Альтернатива null-байту из многочисленных /

[Белый Тигр]

Всем привет. Думаю все уже слышали об этой теме. Я в качестве первоисточника использовал статью Raz0r`а.
При воспроизведении этого способа локально столкнулся с тем, что ни на одной версии PHP у меня ничего не получилось. Похоже я что-то не так понял.
Брал версии: 5.1.6, 5.2.16-suhosin, 5.2.17, 5.3.1, 5.3.10, 5.3.21, 5.4.11.
Тестил на Ubuntu 12 x64 3.2.0-37-generic.
Для тестов брал следующий код:

PHP код:

<?php
$p = str_repeat('/', 4096) . "lllll"; # C suhosin в конец добавлялась ещё точка, перед lllll, а число повторов было 4095.
include("/etc/passwd{$p}");

В принципе мне ясно почему способ не работает в 5.3 и 5.4 - с 5.3.1 вообще не срабатывает код

PHP код:

include("/etc/passwd/.") 
include("/etc/passwd/") 


В 5.2.17(16) не работает

PHP код:

include("/etc/passwd/") 


Но в 5.1.6 то всё должно работать. Или с 5.2.16-suhosin (где для реализации необходима точка в конце из-за Suhosin).
Скажите пожалуйста, в чём я ошибся?

[Лаврушкин]

Насколько я помню, то с абсолютным путем эта штука не работает. и более универсальным считалась точка '.' )

[Beched]

Можно же слеши добавлять спереди, тогда это будет валидный путь с точки зрения ОС.

[InSys]

Попробуйте гляньте мою статью: http://intsystem.org/412/issledovanie-php-include/
В ней я как раз описывал о проблемах с точками, с колличиством слешей, и прочее...

В кратце, то при подобном подходе нужно чтобы точка оказалась 4096-ым символом. Грубо говоря вот как то так:

PHP код:

$path="/etc/passwd";
$slsh = str_repeat('/', 4095-strlen($path)).".";
include($path.$slsh."trolololo"); 


И процитирую из своей же статьи:

в оригинальной статье USH было четко написанно что использовать просто слеши не желательно, и необходимо чтобы в конце перед нормализацией остался символ точки. А просто слеши (даже без точки на конце) работают только в PHP c Suhosin.

То есть использовать слеш с точкой "/." - более универсальный метод, так как, в отличие от слешей "/", он работает для всех версий php.

Для suhosin точка не нужна. Точка нужна для обычных версий php, а вы делали наоборот.

Выше написали что мол при указании абсолютного пути этот метод не работает. Чесно говоря, в подобных условиях не тестировал, поэтому может быть и так (но сильно сомневаюсь). Попробуйте изменить путь на относительный. Также предлагаю поэксперементировать с добавлением несуществующей папки и последующим выходом из нее в начале. То есть что то типа:

/etc/passwd/../passwd/././.[.....]
/etc/passwd/dsfdsfds/../../passwd/././.[.....]

[Белый Тигр]

InSys, большое спасибо! Сегодня руки доберутся до тестов и всё проверю. Похоже ошибка найдена.
P.S. И блог интересный, подписался

[InSys]

Не забудь отписаться о результатах. Интересно таки что было не так.

P.S. И блог интересный, подписался

Спасибо, приятно слышать =)

[Белый Тигр]

Получилось! Опытным путём выявлено что на Linux, при лимите строки в 4096 байт, этот трюк срабатывает на версиях:
5.0.5, 5.1.6, 5.2.0, 5.2.3. На 5.2.4 уже не работает. Т.е. можно сказать что на любых 5-ых версиях до 5.2.4 этот трюк осуществить можно. Код:

<?php
$str = "data/../../../../etc/passwd/";
$startCount = 2048; # 2048 повторов по 2 символа = 4096 символов
$result = $str . str_repeat("//",$startCount-(strlen($str)/2)) . ".php";
include($result);

В 5.2.4 уже не пашет. С Suhosin тоже не получилось проверить. В выше приведённом коде заменял "/." на "//" на php-5.1.6+suhosin - не работает.
С 4 веткой похоже не работает вообще. Проверял на 4.4.9, 4.3.10.
Утверждение о том, что с прямыми путями это не работает - верно. Только с относительными.
Ещё раз всех благодарю за помощь

[Белый Тигр]

Опубликовал сегодня у себя в блоге 2 скрипта для тестов кода на множестве версий PHP сразу. Может кому пригодится:
http://habrahabr.ru/post/169311/