攻防世界-fileinclude-Toy模板网

这篇具有很好参考价值的文章主要介绍了攻防世界-fileinclude。希望对大家有所帮助。如果存在错误或未考虑完全的地方，请大家不吝赐教，您也可以点击"举报违法"按钮提交疑问。

题目信息

攻防世界-fileinclude,安全

分析过程

题目说flag在flag.php中，通过ctrl+uc查看源码，考虑文件上传漏洞。源码如下图所示：
攻防世界-fileinclude,安全源码如下：

<html>
<head><meta http-equiv="Content-Type" content="text/html; charset=utf-8" /></head>

<br />
<b>Notice</b>:  Undefined index: language in <b>/var/www/html/index.php</b> on line <b>9</b><br />
Please choose the language you want : English or Chinese
<h1>Hi,EveryOne,The flag is in flag.php</h1><html>
<head><meta http-equiv="Content-Type" content="text/html; charset=utf-8" /></head>

<?php
if( !ini_get('display_errors') ) {
  ini_set('display_errors', 'On');
  }
error_reporting(E_ALL);
$lan = $_COOKIE['language'];  //lan的值是cookies中key为language的值（因此要给lan赋值）
if(!$lan) //如果lan的值不为0
{
	@setcookie("language","english");
	@include("english.php"); //则执行english.php
}
else
{
	@include($lan.".php");
}
$x=file_get_contents('index.php');
echo $x;
?>
</html></html>

大意是取cookies中lan的值，如果不是0，则执行cookies中名为english的php

解题过程

1、使用burpsite进行抓包，观察到包中不存在cookies，因此考虑进行组装cookies

攻防世界-fileinclude,安全
在此处设置，
Name：language
Value：php://filter/read=convert.base64-encode/resource=/var/www/html/flag
其中：

php://filter/read=执行文件读取功能（也就是规定读取的位置）
convert.base64-encode执行Base64编码功能
/resource=/var/www/html/flag填写flag.php所在的地址，本题在源码的第5行“language in /var/www/html/index.php”
源码第23行的内容（@include($lan.“.php”); ），在上传参数时代码会附带后缀.php，所以此处不需要写为 ‘/var/www/html/flag.php’

2、添加好cookies后，报文如下图所示：
攻防世界-fileinclude,安全
3、组装好后，进行发送，下图为回显
4、对回显结果进行decode,可以看到flag