XCTF-web1文件包含绕过file include

场景一： fileclude

题目描述

好多file呀！

进入场景

1. 给出PHP源码
   
   包含flag.php文件
   GET获取两个参数file1和file2
   当参数不为空时，使用file_get_contents()函数将文件内容读入字符串，判断是否为"hello ctf"

2. 利用php伪协议尝试绕过
   

1. php://input
php://input 是可以访问请求原始数据的只读流。在POST 请求的情况下，由于 php://input 不依赖于特定的 php.ini 指令，可以使用它代替 $HTTP_RAW_POST_DATA。

注意点：
①input必须以post请求
②enctype=“multipart/form-data” 的时候 php://input 是无效的
③allow_url_include=on

2. php://filter
php://filter用于读取网站源码。读取php文件源码内容(直接包含脚本格式文件会解析无法直接获取文件源码)。
用法：http://192.168.1.3/1.php?file=php://filter/read=convert.base64-encode/resource=1.php

1
2
3
4
5
6
7
8
9
10
11
12

参考链接：https://blog.csdn.net/weixin_44508748/article/details/108162951

3. 对获取到的密文解码得到flag

场景二：fileinclude

进入场景

1. 提示旗帜在flag.php文件中，但是直接访问是空白的页面
   

2. 查看网页源代码，存在一段php代码，其中包含include()函数
   

3. 分析代码，尝试绕过
   使用COOKIE判断language参数为english时使用英语脚本，其他的使用lan参数加上php后缀
   添加Cookie参数，利用filter伪协议请求，得到flag

4. 对flag解密
   

场景三： file_include

题目描述

怎么读取文件呢？

进入场景

1. 给我们一个PHP源码
   
   highlight_file()函数：高亮显示
   include()函数：文件包含
   感觉是 使用GET参数获取文件路径给filename，
   尝试php://input绕过失败，
   尝试php://filter/read=convert.base64-encode/resource=flag.php绕过失败

参考资料：https://blog.csdn.net/qq_40646572/article/details/127257539
参考资料：https://blog.csdn.net/woshilnp/article/details/117266628
官方手册：https://www.php.net/manual/en/mbstring.supported-encodings.php

尝试转换过滤器，使用convert.icon.*绕过

使用convert.iconv.*过滤器等同于用iconv()函数处理所有的流数据。
iconv：字符串按要求的字符编码来转换

convery.iconv.*的使用有两种方法:
	convert.iconv.<input-encoding>.<output-encoding> 或
	convert.iconv.<input-encoding>/<output-encoding>

支持的字符编码有一下几种（详细参考官方手册）
UCS-4*
UCS-4BE
UCS-4LE*
UCS-2
UCS-2BE
UCS-2LE
UTF-32*
UTF-32BE*
UTF-32LE*
UTF-16*
UTF-16BE*
UTF-16LE*
UTF-7
UTF7-IMAP
UTF-8*
ASCII*
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24

2. php://filter死亡绕过
   
   抓包测试使用的编码方式
   

3. 存在多种可能性，得到flag