国赛 Web 文件包含_非关系型数据库

概述Web题目已经提示是文件包含打开网页是php代码里边post接受两个参数分别是cf和field既然是文件包含那就要有文件能去被包含使用dirsearch对网页进行扫描发现.listing网页于是进行访问里边有提示index.php和you_can_seeeeeeee_me.php在进行访问后者发现是phpinfo只是文

Web题目已经提示是文件包含打开网页是PHP代码里边post接受两个参数分别是cf和fIEld 既然是文件包含那就要有文件能去被包含

使用dirsearch对网页进行扫描发现.Listing网页于是进行访问里边有提示index.PHP和you_can_seeeeeeee_me.PHP 在进行访问后者发现是PHPinfo 只是文件名改了一下

在进行文件包含首先尝试cf的post传值 cf=../../../../../var/www/HTML/you_can_seeeeeeee_me.PHP 发现能包含PHPinfo网页然后就没有思路了......

去看了一下PHPinfo 试试能不能找到一些有用的信息 ctrl+g搜索session 发现了存储临时session的路径

并且

　　session.upload_progress.enabled = on
　　session.upload_progress.cleanup = on
　　session.upload_progress.prefix = "upload_progress_"
　　session.upload_progress.name = "PHP_SESSION_UPLOAD_PROGRESS"
　　session.upload_progress.freq = "1%"
　　session.upload_progress.min_freq = "1"
　　<session.use_strict_mode=off>

于是决定尝试session.upload_progress文件包含我们可以利用session.upload_progress将恶意语句写入session文件从而包含session文件前提是要知道session文件的存放位置但是我们目前已经找到了路径

因为session.use_strict_mode默认值为0 此时用户是可以自己定义Session ID的我们可以在bp里抓包在请求头中加入 cookie: PHPSESSID=flag 这样我们生成的临时session文件的名字就叫做sess_flag 此时session文件里就是我们的恶意代码我们在利用文件包含漏洞去包含该文件(被包含的文件都会被当作PHP文件来执行)
但是因为session文件是临时的会被清除那么我们就要用到竞争来不断的去上传带有恶意代码的session文件再用bp不停的去包含这个session文件一旦服务器来不及删除恶意代码就会被执行我们就能得到想要的结果
下一步就是构造恶意代码了再PHPinfo里ctrl+g搜索disable_function 发现许多函数都被禁用掉了如system 这样我们就没法探测仔细一看发现scandir这个函数没有被禁可以探测目录和文件构造PHP代码
<?PHP var_dump(scandir("/etc")); ?>

再不断地去包含最后探测到flag文件再更改PHP代码为 <?PHP var_dump(file_get_contents("flag文件")); ?> 来读取flag