Tại sao bao gồm ('php: // input') không hoạt động?

Question

Hãy tưởng tượng một ứng dụng PHP đồ chơi dễ bị tấn công tuyệt đối với tệp nội bộ, ví dụ:

<?php include($_GET['action']); 

Tôi đã thử các yêu cầu sau đây để khai thác nó:

POST /?action=php://input HTTP/1.1 
Host: XXXXXXXXXXXXXXXXX 
Content-Length: 3 

foo 

này có hiệu quả thực thi include('php://input'); với yêu cầu cơ thể foo, vì vậy tôi mong chờ nó để in foo. Tuy nhiên, tôi nhận được lỗi sau đây

<br /> 
<b>Warning</b>: include(php://input): failed to open stream: operation failed in <b>XXXXXXXXXXXXXXXXX</b> on line <b>12</b><br /> 
<br /> 
<b>Warning</b>: include(): Failed opening 'php://input' for inclusion (include_path='.:/usr/share/php:/usr/share/pear') in <b>XXXXXXXXXXXXXXXXXXX</b> on line <b>12</b><br /> 

Sự cố ở đây là gì? Đây có phải là tính năng bảo mật của PHP không? Nếu có, ai đó có thể chỉ ra phần trách nhiệm của mã nguồn PHP để giảm thiểu điều này?

Answer 1

Tôi tìm thấy câu trả lời với sự trợ giúp của Gustek. Rõ ràng php://input thuộc restrction của allow_url_include, trong khi ví dụ php://filter không:

giới hạn bởi allow_url_include: php: // đầu vào, php: // stdin, php: // bộ nhớ và php: // chỉ tạm thời .

Nguồn: Docs for php:// URL handler