审计5 文件包含漏洞

<?php 
require_once('sys/config.php');
require_once('header.php');
?>
<div class="row">
    <?php
    if (isset($_GET['module'])){
        include($_GET['module'].'.inc');
        // phar://
    }else{
    ?>
    <div class="jumbotron" style="text-align: center;">
        <h1><b>VAuditDemo</b></h1>
        <p>一个简单的Web漏洞演练平台</p><br />
    </div>
    <div class="col-lg-12">
        <h2>用於演示講解PHP基本漏洞</h2>
        <p></p>
    </div>
    <?php
    }
    ?>
</div>
        
<?php
require_once('footer.php');
?>

在第一节发现了第8行可能存在漏洞，但是并没有利用成功。今天继续研究

再次审计发现这可以利用的有两种方法：

1.00截断 （仅限于php4.3以下版本） 2.php伪协议(phar 关于压缩包的协议)

function is_pic( $file_name ) {
    $extend =explode( "." , $file_name );
    $va=count( $extend )-1;
    if ( $extend[$va]=='jpg' || $extend[$va]=='jpeg' || $extend[$va]=='png' ) {
        return 1;
    }
    else
        return 0;
}

在sys/lib.php中发现文件上传只对文件名的后缀进行了检验。因此感觉利用php伪协议

搜索和文件上传有关的全局变量

if (isset($_POST['submit']) && isset($_FILES['upfile'])) {

    if(is_pic($_FILES['upfile']['name'])){

        $avatar = $uploaddir . '/u_'. time(). '_' . $_FILES['upfile']['name'];

        if (move_uploaded_file($_FILES['upfile']['tmp_name'], $avatar)) {
            //更新用户信息
            $query = "UPDATE users SET user_avatar = '$avatar' WHERE user_id = '{$_SESSION['user_id']}'";
            mysql_query($query, $conn) or die('update error!');
            mysql_close($conn);
            //刷新缓存
            $_SESSION['avatar'] = $avatar;
            header('Location: edit.php');
        }
        else {
            echo 'upload error<br />';
            echo '<a href="edit.php">返回</a>';
        }
    }else{
        echo '只能上傳 jpg png gif！<br />';
        echo '<a href="edit.php">返回</a>';
    }
}

发现文件路径的命名规则是   $avatar = $uploaddir . '/u_'. time(). '_' . $_FILES['upfile']['name'];

$uploaddir='../uoloads' 文件头有定义    time()  当前时间的字符串    $_FILES['upfile']['name']  上传的文件名字

然后搜索   $_SESSION['avatar']   发现 全文都没有将上传路径输出出来

现在的难点就是不知道time()生成的具体时间  

但是可以写脚本，去把response的时间转换成当前时间的字符串,可以在此字符串上下几个试出真实的上传路径。毕竟返回包的时间和上传文件成功的时间差不多。

//转换时间格式字符串脚本
<?php 
data_default_timezone_set('UTC');
echo strtotime('待转换的时间字符串');
?>

源码研究的差不多了，开始构造压缩包

构造一个一句话木马，然后将其名称改为cc.inc  （inc的原因是因为首页固定了文件后缀所以要构造成inc）

然后因为要用phar伪协议 (该协议主要是读取压缩包中的文件)

所以要将cc.inc压缩成cc.zip  然后又因为上传文件对文件后缀进行了验证，所以将压缩包后缀改为cc.jpg绕过上传

在用户界面编辑个人资料，上传头像。

截取上传成功后的response数据包：

将Date格式进行转换，用刚写的脚本

转换成功后

和uploads的文件比较

发现只差4位,也就是更换1502547352前5个后5个就基本可以便利到自己真实上传路径。

构造payload:

phar://uploads/u_1502547346_cc.jpg/cc.inc  (没有包含.inc  因为 已经有了.inc) 

利用成功！