刚刚做了一道题里面用到了文件包含的SESSION_UPLOAD_PROGRESS 的利用
是这道题捏
[NPUCTF2020]ezinclude
具体解题我就不贴了,主要是做个笔记
Session Upload Progress 最初是PHP为上传进度条设计的一个功能,在上传文件较大的情况下,PHP将进行流式上传,并将进度信息放在Session中,此时即使用户没有初始化Session,PHP也会自动初始化Session。而且,默认情况下session.upload_progress.enabled是为On的,也就是说这个特性默认开启。所以,我们可以通过这个特性来在目标主机上初始化Session。
从上面官方的案例和结果中可以看到,session中一部分数据(session.upload_progress.name)是用户自己可以控制的。那么我们只要在上传文件的时候,同时POST一个恶意的字段 PHP_SESSION_UPLOAD_PROGRESS
,目标服务器的PHP就会自动启用Session,Session文件将会自动创建。
PHP SESSION 的存储
Session会话储存方式
PHP将session以文件的形式存储在服务器某个文件中,可以在php.ini里面设置session的存储位置
默认路径
/var/lib/php/sess_PHPSESSID
/var/lib/php/sessions/sess_PHPSESSID
/tmp/sess_PHPSESSID
/tmp/sessions/sess_PHPSESSID
虽然说正常情况下这个SESSID是随机的,但是我们可以通过在http包里修改cookie值来让SESSID变成固定的
这样我们知道了临时文件的名字后,如果此时目标网站还存在文件包含漏洞的话,我们便可以配合文件包含漏洞来Getshell。其原理大致就是通过 PHP_SESSION_UPLOAD_PROGRESS
在目标主机上创建一个含有恶意代码的Session文件,之后利用文件包含漏洞去包含这个我们已经传入恶意代码的这个Session文件就可以达到攻击效果。
那我们怎么传入恶意文件呢
因为 PHP的 session.upload_progress.cleanup = on
这个默认选项会有限制。即文件上传结束后,PHP 将会立即清空对应Session文件中的内容,这就导致我们在包含该Session的时候相当于在包含了一个空文件,没有包含我们传入的恶意代码。所以我们需要条件竞争,赶在文件被清除前利用包含即可。
python
import io
import requests
import threading
sessid = 'whoami'
def POST(session):
f = io.BytesIO(b'a' * 1024 * 50)
session.post(
'http://192.168.43.82/index.php',
data={"PHP_SESSION_UPLOAD_PROGRESS":"123"},
files={"file":('q.txt', f)},
cookies={'PHPSESSID':sessid}
)
with requests.session() as session:
while True:
POST(session)
print("[+] 成功写入sess_whoami")
这是一个自动化利用的脚本
当这个脚本运行结束后,恶意文件就保留在了服务器中,我们只要用文件包含解析这个恶意文件就能getshell
ps:这个功能在php5.4后才加入