iwebsec靶场文件包含漏洞通关笔记3-session文件包含-编程知识

iwebsec靶场文件包含漏洞通关笔记3-session文件包含

1.打开靶场

2.源码分析

（1）session文件包含漏洞的的工作原理

（2）sessionstart()做了哪些初始化工作

3.获取session文件位置

4.向session写入webshell

5.访问webshell

1.打开靶场

iwebsec 靶场漏洞库iwebsechttp://iwebsec.com:81/fi/03.php

随手根据提示，参数写iwebsec=iwebsec，提示SESSION["username"]的内容是iwebsec，于是基于session包含进行渗透

2.源码分析

如下所示，源码中包含session_start，加上把iwebsec赋值session的特点，确认是session文件包含漏洞

<?phprequire_once('../header.php');?>
<html><head><title>session本地文件包含</title></head><h2>session本地文件包含</h2><div class="alert alert-success"><p>/03.php?iwebsec=iwebsec </p></div><body>
<?phpif(isset($_GET['iwebsec'])){session_start();$iwebsec=$_GET['iwebsec'];$_SESSION["username"]=$iwebsec;echo 'SESSION["username"]的内容是'. $_SESSION['username'];}else{exit();}?>

（1）session文件包含漏洞的的工作原理

    1）首先使用session_start()函数进行初始换
    2）当执行PHP脚本时，通过使用SESSION超全局变量注册session变量。
    3）当PHP脚本执行结束时，未被销毁的session变量会被自动保存在本地一定路径下的session库中，这个路径可以通过php.ini文件中的session.savepath指定，下次浏览网页时可以加载使用。

（2）sessionstart()做了哪些初始化工作

    1）读取名为PHPSESSID（如果没有改变默认值）的cookie值，假使为xxxxxx。
    2）若读取到PHPSESSID这个COOKIE，创建SESSION变量，并从相应的目录中（可以再php.ini中设置）读取sess_xxxxxx（默认是这种命名方式）文件,将字符装在入SESSION变量中;
    3）若没有读取到PHPSESSID这个COOKIE，也会创建SESSION超全局变量注册session变量。同时创建一个sess_xxxxxx(名称为随机值)的session文件,同时将xxxxxx作为PHPSESSID的cookie值返回给浏览器端。