CTFHub | php://input

0x00 前言

CTFHub 专注网络安全、信息安全、白帽子技术的在线学习，实训平台。提供优质的赛事及学习服务，拥有完善的题目环境及配套 writeup ，降低 CTF 学习入门门槛，快速帮助选手成长，跟随主流比赛潮流。

0x01 题目描述

php://input：

（无）

0x02 解题过程

Ⅰ简单分析网页显示内容中的源代码，判断如果参数以 php:// 开头，那么执行 include 函数将参数值作为文件包含进来。否则，输出字符串 Hacker!!! 。

Ⅱ点击 phpinfo 超链接查看跳转到 php 版本页面。

Ⅲ使用 file 查看 php://input ，页面提示“我没有 shell ，我该怎么获得 flag 。”使用 file 查看 111 ， 222 ， phpinfo.php 都是跳转到这样的页面，说明网页可能存在文件包含。但是加上了 hacker!!! 因为我们没有用 php://input 去查看，所以会返回否则中的代码块。

http://challenge-989244bb6f61e22b.sandbox.ctfhub.com:10800/?file=php://input

Ⅳ其实这个文件包含漏洞，我们需要访问到对方目标文件的 flag 文件即可获得，我们需要使用 file 在目标 url 中访问 php://input 去执行文件包含。那么接下来就可以使用抓包工具抓取，并发送到重放器中。

Ⅴ在重放器中修改 GET 请求为 POST 请求，使用参数 <?PHP system("ls /"); ?> 就可以查看到目标站点中的文件，其中 system 是目标系统，括号中的内容执行命令。

<?PHP system("ls /"); ?>

Ⅵ使用 cat 命令查看 flag_20145 文件发现此题 flag 。

<?php system("cat /flag_20145"); ?>

0x03 php://input

0x1 相关 PHP 伪协议

php://input 是 php 语言中一个只读的数据流，通过 "php://input" ，可以读取从 HTTP 客户端以 POST 方式提交的所有数据。

php://filter	是 PHP 内置的过滤器流，可以读取源代码，并过滤输出
php://output	是一个只写的数据流，可以通过 print 和 echo 一样的方式写入到输出缓冲区。
php://input	可以访问请求的原始数据的只读流，可以通过 POST 请求执行 PHP 代码

注意：php://input 需要开放 allow_url_include 。

0x2 file://协议

file:// 协议主要用于访问本地文件，在双 off 的情况下也可以正常执行。

allow_url_fopen ：off / on

allow_url_include：off / on

0x04 参考文献

[1].xq17. 浅析php文件包含及其getshell的姿势[EB/OL]. [2023-06-08]. https://xz.aliyun.com/t/5535.

[2].My_Dreams. php伪协议总结[EB/OL]. [2023-06-08]. https://www.cnblogs.com/zzjdbk/p/13030717.html.