戰(zhàn)：Web_php_include偽協(xié)議繞過(guò)全解析)
第一次在攻防世界刷Web題的人大概率會(huì)撞上Web_php_include這道題。它不要求你懂多高深的內(nèi)網(wǎng)滲透也不涉及復(fù)雜的密碼學(xué)核心就考一件事你對(duì)PHP文件包含和幾個(gè)偽協(xié)議到底熟不熟。這篇WP我按“胎教”標(biāo)準(zhǔn)來(lái)寫(xiě)哪怕你現(xiàn)在只會(huì)用瀏覽器、連Burp都沒(méi)裝過(guò)跟著一步步做也能把flag拿到。代碼我會(huì)掰開(kāi)揉碎為什么能繞過(guò)、為什么這樣構(gòu)造payload我會(huì)講清楚而不是甩一個(gè)最終payload就完事。練習(xí)環(huán)境提示這篇WP里的所有操作都基于CTF競(jìng)賽靶場(chǎng)目標(biāo)是你自己賬號(hào)下的題目環(huán)境。網(wǎng)絡(luò)安全技術(shù)請(qǐng)只用在自己有授權(quán)的目標(biāo)上別拿去對(duì)公網(wǎng)網(wǎng)站做任何測(cè)試。1. 先動(dòng)手試環(huán)境長(zhǎng)什么樣這題在考什么1.1 打開(kāi)頁(yè)面就能看到的東西把題目環(huán)境打開(kāi)頁(yè)面沒(méi)有復(fù)雜的前端交互一進(jìn)來(lái)就是一大段高亮顯示的PHP代碼。很多新手看到這一步就懵了“怎么把源碼直接放出來(lái)了”其實(shí)這恰恰是題目在放水。代碼大概是這樣的?php show_source(__FILE__); echo br/; $page $_GET[page]; if (isset($page)) { if (strstr($page, php)) { echo no; } else { include($page); } } else { echo please input page parameter; } ?第一行show_source(__FILE__)作用就是把當(dāng)前文件源碼以高亮形式輸出到頁(yè)面上。也就是說(shuō)題目故意讓你看到完整源碼。做CTF題的第一步永遠(yuǎn)是看源碼這一行直接把這一步省了。繼續(xù)往下看$page $_GET[page];是在接收URL里的page參數(shù)。這里的邏輯也很簡(jiǎn)單如果沒(méi)有傳page參數(shù)就提示“please input page parameter”如果傳了就判斷$page里面有沒(méi)有php這個(gè)字符串有就輸出no沒(méi)有就include($page)。看到這里考點(diǎn)已經(jīng)浮出來(lái)了include一個(gè)用戶可控的變量這是非常典型的文件包含漏洞模型。1.2 一行一行讀PHP代碼漏洞點(diǎn)在哪里新手容易在strstr這個(gè)函數(shù)上卡住我先把它講明白。strstr($page, php)做的事情是在$page這個(gè)字符串里查找有沒(méi)有php這三個(gè)字符如果有返回從php開(kāi)始到結(jié)尾的字符串如果沒(méi)有返回false。這里把它放到if條件里意思就是只要$page里面出現(xiàn)了小寫(xiě)php直接被攔下頁(yè)面回顯一個(gè)“no”。也就是說(shuō)題目本意是想阻止你用php://開(kāi)頭的偽協(xié)議。因?yàn)閜hp://filter、php://input這類地址天然就帶php一多半的常規(guī)解法會(huì)被這個(gè)過(guò)濾擋住。同理include這邊是漏洞點(diǎn)。include($page)會(huì)把$page當(dāng)作文件路徑去包含。如果$page是本地路徑比如/etc/passwd它會(huì)把系統(tǒng)文件內(nèi)容讀出來(lái)如果$page是一個(gè)URL或偽協(xié)議它就會(huì)走PHP的流包裝器。我建議先做一個(gè)最簡(jiǎn)單的本地包含測(cè)試在URL后面拼上?page/etc/passwd如果頁(yè)面上出現(xiàn)了root:x:0:0:root:...這一類內(nèi)容說(shuō)明本地文件包含已經(jīng)成立。這時(shí)就可以正式進(jìn)入下一步思考怎么繞過(guò)php過(guò)濾把這個(gè)include變成能拿flag的武器。1.3 第一次嘗試為什么會(huì)失敗新手的第一反應(yīng)通常是構(gòu)造常規(guī)payload比如?pagephp://filter/readconvert.base64-encode/resourceflag.php提交后頁(yè)面果斷回了一個(gè)“no”。原因就是strstr($page, php)檢測(cè)到了php://里的php直接攔下。有人會(huì)想把php://換成PHP://行不行這就是關(guān)鍵突破口我后面單獨(dú)講。但現(xiàn)在先冷靜分析一下就算大小寫(xiě)換成PHP://這個(gè)payload還有沒(méi)有別的問(wèn)題有。resourceflag.php這個(gè)文件名末尾也有php三個(gè)字符。也就是說(shuō)strstr會(huì)連文件名一起檢查。只要最終URL里出現(xiàn)小寫(xiě)php都會(huì)被攔。這個(gè)坑很多題解都沒(méi)提但它恰恰決定了這道題不能靠“大小寫(xiě)filter讀flag.php”一步到位。所以真正要解決的是怎么在URL參數(shù)里徹底不出現(xiàn)php這三個(gè)字符又仍然能達(dá)到“包含并執(zhí)行PHP代碼”的效果。2. 不懂偽協(xié)議這題就是死路三個(gè)協(xié)議一次講清2.1 include怎么會(huì)和協(xié)議扯上關(guān)系很多沒(méi)接觸過(guò)PHP流包裝器的人會(huì)有個(gè)疑問(wèn)include平時(shí)不是用來(lái)包含文件的嗎為什么還能塞一個(gè)php://、data://這種看起來(lái)不像路徑的東西因?yàn)樵赑HP里include支持“URL包裝器”。你可以把php://filter、php://input、data://當(dāng)成一種特殊格式的“文件路徑”。當(dāng)PHP看到://它會(huì)調(diào)對(duì)應(yīng)的協(xié)議處理器來(lái)打開(kāi)數(shù)據(jù)流。include一個(gè)數(shù)據(jù)流時(shí)如果流里的內(nèi)容是PHP代碼PHP會(huì)在當(dāng)前上下文中執(zhí)行這些代碼如果是普通文本就直接輸出。這個(gè)機(jī)制非常厲害。普通文件包含最多讓你讀到文本有了偽協(xié)議直接可以把“包含一個(gè)文件”變成“執(zhí)行一段任意代碼”也就是從LFI往RCE升級(jí)。搭配題目的過(guò)濾條件我們要找的協(xié)議是在自身名字和參數(shù)里都不出現(xiàn)小寫(xiě)php或者能把php藏起來(lái)的方案。2.2 php://filter讀源碼的“透視鏡”php://filter是最常用的讀文件協(xié)議之一它的標(biāo)準(zhǔn)格式是php://filter/readconvert.base64-encode/resource目標(biāo)文件比如我要讀當(dāng)前目錄下的flag.php源碼理論上應(yīng)該寫(xiě)php://filter/readconvert.base64-encode/resourceflag.php它會(huì)先把flag.php內(nèi)容經(jīng)過(guò)base64_encode轉(zhuǎn)換再把結(jié)果作為數(shù)據(jù)流交給include輸出。為什么要轉(zhuǎn)成base64因?yàn)閕nclude直接讀PHP文件時(shí)會(huì)把里面的PHP代碼當(dāng)成代碼執(zhí)行你最終看不到源碼而把內(nèi)容base64編碼后PHP解釋器會(huì)把它當(dāng)成普通字符串原原本本顯示出來(lái)。拿到base64字符串后再自己解碼就能看到flag.php的原始內(nèi)容。但在這個(gè)題目里php://filter這個(gè)串本身就帶php直接用會(huì)被攔。要繞過(guò)就得利用PHP對(duì)協(xié)議名稱大小寫(xiě)不敏感的特性把它改寫(xiě)成PHP://filter。2.3 php://input把請(qǐng)求體當(dāng)文件讀php://input是一個(gè)只讀流負(fù)責(zé)讀取請(qǐng)求體。也就是說(shuō)如果URL指向php://input而POST請(qǐng)求體里放了一段PHP代碼include就會(huì)去執(zhí)行這段代碼。使用方式很好理解POST /?pagephp://input HTTP/1.1 Host: 目標(biāo)環(huán)境 ?php system(cat flag.php); ?不過(guò)同樣php://input字符串里有小寫(xiě)php又會(huì)被攔。于是又得用大小寫(xiě)改寫(xiě)比如PHP://input。注意POST請(qǐng)求體里的代碼不受strstr檢查影響因?yàn)檫^(guò)濾只檢查URL參數(shù)$page。這個(gè)方案的好處是代碼不用base64編碼邏輯清晰適合在Burp或curl里操作。2.4 data://自帶代碼執(zhí)行的新鮮玩法data://是第三個(gè)重要協(xié)議它允許你把一段數(shù)據(jù)直接寫(xiě)進(jìn)URL里。常見(jiàn)用法有兩種data://text/plain,明文代碼 data://text/plain;base64,base64編碼后的代碼第一種方式很容易翻車因?yàn)槊魑拇a里一旦出現(xiàn)?php這種片段strstr($page, php)會(huì)直接攔下。比如data://text/plain,?php system(ls);?這段URL里含有?php正好包含小寫(xiě)php必然被攔截。所以要用base64編碼版本把代碼整個(gè)藏起來(lái)data://text/plain;base64,PD9waHAgc3lzdGVtKCdscycpOw這樣URL里就沒(méi)有php字樣了可以繞過(guò)過(guò)濾。這是這道題目前最優(yōu)雅的解法也是網(wǎng)上一票題解的主推方案。2.5 三個(gè)協(xié)議怎么選先看這張表協(xié)議是否受allow_url_include影響本題目中能否繞過(guò)strstr過(guò)濾用途php://filter否改寫(xiě)為PHP://filter可繞過(guò)但不能在resource中出現(xiàn)小寫(xiě)php文件名讀源碼php://input是改寫(xiě)為PHP://input可繞過(guò)執(zhí)行任意代碼data://text/plain;base64是base64內(nèi)容不出現(xiàn)php即可直接繞過(guò)執(zhí)行任意代碼這里的allow_url_include是PHP配置項(xiàng)決定include能不能包含遠(yuǎn)程URL和部分偽協(xié)議。php://filter屬于內(nèi)置流不受它控制data://和php://input則需要它處于開(kāi)啟狀態(tài)。所以在CTF環(huán)境里如果data://方案不生效優(yōu)先檢查是不是配置限制。3. 第一招用大小寫(xiě)繞過(guò)PHP://filter看源碼3.1 大小寫(xiě)繞過(guò)到底為什么成立strstr($page, php)是區(qū)分大小寫(xiě)的。它只認(rèn)小寫(xiě)的p-h-p三個(gè)字符換成PHP、Php、pHp它都不認(rèn)識(shí)。PHP的流包裝器名稱則相反官方手冊(cè)里明確了它不區(qū)分大小寫(xiě)。也就是說(shuō)php://filter和PHP://filter對(duì)PHP來(lái)說(shuō)是同一個(gè)協(xié)議都能正常解析。于是繞過(guò)邏輯就通了strstr區(qū)分大小寫(xiě)的特性配PHP協(xié)議大小寫(xiě)不敏感的特性我們把所有php改成PHP過(guò)濾就失效了。但這里必須再?gòu)?qiáng)調(diào)一次strstr是對(duì)整個(gè)$page做檢查不是只檢查協(xié)議前綴。后面跟的resourceflag.php里的小寫(xiě)php一樣會(huì)被發(fā)現(xiàn)。如果只改協(xié)議部分提交?pagePHP://filter/readconvert.base64-encode/resourceflag.php大概率仍然回顯“no”因?yàn)閒lag.php里藏著小寫(xiě)php。這就是我在1.3埋下的坑。3.2 實(shí)操把index.php源碼安全讀出來(lái)既然不能直接讀flag.php那第一步先讀一個(gè)名字里沒(méi)有php的文件最合理的目標(biāo)就是當(dāng)前頁(yè)面文件。有些題目環(huán)境里文件叫index.php等等這名字也有php。這就尷尬了index.php照樣有小寫(xiě)php讀它也會(huì)被攔。那要讀什么才能繞開(kāi)可以讀info.php嗎也有php。只要文件后綴是.php文件名里必帶php。所以結(jié)論是在這道題的過(guò)濾規(guī)則下PHP://filter讀不出任何.php文件。這步操作的唯一價(jià)值是幫我們驗(yàn)證大小寫(xiě)繞過(guò)的思路行不行得通。怎么驗(yàn)證讀一個(gè)非PHP文件比如/etc/passwd用代碼?pagePHP://filter/readconvert.base64-encode/resource/etc/passwd如果返回一段base64解碼出來(lái)是root:x:0:0:root:...就證明大小寫(xiě)繞過(guò)成功協(xié)議解析正常。3.3 為什么這條路沒(méi)法直接讀flag.php把原因再拆開(kāi)說(shuō)一遍strstr($page, php)查的是整個(gè)$page值flag.php文件名的.php后綴躲不掉。只要目標(biāo)是.php結(jié)尾文件大小寫(xiě)方案就會(huì)二次撞墻。有同學(xué)會(huì)想那我把它再編碼一次比如把flag.php寫(xiě)成flag%2Ephp%2E是URL編碼的點(diǎn)。問(wèn)題是PHP拿到$page時(shí)URL解碼已經(jīng)完成%2E會(huì)還原成.最終$page里還是會(huì)出現(xiàn)flag.php。換成fl%61g.php同理解碼后照樣有php。過(guò)濾發(fā)生在參數(shù)值解碼之后所以這種二次編碼逃不掉。既然讀源碼這條路被文件名后綴卡死那更聰明的思路是不讀文件直接讓include執(zhí)行代碼。這就引出第四部分的兩種拿flag方式。4. 真正解題兩種姿勢(shì)把flag拿下來(lái)4.1 姿勢(shì)一data://base64一條URL執(zhí)行命令先想清楚目標(biāo)拿到flag最常見(jiàn)的方式就是執(zhí)行命令ls看當(dāng)前目錄有哪些文件然后cat flag.php把內(nèi)容打出來(lái)。但命令里只要出現(xiàn)flag.php這個(gè)文件名整個(gè)payload就又包含php了。解決方案很巧妙把整段PHP代碼做成base64塞進(jìn)data://協(xié)議里。strstr看到的是base64字符集字母、數(shù)字、、/、里面沒(méi)有小寫(xiě)php所以過(guò)濾直接繞過(guò)。第一步在本地把代碼轉(zhuǎn)成base64?php system(ls); ?我在本地命令行執(zhí)行echo -n ?php system(ls); ? | base64得到PD9waHAgc3lzdGVtKCJscyIpOw如果你是Windows環(huán)境或不想用命令行也可以用Python見(jiàn)5.5節(jié)。然后把這段base64拼進(jìn)URL?pagedata://text/plain;base64,PD9waHAgc3lzdGVtKCJscyIpOw我截圖般地描述一下結(jié)果頁(yè)面上會(huì)直接輸出當(dāng)前目錄的文件列表其中能看到類似flag.php、index.php這樣的文件。到了這里RCE已經(jīng)成功。第二步讀flag。把命令換成cat flag.php但要避免URL里出現(xiàn)php所以繼續(xù)用base64?php system(cat flag.php); ?對(duì)應(yīng)的base64為PD9waHAgc3lzdGVtKCdjYXQgZmxhZy5waHAnKTs/Pg最終payload?pagedata://text/plain;base64,PD9waHAgc3lzdGVtKCdjYXQgZmxhZy5waHAnKTs/Pg提交后頁(yè)面會(huì)打印出flag.php的源碼內(nèi)容里面通常直接寫(xiě)著flag{...}。如果頁(yè)面只輸出了一部分可以順手用cat flag.php | base64再打一次避免特殊字符顯示問(wèn)題。4.2 姿勢(shì)二PHP://input配合POST body另外一個(gè)思路是用PHP://input。URL里寫(xiě)PHP://input大小寫(xiě)繞過(guò)了strstr檢查然后在POST請(qǐng)求體里塞PHP代碼。用curl來(lái)演示最直觀。假設(shè)目標(biāo)環(huán)境地址是http://目標(biāo)環(huán)境/命令如下curl -X POST -d ?php system(cat flag.php); ? \ http://目標(biāo)環(huán)境/?pagePHP://input這里-d指定POST數(shù)據(jù)PHP://input會(huì)讓include直接讀取剛上傳的請(qǐng)求體也就是?php system(cat flag.php); ?這段代碼。PHP解釋器會(huì)在包含時(shí)執(zhí)行它頁(yè)面自然回顯flag。如果手邊有Burp Suite也可以攔截請(qǐng)求后手動(dòng)改成POST在消息體里寫(xiě)代碼效果一樣。這個(gè)方案最大的優(yōu)點(diǎn)是POST body不參與strstr($page, php)的判斷代碼怎么寫(xiě)都行完全不受“不能出現(xiàn)php字符”的制約。缺點(diǎn)是操作步驟比data://多一步要用curl或Burp不能像data://那樣直接在瀏覽器地址欄完成。4.3 兩種方式怎么選更適合什么場(chǎng)景對(duì)比項(xiàng)data://base64PHP://input是否需要額外工具不需要瀏覽器地址欄直接打需要curl/Burp等能發(fā)POST的工具代碼是否需要編碼必須先base64編碼不用明文直接寫(xiě)URL里是否會(huì)出現(xiàn)phpbase64內(nèi)容可控不會(huì)出現(xiàn)只寫(xiě)PHP://input沒(méi)有小寫(xiě)php適合場(chǎng)景快速驗(yàn)證、答題、用hackbar需要跑較復(fù)雜PHP代碼、多行腳本時(shí)我個(gè)人的使用習(xí)慣是答題時(shí)優(yōu)先data://base64快、穩(wěn)、不用裝任何東西調(diào)試復(fù)雜代碼時(shí)優(yōu)先PHP://input代碼可讀性高不用反復(fù)編解碼。兩道經(jīng)典payload打完這道題的flag已經(jīng)到手了。5. 新手易踩的坑實(shí)測(cè)排查記錄5.1 base64里的號(hào)莫名其妙變成了空格這是我見(jiàn)過(guò)最多新手翻車的地方。base64編碼結(jié)果完全有可能包含字符而URL查詢參數(shù)里會(huì)被解析成空格。一旦base64字符串中的變成空格解碼出來(lái)的內(nèi)容就是錯(cuò)的include要么報(bào)錯(cuò)要么執(zhí)行不了。舉個(gè)例子對(duì)?php system(id);?做base64結(jié)果是PD9waHAgc3lzdGVtKCdpZCcpOz8最后就是一個(gè)。直接放進(jìn)URL?pagedata://text/plain;base64,PD9waHAgc3lzdGVtKCdpZCcpOz8PHP拿到的是PD9waHAgc3lzdGVtKCdpZCcpOz8末尾變成空格base64解碼失敗或者解出殘缺內(nèi)容。解決辦法是把編碼成%2B?pagedata://text/plain;base64,PD9waHAgc3lzdGVtKCdpZCcpOz8%2B更穩(wěn)妥的做法是拿到base64后整段做一次URL編碼再放進(jìn)地址欄。用Burp的話直接把請(qǐng)求發(fā)給Repeater選中base64部分按一下自動(dòng)URL編碼很方便。5.2 訪問(wèn)flag.php返回空白以為題目壞了如果你直接用瀏覽器訪問(wèn)http://目標(biāo)環(huán)境/flag.php大概率看到一片空白或者只有一行空內(nèi)容。這不是靶場(chǎng)壞了而是flag.php里的內(nèi)容本身是PHP代碼?php $flag flag{test_flag}; ?它被PHP解釋器執(zhí)行了但沒(méi)有輸出任何可見(jiàn)內(nèi)容。$flag這個(gè)變量藏在內(nèi)存里頁(yè)面上什么都不顯示。所以要想看到flag必須借助php://filter這類“讀源碼”手段或者執(zhí)行cat命令把文件原文打出來(lái)而不是直接訪問(wèn).php文件。這個(gè)認(rèn)知能讓你少走很多彎路。5.3 include報(bào)錯(cuò)“failed to open stream”怎么辦如果提交data://或PHP://input后報(bào)錯(cuò)Warning: include(): URL file-access is disabled in the server configuration或者failed to open stream: no suitable wrapper could be found基本可以判定環(huán)境把a(bǔ)llow_url_include關(guān)掉了。data://和php://input都依賴這個(gè)配置項(xiàng)關(guān)掉就廢了。CTF平臺(tái)一般會(huì)為這題開(kāi)這個(gè)選項(xiàng)但如果碰到變種題就必須換思路。php://filter不受allow_url_include影響所以“讀源碼”這條路通常還是通的。如果data://不能RCE優(yōu)先嘗試用php://filter讀源碼把能讀的文件都讀一遍flag很可能就藏在源碼注釋或配置文件里。再不行就要考慮日志包含、Session文件包含這些進(jìn)階手法。5.4 過(guò)濾函數(shù)里還有哪些類似的小坑這道題的過(guò)濾函數(shù)是strstr它區(qū)分大小寫(xiě)給了我們繞過(guò)的空間。但如果是strpos呢strpos($page, php)一樣區(qū)分大小寫(xiě)可以用PHP://繞過(guò)。如果過(guò)濾條件改成stripos($page, php)它不區(qū)分大小寫(xiě)大小寫(xiě)招就失效了。還有一種經(jīng)典坑有人自己寫(xiě)過(guò)濾時(shí)用strpos($page, php) false來(lái)判斷“不含php”。PHP里strpos在php出現(xiàn)在字符串開(kāi)頭時(shí)返回整數(shù)0而0 false在弱比較下是成立的于是直接把合法的php://給放過(guò)或者攔錯(cuò)方向。幸好這題用的是strstr沒(méi)有這個(gè)坑但你在以后審計(jì)別人代碼時(shí)遇到strpos的和!一定要多留個(gè)心眼。5.5 本地秒算base64的三種方式答題時(shí)反復(fù)編解碼很常見(jiàn)我常用的三種方式Linux/macOS下直接用管道echo -n ?php system(ls); ? | base64Windows PowerShell下[Convert]::ToBase64String([System.Text.Encoding]::UTF8.GetBytes(?php system(ls); ?))Python一句搞定跨平臺(tái)python3 -c import base64; print(base64.b64encode(b?php system(\ls\); ?).decode())順手提醒一句別用網(wǎng)頁(yè)在線base64工具去轉(zhuǎn)換包含payload的代碼首先容易有數(shù)據(jù)泄露風(fēng)險(xiǎn)其次粘貼復(fù)制也容易出錯(cuò)。本地命令轉(zhuǎn)干凈利落。6. 賽后復(fù)盤(pán)下次遇到include題怎么秒6.1 拿到include題先列三件事做完這題我復(fù)盤(pán)了一套自己的解題流程再遇到文件包含類題目我會(huì)先列三件事第一確認(rèn)過(guò)濾規(guī)則。過(guò)濾了哪些關(guān)鍵字、是協(xié)議名還是文件名、是不是大小寫(xiě)敏感、是不是strstr或stripos。這決定了用大小寫(xiě)繞過(guò)還是編碼繞過(guò)。第二判斷可用的偽協(xié)議。當(dāng)前環(huán)境下data://和php://input是否可用不行就看php://filter能不能讀源碼。配置錯(cuò)誤提示本身也是一種信息。第三確定目標(biāo)是讀源碼還是RCE。如果flag寫(xiě)在PHP文件里且沒(méi)有其他出口RCE是最穩(wěn)的如果環(huán)境限制多老老實(shí)實(shí)讀源碼找flag。這三件事列完這道題的解題路徑基本就浮出水面了。6.2 但凡是include題都可能有哪些變種文件包含的變種多到寫(xiě)不完但常見(jiàn)套路就那么幾類過(guò)濾協(xié)議名比如php://、data://可以大小寫(xiě)繞過(guò)也可以換協(xié)議、加編碼。過(guò)濾://這種更難纏。但可以試試用協(xié)議名稱前綴變形比如data:text/plain;base64,xxx在部分PHP版本里也能識(shí)別或者退一步走日志包含。限制包含路徑比如必須包含某個(gè)目錄下的文件。這種情況可以試目錄穿越../../../../etc/passwd或者結(jié)合文件上傳包含上傳后的圖片馬。還有一類是把用戶輸入放進(jìn)文件名模板比如include(pages/ . $page . .php)。這種就必須用php://filter配合截?cái)嗬霞记苫蛘呃矛F(xiàn)有文件做二次包含。每次看到變種題都把它和我上面列的三件事對(duì)照一遍發(fā)現(xiàn)哪個(gè)身份不對(duì)路立刻換思路。6.3 防御視角這個(gè)洞是怎么堵上的賽后從防御角度看題目故意留的漏洞其實(shí)很好堵。第一個(gè)層次include的輸入?yún)?shù)必須做白名單校驗(yàn)比如固定允許pagehome、pageabout其它值直接拒絕。第二個(gè)層次如果確實(shí)要?jiǎng)討B(tài)包含也應(yīng)該限制在本地指定目錄用realpath校驗(yàn)包含路徑是否在范圍內(nèi)杜絕偽協(xié)議和穿越。第三個(gè)層次生產(chǎn)環(huán)境務(wù)必把a(bǔ)llow_url_include置為Off并配合open_basedir限制PHP可訪問(wèn)的目錄范圍。不過(guò)話說(shuō)回來(lái)CTF題目的意義就是故意打開(kāi)一扇門(mén)讓我們看清楚攻擊手法長(zhǎng)什么樣。真正到真實(shí)環(huán)境你會(huì)遇到更多組合拳比如過(guò)濾、白名單、WAF一起上。正因?yàn)榘袌?chǎng)給了我們安全試錯(cuò)的空間才要在答題之外多想一步這種漏洞是怎么被發(fā)現(xiàn)的、怎么被利用的、換成我是運(yùn)維會(huì)怎么防。帶著這三層視角去刷題收獲會(huì)比單純拿flag大得多。最后說(shuō)點(diǎn)個(gè)人體會(huì)。我第一次刷這道題時(shí)就是敗在flag.php文件名里的php上當(dāng)時(shí)死活不明白為什么已經(jīng)用了PHP://filter還是被攔后來(lái)才意識(shí)到strstr檢查的是整個(gè)參數(shù)值不只是協(xié)議前綴。想通這一點(diǎn)后整個(gè)題的所有解法都串起來(lái)了過(guò)濾規(guī)則要求URL里不能出現(xiàn)php那我就讓URL里一段php都沒(méi)有用PHP://input用data://base64思路一下就通透了。新手做CTF題別急著背payload先搞明白過(guò)濾依據(jù)是什么再順著依據(jù)找繞法比自己悶頭試要快得多。這道題就很適合作為你Web文件包含方向的入門(mén)第一題建議上手敲一遍卡住了再回來(lái)看這篇WP。 PHP文件包含漏洞實(shí)戰(zhàn)：Web_php_include偽協(xié)議繞過(guò)全解析
第一次在攻防世界刷Web題的人大概率會(huì)撞上Web_php_include這道題。它不要求你懂多高深的內(nèi)網(wǎng)滲透也不涉及復(fù)雜的密碼學(xué)核心就考一件事你對(duì)PHP文件包含和幾個(gè)偽協(xié)議到底熟不熟。這篇WP我按“胎教”標(biāo)準(zhǔn)來(lái)寫(xiě)哪怕你現(xiàn)在只會(huì)用瀏覽器、連Burp都沒(méi)裝過(guò)跟著一步步做也能把flag拿到。代碼我會(huì)掰開(kāi)揉碎為什么能繞過(guò)、為什么這樣構(gòu)造payload我會(huì)講清楚而不是甩一個(gè)最終payload就完事。練習(xí)環(huán)境提示這篇WP里的所有操作都基于CTF競(jìng)賽靶場(chǎng)目標(biāo)是你自己賬號(hào)下的題目環(huán)境。網(wǎng)絡(luò)安全技術(shù)請(qǐng)只用在自己有授權(quán)的目標(biāo)上別拿去對(duì)公網(wǎng)網(wǎng)站做任何測(cè)試。1. 先動(dòng)手試環(huán)境長(zhǎng)什么樣這題在考什么1.1 打開(kāi)頁(yè)面就能看到的東西把題目環(huán)境打開(kāi)頁(yè)面沒(méi)有復(fù)雜的前端交互一進(jìn)來(lái)就是一大段高亮顯示的PHP代碼。很多新手看到這一步就懵了“怎么把源碼直接放出來(lái)了”其實(shí)這恰恰是題目在放水。代碼大概是這樣的?php show_source(__FILE__); echo br/; $page $_GET[page]; if (isset($page)) { if (strstr($page, php)) { echo no; } else { include($page); } } else { echo please input page parameter; } ?第一行show_source(__FILE__)作用就是把當(dāng)前文件源碼以高亮形式輸出到頁(yè)面上。也就是說(shuō)題目故意讓你看到完整源碼。做CTF題的第一步永遠(yuǎn)是看源碼這一行直接把這一步省了。繼續(xù)往下看$page $_GET[page];是在接收URL里的page參數(shù)。這里的邏輯也很簡(jiǎn)單如果沒(méi)有傳page參數(shù)就提示“please input page parameter”如果傳了就判斷$page里面有沒(méi)有php這個(gè)字符串有就輸出no沒(méi)有就include($page)。看到這里考點(diǎn)已經(jīng)浮出來(lái)了include一個(gè)用戶可控的變量這是非常典型的文件包含漏洞模型。1.2 一行一行讀PHP代碼漏洞點(diǎn)在哪里新手容易在strstr這個(gè)函數(shù)上卡住我先把它講明白。strstr($page, php)做的事情是在$page這個(gè)字符串里查找有沒(méi)有php這三個(gè)字符如果有返回從php開(kāi)始到結(jié)尾的字符串如果沒(méi)有返回false。這里把它放到if條件里意思就是只要$page里面出現(xiàn)了小寫(xiě)php直接被攔下頁(yè)面回顯一個(gè)“no”。也就是說(shuō)題目本意是想阻止你用php://開(kāi)頭的偽協(xié)議。因?yàn)閜hp://filter、php://input這類地址天然就帶php一多半的常規(guī)解法會(huì)被這個(gè)過(guò)濾擋住。同理include這邊是漏洞點(diǎn)。include($page)會(huì)把$page當(dāng)作文件路徑去包含。如果$page是本地路徑比如/etc/passwd它會(huì)把系統(tǒng)文件內(nèi)容讀出來(lái)如果$page是一個(gè)URL或偽協(xié)議它就會(huì)走PHP的流包裝器。我建議先做一個(gè)最簡(jiǎn)單的本地包含測(cè)試在URL后面拼上?page/etc/passwd如果頁(yè)面上出現(xiàn)了root:x:0:0:root:...這一類內(nèi)容說(shuō)明本地文件包含已經(jīng)成立。這時(shí)就可以正式進(jìn)入下一步思考怎么繞過(guò)php過(guò)濾把這個(gè)include變成能拿flag的武器。1.3 第一次嘗試為什么會(huì)失敗新手的第一反應(yīng)通常是構(gòu)造常規(guī)payload比如?pagephp://filter/readconvert.base64-encode/resourceflag.php提交后頁(yè)面果斷回了一個(gè)“no”。原因就是strstr($page, php)檢測(cè)到了php://里的php直接攔下。有人會(huì)想把php://換成PHP://行不行這就是關(guān)鍵突破口我后面單獨(dú)講。但現(xiàn)在先冷靜分析一下就算大小寫(xiě)換成PHP://這個(gè)payload還有沒(méi)有別的問(wèn)題有。resourceflag.php這個(gè)文件名末尾也有php三個(gè)字符。也就是說(shuō)strstr會(huì)連文件名一起檢查。只要最終URL里出現(xiàn)小寫(xiě)php都會(huì)被攔。這個(gè)坑很多題解都沒(méi)提但它恰恰決定了這道題不能靠“大小寫(xiě)filter讀flag.php”一步到位。所以真正要解決的是怎么在URL參數(shù)里徹底不出現(xiàn)php這三個(gè)字符又仍然能達(dá)到“包含并執(zhí)行PHP代碼”的效果。2. 不懂偽協(xié)議這題就是死路三個(gè)協(xié)議一次講清2.1 include怎么會(huì)和協(xié)議扯上關(guān)系很多沒(méi)接觸過(guò)PHP流包裝器的人會(huì)有個(gè)疑問(wèn)include平時(shí)不是用來(lái)包含文件的嗎為什么還能塞一個(gè)php://、data://這種看起來(lái)不像路徑的東西因?yàn)樵赑HP里include支持“URL包裝器”。你可以把php://filter、php://input、data://當(dāng)成一種特殊格式的“文件路徑”。當(dāng)PHP看到://它會(huì)調(diào)對(duì)應(yīng)的協(xié)議處理器來(lái)打開(kāi)數(shù)據(jù)流。include一個(gè)數(shù)據(jù)流時(shí)如果流里的內(nèi)容是PHP代碼PHP會(huì)在當(dāng)前上下文中執(zhí)行這些代碼如果是普通文本就直接輸出。這個(gè)機(jī)制非常厲害。普通文件包含最多讓你讀到文本有了偽協(xié)議直接可以把“包含一個(gè)文件”變成“執(zhí)行一段任意代碼”也就是從LFI往RCE升級(jí)。搭配題目的過(guò)濾條件我們要找的協(xié)議是在自身名字和參數(shù)里都不出現(xiàn)小寫(xiě)php或者能把php藏起來(lái)的方案。2.2 php://filter讀源碼的“透視鏡”php://filter是最常用的讀文件協(xié)議之一它的標(biāo)準(zhǔn)格式是php://filter/readconvert.base64-encode/resource目標(biāo)文件比如我要讀當(dāng)前目錄下的flag.php源碼理論上應(yīng)該寫(xiě)php://filter/readconvert.base64-encode/resourceflag.php它會(huì)先把flag.php內(nèi)容經(jīng)過(guò)base64_encode轉(zhuǎn)換再把結(jié)果作為數(shù)據(jù)流交給include輸出。為什么要轉(zhuǎn)成base64因?yàn)閕nclude直接讀PHP文件時(shí)會(huì)把里面的PHP代碼當(dāng)成代碼執(zhí)行你最終看不到源碼而把內(nèi)容base64編碼后PHP解釋器會(huì)把它當(dāng)成普通字符串原原本本顯示出來(lái)。拿到base64字符串后再自己解碼就能看到flag.php的原始內(nèi)容。但在這個(gè)題目里php://filter這個(gè)串本身就帶php直接用會(huì)被攔。要繞過(guò)就得利用PHP對(duì)協(xié)議名稱大小寫(xiě)不敏感的特性把它改寫(xiě)成PHP://filter。2.3 php://input把請(qǐng)求體當(dāng)文件讀php://input是一個(gè)只讀流負(fù)責(zé)讀取請(qǐng)求體。也就是說(shuō)如果URL指向php://input而POST請(qǐng)求體里放了一段PHP代碼include就會(huì)去執(zhí)行這段代碼。使用方式很好理解POST /?pagephp://input HTTP/1.1 Host: 目標(biāo)環(huán)境 ?php system(cat flag.php); ?不過(guò)同樣php://input字符串里有小寫(xiě)php又會(huì)被攔。于是又得用大小寫(xiě)改寫(xiě)比如PHP://input。注意POST請(qǐng)求體里的代碼不受strstr檢查影響因?yàn)檫^(guò)濾只檢查URL參數(shù)$page。這個(gè)方案的好處是代碼不用base64編碼邏輯清晰適合在Burp或curl里操作。2.4 data://自帶代碼執(zhí)行的新鮮玩法data://是第三個(gè)重要協(xié)議它允許你把一段數(shù)據(jù)直接寫(xiě)進(jìn)URL里。常見(jiàn)用法有兩種data://text/plain,明文代碼 data://text/plain;base64,base64編碼后的代碼第一種方式很容易翻車因?yàn)槊魑拇a里一旦出現(xiàn)?php這種片段strstr($page, php)會(huì)直接攔下。比如data://text/plain,?php system(ls);?這段URL里含有?php正好包含小寫(xiě)php必然被攔截。所以要用base64編碼版本把代碼整個(gè)藏起來(lái)data://text/plain;base64,PD9waHAgc3lzdGVtKCdscycpOw這樣URL里就沒(méi)有php字樣了可以繞過(guò)過(guò)濾。這是這道題目前最優(yōu)雅的解法也是網(wǎng)上一票題解的主推方案。2.5 三個(gè)協(xié)議怎么選先看這張表協(xié)議是否受allow_url_include影響本題目中能否繞過(guò)strstr過(guò)濾用途php://filter否改寫(xiě)為PHP://filter可繞過(guò)但不能在resource中出現(xiàn)小寫(xiě)php文件名讀源碼php://input是改寫(xiě)為PHP://input可繞過(guò)執(zhí)行任意代碼data://text/plain;base64是base64內(nèi)容不出現(xiàn)php即可直接繞過(guò)執(zhí)行任意代碼這里的allow_url_include是PHP配置項(xiàng)決定include能不能包含遠(yuǎn)程URL和部分偽協(xié)議。php://filter屬于內(nèi)置流不受它控制data://和php://input則需要它處于開(kāi)啟狀態(tài)。所以在CTF環(huán)境里如果data://方案不生效優(yōu)先檢查是不是配置限制。3. 第一招用大小寫(xiě)繞過(guò)PHP://filter看源碼3.1 大小寫(xiě)繞過(guò)到底為什么成立strstr($page, php)是區(qū)分大小寫(xiě)的。它只認(rèn)小寫(xiě)的p-h-p三個(gè)字符換成PHP、Php、pHp它都不認(rèn)識(shí)。PHP的流包裝器名稱則相反官方手冊(cè)里明確了它不區(qū)分大小寫(xiě)。也就是說(shuō)php://filter和PHP://filter對(duì)PHP來(lái)說(shuō)是同一個(gè)協(xié)議都能正常解析。于是繞過(guò)邏輯就通了strstr區(qū)分大小寫(xiě)的特性配PHP協(xié)議大小寫(xiě)不敏感的特性我們把所有php改成PHP過(guò)濾就失效了。但這里必須再?gòu)?qiáng)調(diào)一次strstr是對(duì)整個(gè)$page做檢查不是只檢查協(xié)議前綴。后面跟的resourceflag.php里的小寫(xiě)php一樣會(huì)被發(fā)現(xiàn)。如果只改協(xié)議部分提交?pagePHP://filter/readconvert.base64-encode/resourceflag.php大概率仍然回顯“no”因?yàn)閒lag.php里藏著小寫(xiě)php。這就是我在1.3埋下的坑。3.2 實(shí)操把index.php源碼安全讀出來(lái)既然不能直接讀flag.php那第一步先讀一個(gè)名字里沒(méi)有php的文件最合理的目標(biāo)就是當(dāng)前頁(yè)面文件。有些題目環(huán)境里文件叫index.php等等這名字也有php。這就尷尬了index.php照樣有小寫(xiě)php讀它也會(huì)被攔。那要讀什么才能繞開(kāi)可以讀info.php嗎也有php。只要文件后綴是.php文件名里必帶php。所以結(jié)論是在這道題的過(guò)濾規(guī)則下PHP://filter讀不出任何.php文件。這步操作的唯一價(jià)值是幫我們驗(yàn)證大小寫(xiě)繞過(guò)的思路行不行得通。怎么驗(yàn)證讀一個(gè)非PHP文件比如/etc/passwd用代碼?pagePHP://filter/readconvert.base64-encode/resource/etc/passwd如果返回一段base64解碼出來(lái)是root:x:0:0:root:...就證明大小寫(xiě)繞過(guò)成功協(xié)議解析正常。3.3 為什么這條路沒(méi)法直接讀flag.php把原因再拆開(kāi)說(shuō)一遍strstr($page, php)查的是整個(gè)$page值flag.php文件名的.php后綴躲不掉。只要目標(biāo)是.php結(jié)尾文件大小寫(xiě)方案就會(huì)二次撞墻。有同學(xué)會(huì)想那我把它再編碼一次比如把flag.php寫(xiě)成flag%2Ephp%2E是URL編碼的點(diǎn)。問(wèn)題是PHP拿到$page時(shí)URL解碼已經(jīng)完成%2E會(huì)還原成.最終$page里還是會(huì)出現(xiàn)flag.php。換成fl%61g.php同理解碼后照樣有php。過(guò)濾發(fā)生在參數(shù)值解碼之后所以這種二次編碼逃不掉。既然讀源碼這條路被文件名后綴卡死那更聰明的思路是不讀文件直接讓include執(zhí)行代碼。這就引出第四部分的兩種拿flag方式。4. 真正解題兩種姿勢(shì)把flag拿下來(lái)4.1 姿勢(shì)一data://base64一條URL執(zhí)行命令先想清楚目標(biāo)拿到flag最常見(jiàn)的方式就是執(zhí)行命令ls看當(dāng)前目錄有哪些文件然后cat flag.php把內(nèi)容打出來(lái)。但命令里只要出現(xiàn)flag.php這個(gè)文件名整個(gè)payload就又包含php了。解決方案很巧妙把整段PHP代碼做成base64塞進(jìn)data://協(xié)議里。strstr看到的是base64字符集字母、數(shù)字、、/、里面沒(méi)有小寫(xiě)php所以過(guò)濾直接繞過(guò)。第一步在本地把代碼轉(zhuǎn)成base64?php system(ls); ?我在本地命令行執(zhí)行echo -n ?php system(ls); ? | base64得到PD9waHAgc3lzdGVtKCJscyIpOw如果你是Windows環(huán)境或不想用命令行也可以用Python見(jiàn)5.5節(jié)。然后把這段base64拼進(jìn)URL?pagedata://text/plain;base64,PD9waHAgc3lzdGVtKCJscyIpOw我截圖般地描述一下結(jié)果頁(yè)面上會(huì)直接輸出當(dāng)前目錄的文件列表其中能看到類似flag.php、index.php這樣的文件。到了這里RCE已經(jīng)成功。第二步讀flag。把命令換成cat flag.php但要避免URL里出現(xiàn)php所以繼續(xù)用base64?php system(cat flag.php); ?對(duì)應(yīng)的base64為PD9waHAgc3lzdGVtKCdjYXQgZmxhZy5waHAnKTs/Pg最終payload?pagedata://text/plain;base64,PD9waHAgc3lzdGVtKCdjYXQgZmxhZy5waHAnKTs/Pg提交后頁(yè)面會(huì)打印出flag.php的源碼內(nèi)容里面通常直接寫(xiě)著flag{...}。如果頁(yè)面只輸出了一部分可以順手用cat flag.php | base64再打一次避免特殊字符顯示問(wèn)題。4.2 姿勢(shì)二PHP://input配合POST body另外一個(gè)思路是用PHP://input。URL里寫(xiě)PHP://input大小寫(xiě)繞過(guò)了strstr檢查然后在POST請(qǐng)求體里塞PHP代碼。用curl來(lái)演示最直觀。假設(shè)目標(biāo)環(huán)境地址是http://目標(biāo)環(huán)境/命令如下curl -X POST -d ?php system(cat flag.php); ? \ http://目標(biāo)環(huán)境/?pagePHP://input這里-d指定POST數(shù)據(jù)PHP://input會(huì)讓include直接讀取剛上傳的請(qǐng)求體也就是?php system(cat flag.php); ?這段代碼。PHP解釋器會(huì)在包含時(shí)執(zhí)行它頁(yè)面自然回顯flag。如果手邊有Burp Suite也可以攔截請(qǐng)求后手動(dòng)改成POST在消息體里寫(xiě)代碼效果一樣。這個(gè)方案最大的優(yōu)點(diǎn)是POST body不參與strstr($page, php)的判斷代碼怎么寫(xiě)都行完全不受“不能出現(xiàn)php字符”的制約。缺點(diǎn)是操作步驟比data://多一步要用curl或Burp不能像data://那樣直接在瀏覽器地址欄完成。4.3 兩種方式怎么選更適合什么場(chǎng)景對(duì)比項(xiàng)data://base64PHP://input是否需要額外工具不需要瀏覽器地址欄直接打需要curl/Burp等能發(fā)POST的工具代碼是否需要編碼必須先base64編碼不用明文直接寫(xiě)URL里是否會(huì)出現(xiàn)phpbase64內(nèi)容可控不會(huì)出現(xiàn)只寫(xiě)PHP://input沒(méi)有小寫(xiě)php適合場(chǎng)景快速驗(yàn)證、答題、用hackbar需要跑較復(fù)雜PHP代碼、多行腳本時(shí)我個(gè)人的使用習(xí)慣是答題時(shí)優(yōu)先data://base64快、穩(wěn)、不用裝任何東西調(diào)試復(fù)雜代碼時(shí)優(yōu)先PHP://input代碼可讀性高不用反復(fù)編解碼。兩道經(jīng)典payload打完這道題的flag已經(jīng)到手了。5. 新手易踩的坑實(shí)測(cè)排查記錄5.1 base64里的號(hào)莫名其妙變成了空格這是我見(jiàn)過(guò)最多新手翻車的地方。base64編碼結(jié)果完全有可能包含字符而URL查詢參數(shù)里會(huì)被解析成空格。一旦base64字符串中的變成空格解碼出來(lái)的內(nèi)容就是錯(cuò)的include要么報(bào)錯(cuò)要么執(zhí)行不了。舉個(gè)例子對(duì)?php system(id);?做base64結(jié)果是PD9waHAgc3lzdGVtKCdpZCcpOz8最后就是一個(gè)。直接放進(jìn)URL?pagedata://text/plain;base64,PD9waHAgc3lzdGVtKCdpZCcpOz8PHP拿到的是PD9waHAgc3lzdGVtKCdpZCcpOz8末尾變成空格base64解碼失敗或者解出殘缺內(nèi)容。解決辦法是把編碼成%2B?pagedata://text/plain;base64,PD9waHAgc3lzdGVtKCdpZCcpOz8%2B更穩(wěn)妥的做法是拿到base64后整段做一次URL編碼再放進(jìn)地址欄。用Burp的話直接把請(qǐng)求發(fā)給Repeater選中base64部分按一下自動(dòng)URL編碼很方便。5.2 訪問(wèn)flag.php返回空白以為題目壞了如果你直接用瀏覽器訪問(wèn)http://目標(biāo)環(huán)境/flag.php大概率看到一片空白或者只有一行空內(nèi)容。這不是靶場(chǎng)壞了而是flag.php里的內(nèi)容本身是PHP代碼?php $flag flag{test_flag}; ?它被PHP解釋器執(zhí)行了但沒(méi)有輸出任何可見(jiàn)內(nèi)容。$flag這個(gè)變量藏在內(nèi)存里頁(yè)面上什么都不顯示。所以要想看到flag必須借助php://filter這類“讀源碼”手段或者執(zhí)行cat命令把文件原文打出來(lái)而不是直接訪問(wèn).php文件。這個(gè)認(rèn)知能讓你少走很多彎路。5.3 include報(bào)錯(cuò)“failed to open stream”怎么辦如果提交data://或PHP://input后報(bào)錯(cuò)Warning: include(): URL file-access is disabled in the server configuration或者failed to open stream: no suitable wrapper could be found基本可以判定環(huán)境把a(bǔ)llow_url_include關(guān)掉了。data://和php://input都依賴這個(gè)配置項(xiàng)關(guān)掉就廢了。CTF平臺(tái)一般會(huì)為這題開(kāi)這個(gè)選項(xiàng)但如果碰到變種題就必須換思路。php://filter不受allow_url_include影響所以“讀源碼”這條路通常還是通的。如果data://不能RCE優(yōu)先嘗試用php://filter讀源碼把能讀的文件都讀一遍flag很可能就藏在源碼注釋或配置文件里。再不行就要考慮日志包含、Session文件包含這些進(jìn)階手法。5.4 過(guò)濾函數(shù)里還有哪些類似的小坑這道題的過(guò)濾函數(shù)是strstr它區(qū)分大小寫(xiě)給了我們繞過(guò)的空間。但如果是strpos呢strpos($page, php)一樣區(qū)分大小寫(xiě)可以用PHP://繞過(guò)。如果過(guò)濾條件改成stripos($page, php)它不區(qū)分大小寫(xiě)大小寫(xiě)招就失效了。還有一種經(jīng)典坑有人自己寫(xiě)過(guò)濾時(shí)用strpos($page, php) false來(lái)判斷“不含php”。PHP里strpos在php出現(xiàn)在字符串開(kāi)頭時(shí)返回整數(shù)0而0 false在弱比較下是成立的于是直接把合法的php://給放過(guò)或者攔錯(cuò)方向。幸好這題用的是strstr沒(méi)有這個(gè)坑但你在以后審計(jì)別人代碼時(shí)遇到strpos的和!一定要多留個(gè)心眼。5.5 本地秒算base64的三種方式答題時(shí)反復(fù)編解碼很常見(jiàn)我常用的三種方式Linux/macOS下直接用管道echo -n ?php system(ls); ? | base64Windows PowerShell下[Convert]::ToBase64String([System.Text.Encoding]::UTF8.GetBytes(?php system(ls); ?))Python一句搞定跨平臺(tái)python3 -c import base64; print(base64.b64encode(b?php system(\ls\); ?).decode())順手提醒一句別用網(wǎng)頁(yè)在線base64工具去轉(zhuǎn)換包含payload的代碼首先容易有數(shù)據(jù)泄露風(fēng)險(xiǎn)其次粘貼復(fù)制也容易出錯(cuò)。本地命令轉(zhuǎn)干凈利落。6. 賽后復(fù)盤(pán)下次遇到include題怎么秒6.1 拿到include題先列三件事做完這題我復(fù)盤(pán)了一套自己的解題流程再遇到文件包含類題目我會(huì)先列三件事第一確認(rèn)過(guò)濾規(guī)則。過(guò)濾了哪些關(guān)鍵字、是協(xié)議名還是文件名、是不是大小寫(xiě)敏感、是不是strstr或stripos。這決定了用大小寫(xiě)繞過(guò)還是編碼繞過(guò)。第二判斷可用的偽協(xié)議。當(dāng)前環(huán)境下data://和php://input是否可用不行就看php://filter能不能讀源碼。配置錯(cuò)誤提示本身也是一種信息。第三確定目標(biāo)是讀源碼還是RCE。如果flag寫(xiě)在PHP文件里且沒(méi)有其他出口RCE是最穩(wěn)的如果環(huán)境限制多老老實(shí)實(shí)讀源碼找flag。這三件事列完這道題的解題路徑基本就浮出水面了。6.2 但凡是include題都可能有哪些變種文件包含的變種多到寫(xiě)不完但常見(jiàn)套路就那么幾類過(guò)濾協(xié)議名比如php://、data://可以大小寫(xiě)繞過(guò)也可以換協(xié)議、加編碼。過(guò)濾://這種更難纏。但可以試試用協(xié)議名稱前綴變形比如data:text/plain;base64,xxx在部分PHP版本里也能識(shí)別或者退一步走日志包含。限制包含路徑比如必須包含某個(gè)目錄下的文件。這種情況可以試目錄穿越../../../../etc/passwd或者結(jié)合文件上傳包含上傳后的圖片馬。還有一類是把用戶輸入放進(jìn)文件名模板比如include(pages/ . $page . .php)。這種就必須用php://filter配合截?cái)嗬霞记苫蛘呃矛F(xiàn)有文件做二次包含。每次看到變種題都把它和我上面列的三件事對(duì)照一遍發(fā)現(xiàn)哪個(gè)身份不對(duì)路立刻換思路。6.3 防御視角這個(gè)洞是怎么堵上的賽后從防御角度看題目故意留的漏洞其實(shí)很好堵。第一個(gè)層次include的輸入?yún)?shù)必須做白名單校驗(yàn)比如固定允許pagehome、pageabout其它值直接拒絕。第二個(gè)層次如果確實(shí)要?jiǎng)討B(tài)包含也應(yīng)該限制在本地指定目錄用realpath校驗(yàn)包含路徑是否在范圍內(nèi)杜絕偽協(xié)議和穿越。第三個(gè)層次生產(chǎn)環(huán)境務(wù)必把a(bǔ)llow_url_include置為Off并配合open_basedir限制PHP可訪問(wèn)的目錄范圍。不過(guò)話說(shuō)回來(lái)CTF題目的意義就是故意打開(kāi)一扇門(mén)讓我們看清楚攻擊手法長(zhǎng)什么樣。真正到真實(shí)環(huán)境你會(huì)遇到更多組合拳比如過(guò)濾、白名單、WAF一起上。正因?yàn)榘袌?chǎng)給了我們安全試錯(cuò)的空間才要在答題之外多想一步這種漏洞是怎么被發(fā)現(xiàn)的、怎么被利用的、換成我是運(yùn)維會(huì)怎么防。帶著這三層視角去刷題收獲會(huì)比單純拿flag大得多。最后說(shuō)點(diǎn)個(gè)人體會(huì)。我第一次刷這道題時(shí)就是敗在flag.php文件名里的php上當(dāng)時(shí)死活不明白為什么已經(jīng)用了PHP://filter還是被攔后來(lái)才意識(shí)到strstr檢查的是整個(gè)參數(shù)值不只是協(xié)議前綴。想通這一點(diǎn)后整個(gè)題的所有解法都串起來(lái)了過(guò)濾規(guī)則要求URL里不能出現(xiàn)php那我就讓URL里一段php都沒(méi)有用PHP://input用data://base64思路一下就通透了。新手做CTF題別急著背payload先搞明白過(guò)濾依據(jù)是什么再順著依據(jù)找繞法比自己悶頭試要快得多。這道題就很適合作為你Web文件包含方向的入門(mén)第一題建議上手敲一遍卡住了再回來(lái)看這篇WP。