攻防世界-fileclude

攻防世界的一道文件包含题目

include(“文件名”)；会将文件中的内容视为代码块接入include所在代码中，输出的只是执行后的结果，文件中的注释、定义等无法查看。

本题中可以控制的变量有file1和file2，file2用于满足if判断要使其内容为“hello ctf”。但是需要注意直接file2=hello%20ctf是不行的，因为file_get_contents()的参数也为文件名，直接file2=hello%20ctf时file2为字符串，需要用data://协议使它当做文件。file1用于提取flag.php中的内容并用base64编码以防止执行，然后通过include输出file1中的内容，也就是base64编码后的flag.php中的内容。

data://协议：

1.使用条件为

allow_url_fopen:on

allow_url_include :on

2.用法

data://text/plain,
data://text/plain;base64,

3.示例

　　1）eg: http://127.0.0.1/include.php?file=data://text/plain,<?php%20phpinfo();?>         #会向file中输入文本数据流<?php%20phpinfo();?>

　　2）eg:http://127.0.0.1/include.php?file=data://text/plain;base64,PD9waHAgcGhwaW5mbygpOz8%2b   #会向file中输入base64解码后的PD9waHAgcGhwaW5mbygpOz8%2b

php://filter协议

1.参数详解

php://filter 参数	描述
resource=<要过滤的数据流>	必须项。它指定了你要筛选过滤的数据流。
read=<读链的过滤器>	可选项。可以设定一个或多个过滤器名称，以管道符（*\*）分隔。
write=<写链的过滤器>	可选项。可以设定一个或多个过滤器名称，以管道符（\）分隔。
<; 两个链的过滤器>	任何没有以 read= 或 write= 作前缀的筛选器列表会视情况应用于读或写链。

2.示例

  eg:  http://127.0.0.1/include.php?file=php://filter/read=convert.base64-encode/resource=phpinfo.php   #resource参数=phpinfo.php表示要过滤的数据流为phpinfo.php源文件，reade参数=convert.base64-encode表示要读取数据流，且使用了base64编码转换器（convert.base64-encode）

综上可知本题payload为   ?file1=php://filter/read=convert.base64-encode/resource=flag.php&file2=data://text/plain,hello%20ctf