浅谈文件包含漏洞

导语：文件包含漏洞是一种最常见的漏洞类型，它会影响依赖于脚本运行时的web应用程序。当应用程序使用攻击者控制的变量构建可执行代码的路径时，文件包含漏洞会导致攻击者任意控制运行时执行的文件。

文件包含漏洞的出现及危害

文件包含漏洞是一种最常见的漏洞类型，它会影响依赖于脚本运行时的web应用程序。当应用程序使用攻击者控制的变量构建可执行代码的路径时，文件包含漏洞会导致攻击者任意控制运行时执行的文件。如果一个文件包含这个漏洞，为了方便起见，经常在开发阶段就实施。由于它经常用于程序开发阶段，所以这就为后来的攻击埋下了伏笔并导致了各种基于文件的攻击。

文件包含漏洞主要是程序员把一些公用的代码写在一个单独的文件中，然后使用其他文件进行包含调用，如果需要包含的文件使用硬编码，一般是不会出现安全问题，但是有时可能不确定需要包含哪些具体文件，所以就会采用变量的形式来传递需要包含的文件，但是在使用包含文件的过程中，未对包含的变量进行检查及过滤，导致外部提交的恶意数据作为变量进入到了文件包含的过程中，从而导致提交的恶意数据被执行。

文件包含漏洞分为本地文件包含(Loacl File Inclusion,LFI)和远程文件包含(Remote File Inclusion,RFI)。这种漏洞貌不惊人，却危害很大。通过文件包含漏洞，可以读取系统中的敏感文件，源代码文件等，如密码文件，通过对密码文件进行暴力破解。若破解成功则可获取操作系统的用户账户，甚至可通过开放的远程连接服务进行连接控制。另外不管是本地文件包含还是远程文件包含，文件包含漏洞还可能导致执行任意代码。

本地文件包含

本地文件包含就是通过浏览器包含web服务器上的文件，这种漏洞是因为浏览器包含文件时没有进行严格的过滤允许遍历目录的字符注入浏览器并执行。

首先，当值可以直接被控制时，你就会有一个非常类似的如下的代码片段。

如果你可以找到上面的代码，那么就有一个直接包含的$文件，你可以控制它。

请注意：该文件可以是任何类型，无论它是被删除的文件类型、图片还是任意的内容，都包括在内。

首先，在当前文件夹中创建任意后缀的任意文件，如：file.txt（即使是像file.jpg这样的图片格式，则会产生以下效果）。

将文件的内容设置为：

此时，文件包含漏洞还包含当前服务器中的其他文件，同时支持包含Web应用程序的目录，如下所示：

尝试包括你的硬盘的一些内容，例如：C:\WINDOWS\system.ini。

如果你这样做，就可以在浏览器上看到任何文件的输出内容。

这只有当你有完全控制和文件类型没有进一步指定时才有效。

那么，如果代码片段变成如下这样，你该怎么做？

在这种情况下，你可以尝试按照上面的方法：

这将导致以下的输出：

你可以看到，如果后缀是固定的，就像上图一样，你不会找到前面包含的文件。

搜索的文件名是：./Include.txt.php。

所以这里有另一种方法：％00到达时截断一个字符串。这个技巧也被广泛应用于不同的领域，我不会在这里再详述，如果想详细了解，请点此。

在PHP中使用％00：

1.PHP版本<5.3（不包括5.3）;

2. PHP `magic_quotes_gpc = off`;

3.PHP不会在收到的参数中使用addslashes函数，例如上面代码中的$ _GET ['file']，不过在PHP版本5.3或更高版本中，此问题已得到解决。

如果打开gpc或者使用了加法器函数，序列将被正确地转义。

首先，你可以尝试如果gpc打开会发生什么（效果与使用该函数相同）。

如果你启用了gpc标志，你可以直接看到这个过程是如何发生的。

接下来可以看看5.3版本中的情况：

这里也没有明显的效果。

所以你可以看到，只要满足上述三个条件，就可以使用％00。

首先，你要将PHP版本更改为5.2，并在php.ini更改为 magic_quotes_gpc = on tomagic_quotes_gpc = off.后重新启动Apache。

这使你就能够在尝试时使用截断。

这时可以看到，你已经成功地使用了其中的截断。

那么文件只包含了包含的功能吗？当然不是，之所以会这样，是因为你可以控制可以包含的内容。

你可以创建一个文件：shell.txt来进一步利用这个漏洞。

你可以看到，其中也包括了shell。

那么两者有什么区别呢？其实没有什么区别，原理是一样的，但是第一个是用后缀来介绍的，第二个是固定在程序后缀后面的。但是可以使用％00，因为当程序流（program stream ）遇到％00终止符(terminator)时它会直接终止。

远程文件包含

远程文件包含就是允许攻击者包含一个远程的文件,一般是在远程服务器上预先设置好的脚本。 此漏洞是因为浏览器对用户的输入没有进行检查，导致不同程度的信息泄露、拒绝服务攻击 甚至在目标服务器上执行代码。

本地文件包含与远程文件有着相同的原理，但前者只能包含服务器上存在的文件，而后者可以包含远程服务器上的文件。

对于远程文件，你需要考虑以下2点：

1.在php.ini中需要allow_url_include = on和allow_url_fopen= on

2.所需的远程文件后缀不能与目标服务器的语言相同，如目标服务器解析PHP代码，则远程文件后缀不能为.php。

让我解释一下第二点，如果你的远程文件具有.php后缀，并且你的远程文件内容如下所示：

那么在远程服务器执行phpinfo()之后，你就可以获得目标服务器的内容。由于它不会运行代码，所以包含的信息不是目标服务器，而是远程服务器。

如下所示：

这是我的PHP5.6版本的远程设备信息，目标设备是5.2版本。

接下来是包含文件：

你可以看到，包含文件后，你的远程设备发生了变化，这是为什么呢? 

由于目标服务器不包含此代码：

此时，远程服务器会执行此代码的源代码，如下所示：

所以为了使这个攻击开始运行，你需要做一些修改：

1.修改配置

2.修改文件后缀

此时，你可以再来尝试一下包含的攻击向量：

那么你可以看到所需的信息在此包含之后返回，并且你的目标设备信息不再改变。

接下来，你要再次为远程文件包含做一个shell示例。

远程文件包含使用的前提是，符合本地文件包含的前提并符合远程文件包含其可用性的前提。

文件包含许多伪协议

文件中可以包含不同的伪协议，我将在下面演示其中的一些：

1.data:text/plain or data: text/plain; base64 2.php://input 3.php://filter 4.file:// 5.zip://

其他协议可以在官方文档中找到。

data:text/plain

输出直接显示在相应的URL中，显示参数：data：text / plain。

然后你需要执行如下所示的php代码：

data：text/plain; BASE64

有另一种方法来使用data: text/plain; base64，不过此时你需要使用base64编码来执行PHP代码，base64php代码如下所示：

## php://input

php://input访问请求的原始数据的只读流（read-only stream），会将post请求中的数据作为php代码执行。

你可以看到程序自动添加了一个.php后缀，因此使用包括php://input，将自动添加.php，所以它肯定不能正常工作。

此时，你可以参考以上的％00技巧来截断文件路径。

作者：CanMeng
链接：https://www.jianshu.com/p/065deed3142e