LFI через PHP stream wrappers (php://filter)

# Локальное включение файлов (обход фильтра через stream wrappers) ## Сценарий Вы проводите аудит **СофтБерг** — магазина программного обеспечения и лицензий на нативном PHP. У магазина есть раздел «Документация»: статьи лежат отдельными файлами, а точка просмотра открывает нужную по имени из запроса. Разработчик начитался статей о path traversal, заблокировал в имени переходы к родительскому каталогу и потребовал конкретный суффикс файла — и закрыл задачу как решённую. Перед релизом лицензионного портала вас попросили проверить эту защиту: известно, что кроме обычных путей PHP понимает и другие способы адресации файлов. ## Цель 1. Изучите раздел документации: какие значения проходят проверки, какие блокируются и чем оправдана каждая проверка. 2. Найдите значение, которое проходит фильтр, но заставляет механизм подключения вернуть содержимое произвольного читаемого файла — в том числе исходный код приложения. 3. По исходникам определите, откуда приложение берёт флаг, и извлеките его тем же механизмом. ## Теория Механизмы подключения файлов в PHP адресуют не только пути файловой системы: интерпретатор понимает встроенные схемы-обёртки потоков. Одна из них умеет прогонять содержимое любого читаемого файла через встроенные конвертеры — например, бинарно-безопасное кодирование. Закодированное содержимое перестаёт быть исполняемым кодом, но попадает в вывод страницы: атакующий читает исходники. Чёрный список «подозрительных» символов против этого бессилен: значение со схемой-обёрткой в начале не содержит заблокированных последовательностей и проходит проверки наравне с обычным именем. **Уязвимый паттерн:** ```php // Блокируются лишь «..» и суффикс проверяется: if (str_contains($name, '..')) { /* отказ */ } // ...значение с префиксом схемы всё равно уходит в подключение: @include($name); ``` ## Точка входа атаки `GET /doc` — просмотр статей документации; имя передаётся параметром `name`. * **Легитимные статьи:** значения вроде `index.php`, `api.php`, `faq.php` * **Обычный пользователь (для знакомства с магазином):** `demo` / `demo` — сам эндпоинт публичен * **Признак успеха:** в ответе — закодированный блок с исходным кодом серверных файлов