FindFirstFile进一步利用

知道这个winapi是在学习php代码审计的时候,这里直接使用书中的解释


部分受影响的函数如下

最近看到的一个新的phpcms的洞,可以利用这个获取数据库的备份文件,于是我决定实践一下

测试代码如下

同级文件夹中有这样的文件


我们尝试将font参数设置为./123<<,可以看见file_exists函数判断这个文件是存在的



那么这个东西有什么用呢,利用这个特性,我们可以完成所有可访问文件夹的遍历,获取到所有的文件夹名以及文件名
既然要知道文件名,我们首先应当去了解这个文件名所允许的字符集范围,这里先不将中文考虑在内,之后再提,我们只考虑可打印的字符,首先数字和字母是显然的,而且这里无需考虑大小写的问题,因为并不区分,接下来就是特殊符号的确认,我尝试写了个脚本测试了一下

# -*- coding: utf-8 -*-
import string
import os

charset = string.punctuation

os.system("rmdir /s /q file")
os.mkdir('file')

print 'blacklist:'
for char in charset:
    fuzz = 'file/' + char + 'test'
    try:
        open(fuzz, 'ab').write('test')
    except:
        print char,

print '\nwhitelist:'
print ''.join([file.replace('test', '') for file in os.listdir('file')])

具体的结果如下,由此可知在特殊符号中可用的是!#$%&'()+,-.;=@[]^_`{}~



因此我们的字符集的范围如下,这里需要将特殊符号url编码一下,有部分的符号在url中起着特殊作用

charset = list(string.digits + string.ascii_lowercase) + map(urllib.quote,'!#$%&\'()+,-.;=@[]^_`{}~')

至此,我们有了字符集,那么接下来面临的一个问题就是如何去区分文件很文件夹,一开始我考虑的是是否有'.',显然这是不合理的,后来想到可以使用/<<作为结尾来区分,test是文件夹,而api.php是文件,测试一下


到这里应该做够实现正常的获取所有文件夹了,需要注意的是你要确保,tes和test文件都要获取到,我选择的是直接用递归写,可以避免这个问题,测了下确实可以获取到全部



回到最开始留下的中文问题上来,windows中,一般中文使用的会是gbk这样的编码,于是我们只研究一下他,翻开百度


可以看见如果每个汉字都是两个字节组成的,足足收录了21003个,这个范围有点大,而且gbk包括了繁体字和日韩文字,这个显然并不常用,于是我们选择范围小些的gb2312,它的字节结构如下,只有6768个,而且是常用汉字



我们来看看是否可以实现中文文件的判断,我在test文件夹下创建一个名为‘测’的文件,看一下测字的具体字节情况

将其url编码一下,发现确实可以


但是很快你就会发现问题,第一个字节位事实上是无法判断的,只要在第一字节范围内0xb0-0xf7,都是会被判断为存在,而且你把范围拓展到0x81-0xfe也是没有问题的


我尝试先确认第二个字节,但是结果是也不行,那么到这就凉凉了
,我没有找到解决的办法,如果你知道请务必告诉我

推荐阅读更多精彩内容