的敏感信息路径:
/etc/passwd // 账户信息
/etc/shadow // 账户密码文件
/usr/local/app/php5/lib/php.ini // PHP相关配置
/etc/httpd/conf/httpd.conf // Apache配置文件
/etc/my.conf // mysql 配置文件
想必大家都看了我之前写的本地包含漏洞的文章,可能写的有点小瑕疵,为了弥补小瑕疵,这篇文章主要是介绍session文件包含漏洞,说白了就是利用session的位置可以存储的特性来getshell。
搭建环境:
win2008 192.168.64.1
Linux 192.168.64.148
PHP-5.6
首先我们先看以下seesion目录的位置为/var/lib/php5/session,一般的位置都是/var/lib/php/session,可能受版本、系统版本的影响吧,这个大家知道就可以了:
![6c324d1039d822973ff68a5cdee4b981.png](https://i-blog.csdnimg.cn/blog_migrate/cc3991e30d1f87b07401d9999e2770ac.jpeg)
由于session中的内容可以被控制,我们可以用这一点将恶意代码存储到seeion目录下,这样我们就能getshell,是不是特惊喜>>>>>
先写一段php的代码,代码命名为cmdback.php:
<?php
session_start();
$cmdback=$_GET['cmdback'];
$_SESSION["hack"]=$cmdback;
?>
此时php获取到get型的变量cmdback值会存储到session目录下面,假如我们将变量设置值设置为phpinfo的页面,我们通过包含漏洞就可以直接获取到phpinfo页面信息:
(1)、我们首先通过浏览器访问http://192.168.64.148/cmdback.php?cmdback=<?php phpinfo();?>,当我们访问完毕后,会在session目录下面生成session的值:
![3be59549581f7b1b11b011c5f763f9ea.png](https://i-blog.csdnimg.cn/blog_migrate/c01a5c325a7818b4e39603face46099b.jpeg)
![1f5761ea5783dc8b8c97a97c2cc30e13.png](https://i-blog.csdnimg.cn/blog_migrate/f96f39fc102a37d8de575dc066b84c9e.jpeg)
通过查看seesion值可以查看出,结构的构造是sess+id的值。
接下来我们通过访问http://192.168.64.148/xxx.php?cc=/var/lib/php5/session/seesion值,成功返回phpinfo页面信息,以此类推,我们可以写入一句话就能getshell:
![9b44d65e22a436161c07362cd62daeec.png](https://i-blog.csdnimg.cn/blog_migrate/4d662f7e5314e0090159f15343721637.jpeg)