谈谈从phpinfo中能获取哪些值得注意的信息

作者:律师''小窝 时间:2023-11-23 23:52:17 

phpinfo函数

phpinfo函数 PHP中提供了PHPInfo()函数,该函数返回 PHP 的所有信息,包括了 PHP 的编译选项及扩充配置、PHP 版本、服务器信息及环境变量、PHP 环境变量、操作系统版本信息、路径及环境变量配置、HTTP 标头、及版权宣告等信息。

其函数定义如下:

语法: int phpinfo(void);

返回值: 整数

函数种类: PHP 系统功能

例如新建一个php文件,在其中输入以下内容:


<?php phpinfo(); ?>

所以phpinfo()想必对大家都最熟悉的了,在搭建环境之后都会随后写一个phpinfo()来测试环境是否正常,很多人测试完毕忘记删除就开始部署环境了,这就造成了一些敏感信息的泄漏。那么我们能从phpinfo()中获得哪些敏感信息呢?

php版本这种就不用说了,来看一下泄漏了哪些比较敏感的信息。

一、绝对路径(_SERVER[“SCRIPT_FILENAME”])

这个是最常用,也是最有效的一个办法,找到phpinfo()页面可以直接找到网站的绝对路径,对于写shell和信息搜集是必不可少的。

二、支持的程序

可以通过phpinfo()查看一些特殊的程序服务,比如redis、memcache、mysql、SMTP、curl等等如果服务器装了redis或者memcache可以通过ssrf来getshell了,在discuz中都出现过此类问题。如果确定装了redis或memcache的话,在没有思路的情况下,可以着重找一下ssrf

三、泄漏真实ip(_SERVER[“SERVER_ADDR”]或SERVER_ADDR)

有时候通过phpinfo()泄漏的ip可以查查旁站、c段什么的,直接无视cdn,百事不灵。

四、GOPHER

也算是ssrf一部分吧,或者说主要靠ssrf利用起来,如果支持gopher,ssrf便没有压力咯

五、fastcgi

查看是否开启fastcgi和fastcgi的版本,可能导致解析漏洞、远程命令执行、任意文件读取等问题

六、泄漏缓存文件地址(_FILES[“file1”])

向phpinfo() post一个shell可以在_FILES[“file1”]中看到上传的临时文件,如果有个lfi,便可以直接getshell了。

谈谈从phpinfo中能获取哪些值得注意的信息

七、一些敏感配置

allow_url_include、allow_url_fopen、disable_functions、open_basedir、short_open_tag等等

比如allow_url_include可用来远程文件包含、disable_functions用来查看禁用函数,绕过执行、查看是否开启open_basedir,用p牛的绕过open_basedir的方法有可能能读一些没权限的目录等等。

此外还能获取一些环境信息,比如Environment中的path、log等

总结

暂时只想了这么多,欢迎留言补充,一定及时更新。以上就是这篇文章的全部内容了,希望本文的内容对大家的学习或者工作能带来一定的帮助。

标签:php,phpinfo,信息
0
投稿

猜你喜欢

  • python书籍信息爬虫实例

    2023-11-17 11:15:49
  • 将TensorFlow的模型网络导出为单个文件的方法

    2022-11-11 07:30:13
  • 在Linux上安装Python的Flask框架和创建第一个app实例的教程

    2021-08-26 14:23:11
  • SQL Server中字符串函数的用法详解

    2024-01-14 05:42:56
  • Python 不设计 do-while 循环结构的理由

    2021-08-04 11:55:19
  • 流动的线条 —— 中国汉字书法之美

    2009-10-30 18:15:00
  • python实现维吉尼亚算法

    2023-07-02 01:28:17
  • python process模块的使用简介

    2023-08-05 13:13:13
  • golang copy函数使用的坑

    2023-07-09 19:53:44
  • CSS代码实现下划线样式的输入框效果

    2010-03-16 12:42:00
  • vue proxytable代理根路径的同时增加其他代理方式

    2024-05-05 09:09:17
  • Python实现App自动签到领取积分功能

    2021-09-16 15:59:59
  • python如何提取英语pdf内容并翻译

    2023-06-13 13:37:27
  • Python实现感知器模型、两层神经网络

    2021-11-14 07:34:19
  • 一个统计表每天的新增行数及新增存储空间的功能

    2024-01-13 22:27:40
  • python编写实现抽奖器

    2023-02-25 00:44:45
  • Python实现将Word表格嵌入到Excel中

    2022-02-10 06:21:49
  • Python中的“_args”和“__kwargs”用法详解

    2023-03-11 02:10:38
  • 从零开始搭建基于Python的微信小程序的教程分享

    2022-09-08 19:38:59
  • 微信小程序之事件交互操作实例分析

    2024-04-19 10:29:54
  • asp之家 网络编程 m.aspxhome.com