初识文件包含漏洞

目录

什么是文件包含漏洞？

文件包含的环境要求

常见的文件包含函数

PHP伪协议

file://协议

php://协议

php://filter

php://input

zip://、bzip2://、zlib://协议

zip://

bzip2://

zlib://

data://协议

文件包含漏洞演示

案例1：php://input

案例2：php://input

案例3：php://filter

案例4：zip://

什么是文件包含漏洞？

文件包含（File  Include）漏洞也是web安全中很重要的一个漏洞，它主要会出现在PHP与JSP应用中，如果应用在运行过程中会动态加载其他脚本文件，并且加载的文件的文件路径由外部输入变量控制，就有可能产生文件包含漏洞

文件包含漏洞又可以被细分为两类：

  • 本地文件包含（Local File Include）
  • 远程文件包含（Remote File Include）

本地文件包含漏洞很多时候也是路径穿越漏洞，include()函数，其加载的文件如果是外部输入变量控制的，但是文件包含漏洞特指文件被Web应用载入并执行，比如在PHP中用include（）或者require（）函数载入文件并执行。在允许上传文件的场景中，攻击者可以上传恶意代码，再通过本地文件包含漏洞来执行该代码

远程文件包含是指应用可以通过一个URL加载并执行远程代码，比如PHP中的include()，就支持指定一个URL作为参数，利用远程文件包含漏洞，攻击者无须上传恶意文件到目标服务器，只需要将其放在远程服务器上即可

文件包含的环境要求

  • allow_url_fopen=On 规定是否允许从远程服务器或者网站检索数据

  • allow_url_include=On 规定是否允许include/require远程文件

常见的文件包含函数

  • include()

  • require()

  • include_once()

  • require()_once()

include与require的区别在错误处理方面:

  • include()，只生成警告（E_WARNING），并且脚本会继续

  • require()，会生成致命错误（E_COMPILE_ERROR）并停止脚本

  • include_once()与require()_once()，表示如果文件已包含，则不会包含

PHP伪协议

有的小伙伴就会好奇了，上面还是文件包含漏洞，怎么突然就到PHP伪协议，那当然是可以用得到了，那么下面就先介绍一下常见的php伪协议

PHP 提供了一些杂项输入/输出（IO）流，允许访问 PHP 的输入输出流、标准输入输出和错误描述符， 内存中、磁盘备份的临时文件流以及可以操作其他读取写入文件资源的过滤器。

file://协议

file:// 协议在下面两个配置均是on/off的情况下均可以正常使用：

allow_url_fopen ：off/on

allow_url_include：off/on

file:// 用于访问本地文件系统，在CTF中通常用来读取本地文件的因为它的使用不受allow_url_fopen与allow_url_include的影响

使用格式：file:// [文件的绝对路径和文件名]

可以可以测试一下，在已经本地物理路径的前提下，可以尝试读取一下文件，比如说现在index.html文件目录中有一个web.txt文件，我们尝试使用file://伪协议来进行包含 ：

web.txt：

<?php phpinfo();?>

然后尝试使用file://伪协议包含一下该文件：

 可以看到，这里我们的txt文件使用了file://伪协议包含后，成功的将php文件解析了。这就说明使用file://伪协议包含的文件会被视为php文件来解析

注：在Linux中也可以使用file://伪协议来读取文件

php://协议

php:// 访问各个输入/输出流（I/O streams），在CTF中经常使用的是php://filter和php://input，

php://filter用于读取源码，php://input用于执行php代码。

条件：

allow_url_fopen:off/on

allow_url_include :  仅php://input php://stdin php://memory php://temp 需要on

php://filter

php://filter 读取源代码并进行base64编码输出，不然会直接当做php代码执行就看不到源代码内容了。

php://filter在双off的情况下也可以正常使用；

allow_url_fopen ：off/on

allow_url_include：off/on

常见的过滤器：

字符串过滤器作用
string.rot13等同于str_rot13()，rot13变换
string.toupper等同于strtoupper()，转大写字母
string.tolower等同于strtolower()，转小写字母
string.strip_tags等同于strip_tags()，去除html、PHP语言标签
转换过滤器作用
convert.base64-encode & convert.base64-decode等同于base64_encode()和base64_decode()，base64编码解码
convert.quoted-printable-encode & convert.quoted-printable-decodequoted-printable 字符串与 8-bit 字符串编码解码
压缩过滤器作用
zlib.deflate & zlib.inflate在本地文件系统中创建 gzip 兼容文件的方法，但不产生命令行工具如 gzip的头和尾信息。只是压缩和解压数据流中的有效载荷部分。
bzip2.compress & bzip2.decompress同上，在本地文件系统中创建 bz2 兼容文件的方法。

下面就可以尝试使用php://filter伪协议的过滤器来包含一下文件看看有什么效果：

比如使用转换过滤器读取上面的web.txt文件：

可以看到是一串字符，将其进行base64解码就会发现是文件的内容：

但是并没有对该文件进行解析，说明它是无法解析php的

php://input

php://input可以访问请求的原始数据的只读流，将post请求的数据当作php代码执行。

当传入的参数作为文件名打开时，可以将参数设为php://input,同时post想设置的文件内容，php执行时会将post内容当作文件内容，然后导致任意代码执行。

条件：

allow_url_fopen ：off/on

allow_url_include：on

还是使用上面的web.txt文件，然后换成php://input伪协议包含一下看看

因为这里需要畸形POST提交，因此我使用Burpsuite抓下面的数据包，然后添加phpinfo();来测试，再进行发送，看看是否会解析：

http://127.0.0.1/include/include.php?file=php://input

可以看到，成功的解析了php文件

zip://、bzip2://、zlib://协议

条件：

allow_url_fopen:off/on

allow_url_include :off/on

作用：zip:// & bzip2:// & zlib:// 均属于压缩流，可以访问压缩文件中的子文件，更重要的是不需要指定后缀名，可修改为任意后缀：jpg png gif xxx 等等。

zip://

格式：zip://[压缩文件绝对路径]%23[压缩文件内的子文件名]（#编码为%23）

这里还是使用上面的web.txt文件然后将web.txt进行zip压缩,压缩文件名为web.zip,如果可以上传zip文件便直接上传，若不能便将file.zip重命名为file.jpg后在上传，其他几种压缩格式也可以这样操作。

bzip2://

这里没有解析成功，不知道是什么原因，按道理是可以解析成功的(╥﹏╥) 

zlib://

data://协议

data:// 协议是是受限于allow_url_fopen的，官方文档上给出的是NO，所以要使用data://协议需要满足双on条件

即：

allow_url_fopen ：on

allow_url_include：on

然后可以使用data://伪协议来包含一个txt文件:

格式1：data://text/plain,

格式2：data://text/plain;base64,

文件包含漏洞演示

案例1：php://input

代码：

<meta charset="utf8">
<?php
error_reporting(0);
$file = $_GET["file"];
if(stristr($file,"php://filter") || stristr($file,"zip://") || stristr($file,"phar://") || stristr($file,"data:")){exit('hacker!');
}
if($file){if ($file!="http://www.baidu.com") echo "tips：flag在当前目录的某个文件中";include($file); //用户传递过来的
}else{echo '<a href="?file=http://www.baidu.com">click go baidu</a>';
}
?>

访问发现是一个链接，点击会跳转到百度页面：

在百度页面可以看到是给file传入了一个www.baidu.com网址，因此跳转到了百度页面，

尝试更换file的网址发现网页提示我们flag在某一个文件中：

那么现在就可以使用上面的PHP伪协议来尝试获取一个页面中的文件，可以使用php://input来进行获取，因为php://input需要使用POST传参，因此我们首先抓一个数据包，然后尝试在后面加上执行的命令，例如执行一个phpinfo()文件：

为了找到flag，可以使用下面的命令查看当前目录，然后发现另一个flag.txt文件：

使用下面的命令打开该文件，就可以拿到flag了：

案例2：php://input

代码：

<?php
show_source(__FILE__);
include('flag.php');
$a= $_GET["a"];
if(isset($a)&&(file_get_contents($a,'r')) === 'I want flag'){echo "success\n";echo $flag;
}

 flag：

//flag.php
<?php
$flag = ‘flag{flag_is_here}’;
?>

访问页面发现这里说flag就在这样，有本事就来拿吧：

查看了代码后，发现当参数$a不为空，且读取的文件中包含’I want flag’时，即可显示$flag。

所以可以使用php://input得到原始的post数据,访问请求的原始数据的只读流,将post请求中的数据作为PHP代码执行来进行绕过。

注：遇到file_get_contents()要想到用php://input绕过。

案例3：php://filter

代码：

<meta charset="utf8">
<?php
error_reporting(0);
$file = $_GET["file"];
if(stristr($file,"php://input") || stristr($file,"zip://") || stristr($file,"phar://") || stristr($file,"data:")){exit('hacker!');
}
if($file){include($file);
}else{echo '<a href="?file=flag.php">tips</a>';
}
?>

可以看到种类将php://input、zip://、phar://、data://伪协议都限制了，但是却并没有限制php:filter伪协议，可以使用它可以进行读取文件：

可以看到得到了一串base64的编码，解码后：

案例4：zip://

代码：

//index.php
<meta charset="utf8">
<?php
error_reporting(0);
$file = $_GET["file"];
if (!$file) echo '<a href="?file=upload">upload?</a>';
if(stristr($file,"input")||stristr($file, "filter")||stristr($file,"data")/*||stristr($file,"phar")*/){echo "hick?";exit();
}else{include($file.".php");
}
?>
<!-- flag在当前目录的某个文件中 -->
//upload.php
<meta charset="utf-8">
<form action="upload.php" method="post" enctype="multipart/form-data" ><input type="file" name="fupload" /><input type="submit" value="upload!" />
</form>
you can upload jpg,png,zip....<br />
<?php
if( isset( $_FILES['fupload'] ) ) {$uploaded_name = $_FILES[ 'fupload' ][ 'name' ];         //文件名$uploaded_ext  = substr( $uploaded_name, strrpos( $uploaded_name, '.' ) + 1);   //文件后缀$uploaded_size = $_FILES[ 'fupload' ][ 'size' ];         //文件大小$uploaded_tmp  = $_FILES[ 'fupload' ][ 'tmp_name' ];     // 存储在服务器的文件的临时副本的名称$target_path = "uploads\\".md5(uniqid(rand())).".".$uploaded_ext;if( ( strtolower( $uploaded_ext ) == "jpg" || strtolower( $uploaded_ext ) == "jpeg" || strtolower( $uploaded_ext ) == "png" || strtolower( $uploaded_ext ) == "zip" ) &&( $uploaded_size < 100000 ) ) {if( !move_uploaded_file( $uploaded_tmp, $target_path ) ) {// Noecho '<pre>upload error</pre>';}else {// Yes!echo "<pre>".dirname(__FILE__)."\\{$target_path} succesfully uploaded!</pre>";}}else {echo '<pre>you can upload jpg,png,zip....</pre>';}
}?>

访问index.php文件看到有一个upload?点击后就来到了upload.php页面：

可以看到这里我们可以传入jpg,png,zip文件，这里就可以使用我们上面的zip://伪协议了：

先上传一个zip文件：

然后使用zip://伪协议包含：

可以看到也是成功的包含并且解析了

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.rhkb.cn/news/254618.html

如若内容造成侵权/违法违规/事实不符，请联系长河编程网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！

相关文章

Linux下库函数、静态库与动态库

Linux下库函数、静态库与动态库

库函数 什么是库 库是二进制文件, 是源代码文件的另一种表现形式, 是加了密的源代码; 是一些功能相近或者是相似的函数的集合体. 使用库有什么好处 提高代码的可重用性, 而且还可以提高程序的健壮性;可以减少开发者的代码开发量, 缩短开发周期. 库制作完成后, 如何给用户…
阅读更多...
Java编程构建高效二手交易平台

Java编程构建高效二手交易平台

✍✍计算机编程指导师 ⭐⭐个人介绍&#xff1a;自己非常喜欢研究技术问题&#xff01;专业做Java、Python、微信小程序、安卓、大数据、爬虫、Golang、大屏等实战项目。 ⛽⛽实战项目&#xff1a;有源码或者技术上的问题欢迎在评论区一起讨论交流&#xff01; ⚡⚡ Java实战 |…
阅读更多...
Python爬虫实战：抓取猫眼电影排行榜top100#4

Python爬虫实战：抓取猫眼电影排行榜top100#4

爬虫专栏系列&#xff1a;http://t.csdnimg.cn/Oiun0 抓取猫眼电影排行 本节中&#xff0c;我们利用 requests 库和正则表达式来抓取猫眼电影 TOP100 的相关内容。requests 比 urllib 使用更加方便&#xff0c;而且目前我们还没有系统学习 HTML 解析库&#xff0c;所以这里就…
阅读更多...
CTFshow web(php命令执行 45-49）

CTFshow web(php命令执行 45-49）

基础知识&#xff1a; 1.绕过cat使用&#xff1a; tac more less head tac tail nl od(二进制查看) vi vim sort uniq rev 2.绕过空格用&#xff1a; %09 <> ${IFS} $IFS$ {cat,fl*} %20 注&#xff1a; %09 ##&#xff08;Tab&#xff09; %20 ##&#xff08;spa…
阅读更多...
【芯片设计- RTL 数字逻辑设计入门 15 -- 函数实现数据大小端转换】

【芯片设计- RTL 数字逻辑设计入门 15 -- 函数实现数据大小端转换】

文章目录 函数实现数据大小端转换函数语法函数使用的规则Verilog and Testbench综合图VCS 仿真波形 函数实现数据大小端转换 在数字芯片设计中&#xff0c;经常把实现特定功能的模块编写成函数&#xff0c;在需要的时候再在主模块中调用&#xff0c;以提高代码的复用性和提高设…
阅读更多...
力扣热题100_双指针_11_盛最多水的容器

力扣热题100_双指针_11_盛最多水的容器

文章目录 题目链接解题思路解题代码 题目链接 给定一个长度为 n 的整数数组 height 。有 n 条垂线&#xff0c;第 i 条线的两个端点是 (i, 0) 和 (i, height[i]) 。 找出其中的两条线&#xff0c;使得它们与 x 轴共同构成的容器可以容纳最多的水。 返回容器可以储存的最大水…
阅读更多...
【深度学习】：滴滴出行-交通场景目标检测

【深度学习】：滴滴出行-交通场景目标检测

清华大学驭风计划课程链接 学堂在线 - 精品在线课程学习平台 (xuetangx.com) 代码和报告均为本人自己实现&#xff08;实验满分&#xff09;&#xff0c;只展示主要任务实验结果&#xff0c;如果需要详细的实验报告或者代码可以私聊博主&#xff0c;接实验技术指导1对1 有任…
阅读更多...
在 Next 中， ORM 框架 Prisma 使用

在 Next 中， ORM 框架 Prisma 使用

Prisma 介绍 Prisma 是一个 ORM 框架&#xff0c;主要用于 Node.js 或 TypeScript 作为后端开发的应用&#xff0c;主要有三部分组成&#xff1a; Prisma Client&#xff1a;自动生成且类型安全的查询构建器&#xff0c;适用于 Nodex.js 和 TS&#xff1b;Prisma Migrate: 迁…
阅读更多...
使用Softing edgeConnector模块将云轻松连接到Siemens PLC

使用Softing edgeConnector模块将云轻松连接到Siemens PLC

一 工业边缘的连接解决方案 云服务提供商 (CSP) 引入了服务和功能&#xff0c;以简化基于云的工业物联网解决方案的实施。Azure Industrial IoT Platform或AWS IoT SiteWise支持标准协议和接口&#xff0c;例如OPC UA或MQTT。但是&#xff0c;如果您希望在典型的旧改项目中连接…
阅读更多...
UML之在Markdown中使用Mermaid绘制类图

UML之在Markdown中使用Mermaid绘制类图

1.UML概述 UML&#xff08;Unified modeling language UML&#xff09;统一建模语言&#xff0c;是一种用于软件系统分析和设计的语言工具&#xff0c;它用于帮助软件开发人员进行思考和记录思路。 类图是描述类与类之间的关系的&#xff0c;是UML图中最核心的。类图的是用于…
阅读更多...
工业笔记本丨行业三防笔记本丨亿道加固笔记本定制丨极端温度优势

工业笔记本丨行业三防笔记本丨亿道加固笔记本定制丨极端温度优势

工业笔记本是专为在恶劣环境条件下工作而设计的高度耐用的计算机设备。与传统消费者级笔记本电脑相比&#xff0c;工业笔记本在极端温度下展现出了许多优势。本文将探讨工业笔记本在极端温度环境中的表现&#xff0c;并介绍其优势。 耐高温性能: 工业笔记本具有更高的耐高温性…
阅读更多...
FastDFS安装并整合Openresty

FastDFS安装并整合Openresty

FastDFS安装 一、环境--centos7二、FastDFS--tracker安装2.1.下载2.2.FastDFS安装环境2.3.安装FastDFS依赖libevent库2.4.安装libfastcommon2.5.安装 libserverframe 网络框架2.6.tracker编译安装2.7.文件安装位置介绍2.8.错误处理2.9.配置FastDFS跟踪器(Tracker)2.10.启动2.11…
阅读更多...
win32编程系统BUG（Win32 API中的WM_SETTEXT消息）

win32编程系统BUG（Win32 API中的WM_SETTEXT消息）

由于频繁使用Win32 API中的WM_SETTEXT消息&#xff0c;导致内存占用直线上升。 暂未找到有效解决方案。
阅读更多...
【原创 附源码】Flutter海外登录--Tiktok登录最详细流程

【原创 附源码】Flutter海外登录--Tiktok登录最详细流程

最近接触了几个海外登录的平台&#xff0c;踩了很多坑&#xff0c;也总结了很多东西&#xff0c;决定记录下来给路过的兄弟坐个参考&#xff0c;也留着以后留着回顾。更新时间为2024年2月7日&#xff0c;后续集成方式可能会有变动&#xff0c;所以目前的集成流程仅供参考&#…
阅读更多...
排序算法---快速排序

排序算法---快速排序

原创不易&#xff0c;转载请注明出处。欢迎点赞收藏~ 快速排序是一种常用的排序算法&#xff0c;采用分治的策略来进行排序。它的基本思想是选取一个元素作为基准&#xff08;通常是数组中的第一个元素&#xff09;&#xff0c;然后将数组分割成两部分&#xff0c;其中一部分的…
阅读更多...
JAVA设计模式之模版方法模式详解

JAVA设计模式之模版方法模式详解

模板方法模式 1 模板方法模式介绍 模板方法模式(template method pattern)原始定义是&#xff1a;在操作中定义算法的框架&#xff0c;将一些步骤推迟到子类中。模板方法让子类在不改变算法结构的情况下重新定义算法的某些步骤。 模板方法中的算法可以理解为广义上的业务逻辑…
阅读更多...
了解海外云手机的多种功能

了解海外云手机的多种功能

随着社会的高度发展&#xff0c;海外云手机成为商家不可或缺的工具&#xff0c;为企业出海提供了便利的解决方案。然而&#xff0c;谈及海外云手机&#xff0c;很多人仍不了解其强大功能。究竟海外云手机有哪些功能&#xff0c;可以为我们做些什么呢&#xff1f; 由于国内电商竞…
阅读更多...
C++类和对象（上）

C++类和对象（上）

目录 1.面向对象和面向过程初步认识 2.类的引入 3.类的定义 3.1类的定义方法 3.2成员变量的命名规则 4.类的访问限定符及封装 4.1类的访问限定符 4.2类的声明和定义分离 4.3封装 5.类的实例化 6.类对象模型 6.1计算类的大小 6.2类对象的存储方式猜测 7.this指针 …
阅读更多...
Python初学者学习记录——python基础综合案例：数据可视化——动态柱状图

Python初学者学习记录——python基础综合案例：数据可视化——动态柱状图

一、案例效果 通过pyecharts可以实现数据的动态显示&#xff0c;直观的感受1960~2019年世界各国GDP的变化趋势 二、通过Bar构建基础柱状图 反转x轴和y轴 标签数值在右侧 from pyecharts.charts import Bar from pyecharts.options import LabelOpts# 构建柱状图对象 bar Bar()…
阅读更多...
基于图像掩膜和深度学习的花生豆分拣（附源码）

基于图像掩膜和深度学习的花生豆分拣（附源码）

目录 项目介绍 图像分类网络构建 处理花生豆图片完成预测 项目介绍 这是一个使用图像掩膜技术和深度学习技术实现的一个花生豆分拣系统 我们有大量的花生豆图片&#xff0c;并以及打好了标签&#xff0c;可以看一下目录结构和几张具体的图片 同时我们也有几张大的图片&…
阅读更多...
最新文章
推荐文章

Copyright @ 2022~2023