PHP伪协议与文件包含漏洞

https://www.cnblogs.com/weak-chicken/p/12275806.html

1 file:// — 访问本地文件系统

2 http:// — 访问 HTTP(s) 网址

3 ftp:// — 访问 FTP(s) URLs

4 php:// — 访问各个输入/输出流（I/O streams）

5 zlib:// — 压缩流

6 data:// — 数据（RFC 2397）

7 glob:// — 查找匹配的文件路径模式

8 phar:// — PHP 归档

9 ssh2:// — Secure Shell 2

10 rar:// — RAR

11 ogg:// — 音频流

12 expect:// — 处理交互式的流

php://filter

php://filter用于读取源码。

php://input用于执行php代码。

php://filter 读取源代码并进行base64编码输出，不然会直接当做php代码执行就看不到源代码内容了。

利用条件:

allow_url_fopen ：off/on

allow_url_include：off/on

php://filter 是一种元封装器，设计用于数据流打开时的筛选过滤应用。这对于一体式（all-in-one）的文件函数非常有用，类似 readfile()、 file() 和 file_get_contents()，在数据流内容读取之前没有机会应用其他过滤器。

简单通俗的说，这是一个中间件，在读入或写入数据的时候对数据进行处理后输出的一个过程。

php://filter可以获取指定文件源码。当它与包含函数结合时，php://filter流会被当作php文件执行。所以我们一般对其进行编码，让其不执行。从而导致任意文件读取。

常用：

php://filter/read=convert.base64-encode/resource=index.php

php://filter/resource=index.php

利用filter协议读文件，将index.php通过base64编码后进行输出。这样做的好处就是如果不进行编码，文件包含后就不会有输出结果，而是当做php文件执行了，而通过编码后则可以读取文件源码。

而使用的convert.base64-encode，就是一种过滤器。

php://filter/convert.base64-encode/index/resource=flag

这段代码是PHP的一个URL处理指令，用于将指定资源（在本例中为"flag"）进行Base64编码后输出。

php://filter/convert.base64-encode/index/resource=flag：
php://filter/：这是PHP的URL处理指令，用于处理URL中的特定资源。
convert.base64-encode：这是过滤器，用于将资源转换为Base64编码。
index：这是过滤器的名称，用于指定要处理的资源。
resource=flag：这是要处理的资源参数，即"flag"。

总之，这段代码的作用是将名为"flag"的资源进行Base64编码后输出。

strip_tags绕过

这个<?php exit; ?>实际上是一个XML标签，既然是XML标签，我们就可以利用strip_tags函数去除它，而php://filter刚好是支持这个方法的。

但是我们要写入的一句话木马也是XML标签，在用到strip_tags时也会被去除。

注意到在写入文件的时候，filter是支持多个过滤器的。可以先将webshell经过base64编码，strip_tags去除死亡exit之后，再通过base64-decode复原。

php://filter/string.strip_tags|convert.base64-decode/resource=shell.php

data://text/plain协议

此协议需要在双on的情况下才能使用，很常用的数据流构造器，将读取后面base编码字符串后解码的数据作为数据流的输入

使用方法：

data://text/plain;base64,base64编码字符 

如

http://127.0.0.1/cmd.php?file=data://text/plain;base64,PD9waHAgcGhwaW5mbygpPz4=

data://text/plain,字符  

如

http://127.0.0.1/cmd.php?file=data://text/plain,<?php phpinfo()?>

如果直接传.*由于php字符解析 .会被替代成下划线

所以我们换个元字符\S

\S表示匹配非空格以外的所有字符

这也我们就能够匹配我们想要的命令执行函数了

\S*=${phpinfo()}