攻防世界-fileinclude

题目信息

分析过程

题目说flag在flag.php中，通过ctrl+uc查看源码，考虑文件上传漏洞。源码如下图所示：
源码如下：

<html>
<head><meta http-equiv="Content-Type" content="text/html; charset=utf-8" /></head>

<br />
<b>Notice</b>:  Undefined index: language in <b>/var/www/html/index.php</b> on line <b>9</b><br />
Please choose the language you want : English or Chinese
<h1>Hi,EveryOne,The flag is in flag.php</h1><html>
<head><meta http-equiv="Content-Type" content="text/html; charset=utf-8" /></head>

<?php
if( !ini_get('display_errors') ) {
  ini_set('display_errors', 'On');
  }
error_reporting(E_ALL);
$lan = $_COOKIE['language'];  //lan的值是cookies中key为language的值（因此要给lan赋值）
if(!$lan) //如果lan的值不为0
{
	@setcookie("language","english");
	@include("english.php"); //则执行english.php
}
else
{
	@include($lan.".php");
}
$x=file_get_contents('index.php');
echo $x;
?>
</html></html>

大意是取cookies中lan的值，如果不是0，则执行cookies中名为english的php

相关知识

php://filter

php://filter 是一种元封装器，设计用于数据流打开时的筛选过滤应用。这对于一体式（all-in-one）的文件函数非常有用，类似 readfile()、 file() 和 file_get_contents()， 在数据流内容读取之前没有机会应用其他过滤器。

php://filter 目标使用以下的参数作为它路径的一部分。复合过滤链能够在一个路径上指定。详细使用这些参数可以参考具体范例。

解题过程

1、使用burpsite进行抓包，观察到包中不存在cookies，因此考虑进行组装cookies

在此处设置，

Name：language

Value：php://filter/read=convert.base64-encode/resource=/var/www/html/flag

其中：

php://filter/read=执行文件读取功能（也就是规定读取的位置）
convert.base64-encode执行Base64编码功能
/resource=/var/www/html/flag填写flag.php所在的地址，本题在源码的第5行"language in /var/www/html/index.php"
源码第23行的内容（@include($lan.".php"); ），在上传参数时代码会附带后缀.php，所以此处不需要写为 '/var/www/html/flag.php'

2、添加好cookies后，报文如下图所示：

3、组装好后，进行发送，下图为回显

4、对回显结果进行decode,可以看到flag