php网站漏洞（记一次PHP渗透测试实战教程）

php教程菜鸟教程

0x01前言在渗透测试过程中，开发不可能每一次都将结果输出到页面上，也就是漏洞无回显的情况，那么在这种情况下，我们可以通过dnslog判断漏洞存在，或者通过起一个python的httPHPp服务来判断，方法很多，下面主要进行一些情况的分析。

0x02无回显概念无回显，即执行的payload在站点没有输出，无法进行进一步操作在渗透测试过程中，漏洞点不可能总是能够在返回页面进行输出，那么这时PHP候就需要进行一些无回显利用了0x03不同漏洞的无回显1、SQL注入无回显

SQL注入，作为OWASP常年占据榜首位置的漏洞，在无回显中也是常见的当然SQL注入在无回显上已经具有了一定的解决措施无回显我将PHP其定义为页面没有输出我们想要得到的内容，下面以sqli-labs为例进行讲解。

1.1 布尔盲注布尔盲注，盲注的一种，当网站通过查询语句的布尔值返回真假来输出页面信息的时候，查询语句为真，页面输出内容；PHP查询语句为假，页面不输出内容那么这里就可以通过构造等号判断，获取相应的字符的ascii码，最后还原出数据。

具体测试过程如下：1、id传参1之后，页面返回有数据，这里明显不能进行显错注入了。

2、在传参后PHP面加个单引号，页面返回空，不显示错误信息，不能使用报错注入。

3、通过拼接and 1=1和and 1=2，发现页面对于布尔值的真与假返回的页面结果也不同。

4、通过length()函数判断数据库库名的长度PHP大于1。?id=1’ and length(database())>1 %23

5、在大于8的时候页面返回空，所以数据库库名长度等于8。

6、通过ascii()函数和substr ()截取函数获取数据库库PHP名的第一个字符的ascii码?id=1’ and ascii(substr((select database()),1,1))>97 %23

?id=1’ and ascii(substr((selecPHPt database()),1,1))=101 %23首先用大于号判断出大概所处的值，最后使用等于号验证ascii码的值此处得出数据库库名的第一个字符的ascii码值为115，对应字符为s。

7、更改截PHP取的位置，判断后面的字符对应的ascii码值。?id=1’ and ascii(substr((select database()),2,1))=101 %23

1.2 延时盲注延时盲注，一种盲注的手法PHP在渗透测试过程中当我们不能使用显错注入、报错注入以及布尔盲注无论布尔值为真还是为假，页面都返回一样之后，我们可以尝试使用延时盲注，通过加载页面的时间长度来判断数据是否成功。

在PHP中有一个if()函数PHP，语法为if(exp1,exp2,exp3)，当exp1返回为真时，执行exp2，返回为假时，执行exp3配合延时函数sleep()来获取相应数据的ascii码，最后还原成数据。

下面我将通过实例来介绍PHP如今进行延时盲注1、首先获取的页面如下，后面不论接上布尔值为真还是为假的，页面都返回一样，此时将不能使用布尔盲注。

2、通过and拼接延时函数查看页面是否有延时回显首先记录没有使用延时函数的页面返回时间PHP，为4.*秒；使用sleep(5)延时5秒之后，页面响应时间为9.*秒，说明对于我们输入的sleep()函数进行了延时处理，此处存在延时盲注。

3、通过延时注入判断数据库库名的长度一个个测试发现当长度等PHP于8时页面延时返回了，说明数据库库名长度为8?id=2’ and if((length(database())=8),sleep(5),1) %23。

4、与布尔盲注一样，将子查询的数据截断之后判断asPHPcii码，相等时延时5秒最后得到第一个字符的ascii码为115?id=2’ and if((ascii(substr((select database()),1,1))=115),sleep(5),PHP1) %23。

5、后面替换截断的位置，测试后面的字符的ascii码值最后得到对应的ascii码值为115 101 99 117 114 105 116 121通过ascii解码工具解得数据库库名为sePHPcurity

巧用dnslog进行SQL注入前面介绍了SQL注入中的盲注，通过布尔盲注或者延时盲注来获取数据需要的步骤非常繁琐，不仅需要一个一个字符的获取，最后还需要进行ascii解码，这需要花费大量的PHP时间与精力为了加快渗透进程，以及降低获取数据的难度，这里介绍如何通过dnslog进行SQL注入。

Dnslogdnslog，即dns日志，会解析访问dns服务的记录并显示出来，常被用来测试漏洞是否存在以PHP及无法获取数据的时候进行外带数据简单来说，dnslog就是一个服务器，会记录所有访问它的记录，包括访问的域名、访问的IP以及时间。

那么我们就可以通过子查询，拼接dnslog的域名，最后通过dns日志得PHP到需要的数据Load_file()函数数据库中的load_file()函数，可以加载服务器中的内容load_file(‘c:/1.txt’)，读取文件并返回内容为字符串，使用load_file()函数PHP获取数据需要有以下几个条件：。

1.文件在服务器上2.指定完整路径的文件3.必须有FILE权限UNC路径UNC路径就是类似\softer这样的形式的网络路径它符合 \服务器名\服务器资源的格式在WindPHPows系统中常用于共享文件如\192.168.1.1\共享文件夹名。

Dnslog注入实例演示1、打开实例站点，很明显这里是只能使用盲注的站点。