LFI2RCE via phpinfo()
最后更新于
最后更新于
要利用此漏洞,您需要:一个LFI漏洞,一个显示phpinfo()的页面,"file_uploads = on",并且服务器必须能够写入"/tmp"目录。
HTB教程:
您需要修复漏洞(将**=>更改为=>**)。要做到这一点,您可以执行:
如果在PHP中允许上传文件,并尝试上传文件,则该文件将存储在临时目录中,直到服务器完成处理请求,然后删除该临时文件。
因此,如果在Web服务器中发现了LFI漏洞,您可以尝试猜测创建的临时文件的名称,并在服务器删除之前访问临时文件以利用RCE。
在Windows中,文件通常存储在C:\Windows\temp\php中。
在Linux中,文件的名称通常是随机的,位于**/tmp中。由于名称是随机的,因此需要从某处提取临时文件的名称并在其被删除之前访问它。这可以通过读取函数“phpconfig()”内容中变量$_FILES**的值来完成。
phpinfo()
PHP使用4096B的缓冲区,当缓冲区满时,它会发送给客户端。然后客户端可以发送 大量大请求(使用大头部)上传一个php反向shell,等待phpinfo()的第一部分返回(其中包含临时文件的名称),并尝试在php服务器删除文件之前访问临时文件以利用LFI漏洞。
Python脚本尝试暴力破解名称(如果长度为6)
如果您想看到您的公司在HackTricks中做广告或下载PDF格式的HackTricks,请查看!
获取
探索,我们的独家
加入 💬 或 或 关注我们的Twitter 🐦 。
通过向和 github仓库提交PR来分享您的黑客技巧。