先进去发现为一坨php代码,新手勉勉强强看得懂
接下来我们分析代码
WRONG WAY!
<?php
include("flag.php");
highlight_file(__FILE__);
if(isset($_GET["file1"]) && isset($_GET["file2"]))
{
$file1 = $_GET["file1"];
$file2 = $_GET["file2"];
if(!empty($file1) && !empty($file2))
{
if(file_get_contents($file2) === "hello ctf")
{
include($file1);
}
}
else
die("NONONO");
}
因为题目名字就叫文件包含,所以看代码我们可以看到文件包含漏洞位于file1与file2两个变量中,而file1放入了include函数中,而file2放入了file_get_content函数中,而且要求返回值必须为hello ctf。
-
接下来我们先来了解了解一下php伪协议吧!
大致协议如下:
php.ini配置文件参数
- allow_url_fopen :on #默认开启 ,表示允许url里的封装协议访问文件;
- allow_url_include:off #默认关闭,表示不允许包含url里的封装协议包含文件;
003-漏洞梳理篇之php伪协议_Min1996的博客-CSDN博客_php伪协议漏洞
(这位大佬写的是巨巨巨好!小白大致应该maybe能看懂大半)
php://filter | 读取源代码 |
file:// | 物理路径包含文件(用于本地系统) |
php://input | 是个可以访问请求的原始数据的只读流。(php://input可以读取没有处理过的POST数据) |
data:URL | 代码执行 |
-
好的,接下来继续闯关
服务端使用file_get_contents获取file2内容,这个时候我们传php://input给file2就能可以访问请求的原始数据的只读流(即可以读取没有处理过的post数据)。并且根据题目提示的我们需要获取当前目录下flag.php的文件内容。因此我们可以使用php://filter伪协议来读取源代码。最终可以得到flag.php经过Base64编码后的结果
此时我们url按照标准写入,但是却不返回信息。这时候要注意了file2可是需要post传参数才能显示file1执行的结果
好哒,成功拿到小旗子咯
更多推荐
攻防世界————fileclude(内含php伪协议菜鸟讲解)
发布评论