利用文件操作函数结合PHP伪协议RCE

最新推荐文章于 2025-02-09 20:11:35 发布

young9222

最新推荐文章于 2025-02-09 20:11:35 发布

阅读量1.2k

点赞数

CC 4.0 BY-SA版权

分类专栏： ctfweb php 文章标签： php

本文链接：https://blog.youkuaiyun.com/u013457794/article/details/89010272

本文分析了一种利用PHP伪协议实现远程命令执行（RCE）的思路。通过研究源码，了解到POST参数log和domain用于生成文件，其中文件名包含服务器名，内容经过特殊字符转义。由于escapeshellarg()和htmlspecialchars()的限制，直接的命令注入被阻止。解决方案是使用BASE64编码绕过内容过滤，通过伪协议解析文件内容并写入新文件，同时利用HOST请求头绕过后缀名过滤。最后给出了具体的payload构建过程和利用方法。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

获得源码：http://ip:port/?read-source=1

 <?php
 if(isset($_GET['read-source'])) {
     exit(show_source(__FILE__));
 }
 define('DATA_DIR', dirname(__FILE__) . '/data/' . md5($_SERVER['REMOTE_ADDR']));
 if(!is_dir(DATA_DIR)) {
     mkdir(DATA_DIR, 0755, true);
 }
 chdir(DATA_DIR);
 $domain = isset($_POST['domain']) ? $_POST['domain'] : '';
 $log_name = isset($_POST['log']) ? $_POST['log'] : date('-Y-m-d');
    
 $command = sprintf("dig -t A -q %s", escapeshellarg($domain));
 $output = shell_exec($command);
 $output = htmlspecialchars($output, ENT_HTML401 | ENT_QUOTES);

 $log_name = $_SERVER['SERVER_NAME'] . $log_name;
 if(!in_array(pathinfo($log_name, PATHINFO_EXTENSION), ['php', 'php3', 'php4', 'php5', 'phtml', 'pht'], true)) {
     file_put_contents($log_name, $output);
 }
 echo $output;