文件包含之php伪协议

文件包含基本概念

严格来说，文件包含漏洞是"代码注入"的一种。"代码注入"这种攻击，其原理就是注入一段用户能控制的脚本或代码，并让服务器端执行。

"代码注入"的典型代码就是文件包含，可以理解为"外部数据流包含"，至于这个外部数据流是什么，可以是文件，也可以是POST数据流的形式。

PHP的封装协议(伪协议)

php伪协议，事实上是其支持的协议与封装协议

支持的种类有这12种 * http://cn2.php.net/manual/zh/wrappers.file.php" \t "/home/wxy/Documents\\x/_blankfile:// — 访问本地文件系统 * http://cn2.php.net/manual/zh/wrappers.http.php" \t "/home/wxy/Documents\\x/_blankhttp:// — 访问 HTTP(s) 网址 * http://cn2.php.net/manual/zh/wrappers.ftp.php" \t "/home/wxy/Documents\\x/_blankftp:// — 访问 FTP(s) URLs * http://cn2.php.net/manual/zh/wrappers.php.php" \t "/home/wxy/Documents\\x/_blankphp:// — 访问各个输入/输出流（I/O streams） * http://cn2.php.net/manual/zh/wrappers.compression.php" \t "/home/wxy/Documents\\x/_blankzlib:// — 压缩流 * http://cn2.php.net/manual/zh/wrappers.data.php" \t "/home/wxy/Documents\\x/_blankdata:// — 数据（RFC 2397） * http://cn2.php.net/manual/zh/wrappers.glob.php" \t "/home/wxy/Documents\\x/_blankglob:// — 查找匹配的文件路径模式 * http://cn2.php.net/manual/zh/wrappers.phar.php" \t "/home/wxy/Documents\\x/_blankphar:// — PHP 归档 * http://cn2.php.net/manual/zh/wrappers.ssh2.php" \t "/home/wxy/Documents\\x/_blankssh2:// — Secure Shell 2 * http://cn2.php.net/manual/zh/wrappers.rar.php" \t "/home/wxy/Documents\\x/_blankrar:// — RAR * http://cn2.php.net/manual/zh/wrappers.audio.php" \t "/home/wxy/Documents\\x/_blankogg:// — 音频流 * http://cn2.php.net/manual/zh/wrappers.expect.php" \t "/home/wxy/Documents\\x/_blankexpect:// — 处理交互式的流

Url：192.168.123.67

所用工具：firefox，hackbar

目的：得到并解出flag的值

1.打开网页，发现有代码和php.ini（下图只是部分php.ini）

显示的代码如下：

阅读代码可知道这是一个文件包含的题目

3.查看php.ini，发现如下信息：

由此可以知道可以使用php伪协议执行代码

注：（allow_url_fopen ：on  默认开启  该选项为on便是激活了 URL 形式的 fopen 封装协议使得可以访问 URL 对象文件等。

allow_url_include：off  默认关闭，该选项为on便是允许 包含URL 对象文件等。

当php配置allow_url_include和allow_url_fopen都为On的时候，可以对文件进行远程包含。

当allow_url_include为On，而allow_url_fopen为Off的是否，不可以直接远程包含文件，但是可以使用php://input、 php://stdin、 php://memory 和 php://temp等伪协议。）

4.打开火狐插件hackbar，使用php://input来构造请求，通过post请求提交一段php代码来遍历目录

得到f10g.php文件

注：（php://input可以访问请求的原始数据的只读流, 将post请求中的数据作为PHP代码执行。）

5.使用php://filter再次构造请求

看到文件通过base64的形式显示出来

注：（php://filter 读取源代码并进行base64编码输出，不然会直接当做php代码执行就看不到源代码内容了。）

用法：php://filter/convert.base64-encode/resource=??? (???处填写读取到的文件名）

以base64加密的形式读取页面源代码，然后在再对代码进行base64解密就可以得到源代码

对上面显示出来的base64进行解密，得到flag的值。

成功拿到flag