文件包含漏洞复习总结

一、漏洞介绍

1.什么是文件包含？

程序开发人员一般会把重复使用的函数写到单个文件中，需要使用某个函数时直接调用此文件，而无需再次编写，这种文件调用的过程一般被称为文件包含。
2.文件包含漏洞产生原因

这个漏洞主要是由于服务端没有一个合理的输入验证机制，即用户的输入在没有适当验证的情况下被传递文件包含命令，从而执行恶意文件操作。
示例

1. [/code]对上面这段 PHP 代码进行分析，把一个 GET 请求的参数 file 传给了一个变量filename，然后包含了这个变量。但是开发者没有对 $_GET['file']  参数经过严格的过滤，直接带入了 include 的函数，这就造成了文件包含漏洞，如此一来，攻击者便可以修改$_GET[‘file']的值，包含网站的敏感文件进行查看。
2. [size=5]3.文件包含函数[/size]
4. 在 PHP 中共有四种文件包含函数：
5. [list]
6. [*][b]Include（）[/b]：包含并运行指定的文件，只有在程序执行到 include 时才包含文件，且当包含文件发生错误时，程序警告，但会继续执行。
7. [*][b]Require（）[/b]：只要程序一运行就会执行该包含文件函数，当包含文件发生错误时，程序直接终止执行。
8. [*][b]Include_once（）[/b]：和 include（）类似，不同之处在于 include_once 会检查这个文件是否已经被导入，如果已导入、下文便不会再导入。
9. [*][b]Require_once（）[/b]：和 require（）类似，不同处在于 require_once 也是与include_once 一样只导入一次。
10. [/list][size=5]4.文件包含漏洞的危害[/size]
12. [list]
13. [*]读取web配置文件以及敏感数据
14. [*]web 服务器的文件被外界浏览导致信息泄露;
15. [*]与文件上传漏洞组合 getshell，将恶意代码执行解析
16. [/list][size=5]5.文件包含漏洞的检测[/size]
18. [list]
19. [*]通过代码审计，来查出漏洞所在位置和原理。
20. [*]通过漏洞扫描工具识别。
21. [*]查看网站的程序平台，中间件，框架等，寻找公开漏洞。
22. [*]通过查看网站的 url 地址，观察链接上参数值
23. [/list][size=6]二、漏洞分类[/size]
25. 文件包含漏洞共分为两大类，本地文件包含和远程文件包含，想要实现远程文件包含，需要 php.ini 开启了 allow_url_fopen 和 allow_url_include 的配置。[b]本地文件包含的含义就是包含本地服务器的文件，远程文件包含的含义就是包含第三方服务器的文件。[/b]
26. [size=5]1.本地文件包含[/size]
28. [size=4]（1）介绍[/size]
30. [b]仅能够对服务器本地的文件进行包含[/b]，由于服务器上的文件并不是攻击者所能够控制的，因此该情况下，攻击者更多的会包含一些固定的系统配置文件，从而读取系统敏感信息。很多时候本地文件包含漏洞会结合一些特殊的文件上传漏洞，从而形成更大的威力。
31. [size=4]（2）演示[/size]
33. 如图为 pikachu 的本地文件包含漏洞靶场
34. [img]https://img2022.cnblogs.com/blog/2752372/202208/2752372-20220810144045246-218125148.png[/img]
35. 观察其 url,将 file.php 文件名替换为网站根目录下的 phpinfo.php 成功显示
36. [img]https://img2022.cnblogs.com/blog/2752372/202208/2752372-20220810144427123-1445154059.png[/img]
37. [size=5]2.远程文件包含[/size]
39. [size=4]（1）介绍[/size]
41. [b]能够通过url地址对远程的文件进行包含[/b]，这意味着攻击者可以传入任意的代码。因此，在 web 应用系统的功能设计上尽量不要让前端用户直接传变量给包含函数，如果非要这么做，一定要做严格的白名单策略进行过滤。
42. [size=4]（2）演示[/size]
44. 要保证 php.ini 中 allow_url_fopen 和 allow_url_include 为On
45. 如图为 pikachu 的远程文件包含漏洞靶场
46. [img]https://img2022.cnblogs.com/blog/2752372/202208/2752372-20220810144931948-1462021256.png[/img]
47. 先在自己的个人服务器上创建好一个 phpinfo.php 文件
48. [img]https://img2022.cnblogs.com/blog/2752372/202208/2752372-20220810145344212-2002275570.png[/img]
49. 将 url 中 filename 的参数填上 远程服务器的 phpinfo.php 文件路径，成功显示
50. [img]https://img2022.cnblogs.com/blog/2752372/202208/2752372-20220810145658491-1860497470.png[/img]
51. [size=6]三、漏洞利用[/size]
53. [size=5]1.PHP 伪协议[/size]
55. [size=4]（1）PHP 支持的伪协议[/size]
57. [code]file:// — 访问本地文件系统
58. http:// — 访问 HTTP(s) 网址
59. ftp:// — 访问 FTP(s) URLs
60. php:// — 访问各个输入/输出流（I/O streams）
61.         php://stdin, php://stdout 和 php://stderr
62.         php://input
63.         php://output
64.         php://memory 和 php://temp
65.         php://filter
67. zlib:// — 压缩流
68. data:// — 数据（RFC 2397）
69. glob:// — 查找匹配的文件路径模式
70. phar:// — PHP 归档
71. ssh2:// — Secure Shell 2
72. rar:// — RAR
73. ogg:// — 音频流
74. expect:// — 处理交互式的流

复制代码

（2）常见 PHP 伪协议

a.php://input

1）介绍

php://input 是个可以访问请求的原始数据的只读流。当请求方式是 post，并且 Content-Type 不等于 “multipart/form-data” 时，可以使用 php://input 来获取原始请求的数据。
2）利用演示

创建具有文件包含漏洞的 file inclusion.php 文件进行演示
代码如下

1. [/code]可以看到确实存在文件包含漏洞
2. [img]https://img2022.cnblogs.com/blog/2752372/202208/2752372-20220810150835716-854726205.png[/img]
3. [size=1]命令执行[/size]
5. 打开 burpsuite 修改数据包，利用 php://input 进行命令执行
6. [img]https://img2022.cnblogs.com/blog/2752372/202208/2752372-20220810150234690-1368188283.png[/img]
7. 可以看到成功执行命令
8. [img]https://img2022.cnblogs.com/blog/2752372/202208/2752372-20220810150356934-1713547021.png[/img]
9. [size=1]写入木马[/size]
11. 再次使用 burpsuite 修改数据包，利用 php://input 上传木马
13. [img]https://img2022.cnblogs.com/blog/2752372/202208/2752372-20220810151224959-1559683699.png[/img]
14. 打开网站根目录，木马上传成功
15. [img]https://img2022.cnblogs.com/blog/2752372/202208/2752372-20220810151543549-1355700048.png[/img]
16. [size=3]b.file://[/size]
18. [size=2]1）介绍[/size]
20. file:// 文件系统是 PHP 使用的默认封装协议，展现了本地文件系统。当指定了一个相对路径（不以/、、\或 Windows 盘符开头的路径）提供的路径将基于当前的工作目录。通常利用它读取本地文件。
21. [size=2]2）利用演示[/size]
23. 利用 file:// 读取网站根目录下的 phpinfo.php 文件
24. [img]https://img2022.cnblogs.com/blog/2752372/202208/2752372-20220810152757613-223878941.png[/img]
25. [size=3]c.php://filter[/size]
27. [size=2]1）介绍[/size]
29. php://filter 是 php 中独有的一个协议,可以作为一个中间流来处理其他流,可以进行任意文件的读取。
30. [size=2]2）利用演示[/size]
32. file=php://filter/read=convert.base64-encode/resource=file inclusion.php
33. 利用 php://filter 将网页源码用 base_64 编码后读取
34. [img]https://img2022.cnblogs.com/blog/2752372/202208/2752372-20220810151837544-269152206.png[/img]
35. 再用 base_64 解码，成功得到网页源码
36. [img]https://img2022.cnblogs.com/blog/2752372/202208/2752372-20220810152353435-1642158639.png[/img]
37. [size=5]2.文件包含漏洞绕过[/size]
39. [size=4]（1）绕过指定前缀[/size]
41. [b]示例代码[/b]：
42. [code]

复制代码

方法：通过…/回溯符跳转到其他目录
（2）绕过指定后缀

示例代码：
[code][/code]方法：

• %00截断：%00会被认为是结束符，后面的数据会被直接忽略，导致扩展名截断。攻击者可以利用这个漏洞绕过扩展名过滤。
  
• 路径长度截断：操作系统存在最大路径长度的限制。可以输入超过最大路径长度的目录，这样系统就会将后面的路径丢弃，导致扩展名截断。（ Windows 下目录的最大路径256B，Linux 下目录的最大路径长度为4096B）
  

四、漏洞防御

（1）检查配置文件

检查 php 中的 php.ini ，其中 allow_url_foprn、allow_url_include 这两个选项与 php 伪协议紧密关联。allow_url_fopen默认是开启的，allow_url_include 默认是关闭，最好根据网站需求，对这两个选项进行合理配置。
（2）过滤特殊符号

服务器可以过滤掉执行文件包含操作的符号，例如：\，// 等，以及 php 伪协议常用字符，例如input，output，filter 等，将这些字符进行有效过滤，可以减少恶意文件操作的可能。
（3）指定包含的文件

建立一个白名单。当用户创建文件时，将该文件名插入到记录中，以便其请求文件时，站点可以在执行任何包含之前验证文件名。
总结

消除文件包含漏洞的最有效的解决方案是避免向任何文件系统/框架 API 传递用户提交的输入。如果不可避免，应用程序可以设置白名单，然后使用一个标识符（例如索引号）来访问所选的文件。任何包含无效标识符的请求都会被拒绝，这样就可以避免产生文件包含漏洞。

免责声明：如果侵犯了您的权益，请联系站长，我们会及时删除侵权内容，谢谢合作！