Web_php_include

代码审计

进入环境，根据题目的提示，本题考察文件包含漏洞

•  源码中利用GET请求hello和page两个变量的值
• hello的参数会被直接打印输出
• page参数会被赋值并利用strstr函数进行php://字符串匹配，将匹配到的字符串替换为空
• 最后包含$page变量

strstr

strstr() 函数搜索字符串在另一字符串中的第一次出现，返回字符串的剩余部分（从匹配点）。如果未找到所搜索的字符串，则返回 FALSE。

该函数对大小写敏感。如需进行不区分大小写的搜索，请使用 stristr() 函数。

语法：
strstr(string,search,before_search)

参数	描述
string	必需。规定被搜索的字符串。
search	必需。规定所搜索的字符串。 如果此参数是数字，则搜索匹配此数字对应的 ASCII 值的字符。
before_search	可选。默认值为 "false" 。 如果设置为 "true"，它将返回 search 参数第一次出现之前的字符串部分。

解题步骤

解1（大小写绕过）

第一时间想到的是构造page变量的值，因为源码中并没有检测hello变量必须存在的函数

虽然对page变量进行了php://匹配，但是只是查找匹配，所以可以尝试大小写看能不能绕过

利用到php://头的协议有两个：input和filter，因为没有提供flag存在的文件，所以filter不好用，我们可以尝试input协议POST方法写入系统命令

 可惜没有任何的回显，我去不应该的

查看了wp，我的思路是对的，不过别人用的工具是burp

 我也是一样的方法，结果就有回显了，搞不懂

但是如果在写入语句的前面用一个变量赋值，就可以产生回显，不过这输出也不对啊，这咋直接用url编码输出字符串了

 网上暂时没找到什么原因，然后我把手放在了enctype（表单类型）上，heckbar一共提供了四种类型，一个一个试了一下，在appilcation/x-www-form-urlencode(row) 类型的基础上，让页面成功回显

又成功得知一个缺口知识，下来得补上

有回显说明我们注入成功，接着注入恶意代码

发现一个疑似flag的PHP文件，继续构造

 

页面没回回显，吓我一跳，在源码中获得flag

知道了flag文件的名字，尝试了一下filter方法，没有回显，可能通配符不起作用

 解2（data://上传木马）

在查看wp时，看到了几种其他的方式去获取flag

其实当时也想到过利用data://写入木马文件，然后利用蚁剑连接，但是怎么连接这方面触及到了我的知识盲区

有两种方式：

第一种是直接写入数据，然后全部复制到蚁剑，直接链接就好了

第二种是对数据进行base64加密后在利用data写入

 解3（data://命令执行）

 解2只是data://协议的其中一个用法

data://协议跟php://input类似，可以让用户来控制输入流，当他与包含函数时，用户输入的data://流会被当做PHP代码执行

构造方式跟input一样，不过变成了GET传参 

依旧在源码中获得flag 

解4（hello）

一直忽略了一个hello变量，根据大佬wp得知

这里hello是有回显的，所以我们可以利用hello的参数进行命令执行，然后回显到浏览器

要实现hello命令执行，要先使page变量为真，然后将hello作为参数传递

但不知道为啥不能包含php头 

 最后利用show_source函数对flag文件进行高亮显示