1. PHP LFI RFI 掃盲大補帖
hack-stuff.com
2012/11/3
1

2. PHP fuzzing 兩大 getshell 的方法
(SQL injection 會受限於資料庫，略過 ~~)
◦ Execution : Eval 、 system command
eval 、 assert 、 shell_exec 、 system
◦ File Inclusion ： LFI 、 RFI
include 、 include_once 、
require 、 require_once 、 fopen 、 readfile
◦ 這次講題 focus 在 File Inclusion 這個部分
PHP fuzzing
2

3. 1. LFI 成因與限制
2. RFI 成因與限制
3. PHP 的截斷與 Directory Traversal
4. LFI get shell
5. Demo
大綱
3

4. Include or Require
LFI 成因與限制
4

5. LFI & 跳脫字元
LFI 成因與限制
5

6. php.ini
◦ allow_url_include =ON ( 但預設都是關掉的 囧 )
開了就從 LFI 升級成 RFI
RFI 成因與限制 強大但雞 肋
6

7. 另外的方法 ( 若檢查 file 存在 ) : php 5.0 以上
Using php://input wrapper
RFI 成因與限制 強大但雞 肋
7

8. 最近的 php-cgi 漏洞應用 (2012/5/6)
RFI 成因與限制 最近漏洞應用
8

9. %00 截斷 (php 5.3.2 修復 )
PHP 的截斷與 Directory
Traversal
9

10. //////// or /././././././
◦ Win : 256 , linux : 4096
◦ 缺點 : 不能 traversal ../../../../ 了，只能該目錄
及子目錄的東西
◦ 優點： no any patch!!
PHP 的截斷與 Directory
Traversal
10

11. 1. 讀取系統資訊
◦ Linux OS : /etc/issue
◦ Linux Kernel : /proc/version
LFI 利用方式大集合
11

12. 2.讀 /proc/self/environ GetShell( 強大但
不常見 )
LFI 利用方式大集合

13. 2.讀 /proc/self/environ GetShell( 強大但
不常見 )
LFI 利用方式大集合

14. 3. 包含 error_log ( 大部分不行 )
4. PHP session 包含與上傳檔案
php 的 session 存在哪裡，怎麼包含呢 ?
/var/lib/php/session/sess_26 位亂碼
26 位亂碼 就在你的 cookie 查的到 ~
LFI 利用方式大集合
14

15. Zero day Demo
Demo
15