文件包含漏洞（LFI、RFI）（require()、include()函数）

一、文件包含漏洞分类

LFI(Local File Inclusion)
本地文件包含漏洞，指的是能打开并包含本地文件的漏洞。大部分情况下遇到的文件包含漏洞都是LFI。
为了方便本文把LFI直接称为文件包含漏洞。

RFI(Remote File Inclusion)
远程文件包含漏洞。是指能够包含远程服务器上的文件并执行。由于远程服务器的文件是我们可控的，因此漏洞一旦存在危害性会很大。但RFI的利用条件较为苛刻，需要php.ini中进行配置

allow_url_fopen = On
allow_url_include = On

两个配置选项均需要为On，才能远程包含文件成功。
在php.ini中，allow_url_fopen默认一直是On，而allow_url_include从php5.2之后就默认为Off。

二、文件包含漏洞原理

本地文件包含（Local File Inclusion）漏洞，是程序员在网站设计中，为方便自己在设计构架时，使用了一些包含的函数，在文件中包含一个文件。

服务器执行PHP文件时，可以通过文件包含函数加载另一个文件中的PHP代码，并且当PHP来执行，这会为开发者节省大量的时间。

这意味着可以创建供所有网页引用的标准页眉或菜单文件。当页眉需要更新时，只更新一个包含文件就可以了，或者当向网站添加一张新页面时，仅仅需要修改一下菜单文件（而不是更新所有网页中的链接）。

LFI 产生的原因是由于程序员未对用户可控变量进行输入检查，此漏洞的影响可能导致泄露服务器上的敏感文件等。
如若攻击者能够通过其他方式在Web服务器上放置代码，那么他们便可以执行任意命令

 Directory traversal attack is also called a Local File Inclusion or LFI.

翻译：目录遍历攻击也称为本地文件包含攻击或LFI。

三、文件包含函数

PHP中文件包含函数有以下四种：

require() // 只在执行到此函数时才去包含文件，若包含的文件不存在产生警告，程序继续运行

require_once() // 如果一个文件已经被包含过，则不会在包含它

include() // 程序一运行文件便会包含进来，若包含文件不存在产生致命错误，程序终止运行

include_once() // 如果一个文件已经被包含过，则不会在包含它

include和require区别主要是，include在包含的过程中如果出现错误，会抛出一个警告，程序继续正常运行；
而require函数出现错误的时候，会直接报错并退出程序的执行。

而include_once()，require_once()这两个函数，与前两个的不同之处在于这两个函数只包含一次，适用于在脚本执行期间同一个文件有可能被包括超过一次的情况下，你想确保它只被包括一次以避免函数重定义，变量重新赋值等问题。

这四个函数可以将任意类型的文件当做 PHP 文件进行解析。
示例代码：

<?php
    $filename  = $_GET['filename']; // 存在可控变量
    include($filename); // 存在动态变量
?>

例如：

$_GET[‘filename’]参数开发者没有经过严格的过滤，直接带入了include的函数，
攻击者可以修改
$_GET[‘filename’]的值，执行非预期的操作。

四、测试是否存在本地文件包含（LFI）漏洞

使用 …/ 上一级目录测试：

?page=../

会返回以下错误：

Warning: include(C:\Users\Administrator\Documents\php): failed to open stream: Permission denied in C:\Users\Administrator\Documents\php\LFI\LFI_base.php on line 10

这意味着很有可能存在 LFI 漏洞

使用 常见 页面

?page=index.html

若是返回 index.html 页面，也就意味着存在 LFI 漏洞

直接读取 /etc/passwd 文件(Linux)：

?page=/etc/passwd

若是出现了 passwd 数据，那证明此网站容易受到本地文件包含的影响

五、文件包含漏洞实例

“百度杯”CTF比赛 2017 二月场include

题目

既然是文件包含，我们搜索下文件包含关键性函数的状态

既然 allow_url_include打开，意味着直接能使php://input用包含post中的代码。

发现文件：dle345aae.php
查看此文件内容：使用php://filter协议查看曝露出来的文件的内容，因为PHP文件不能直接显示内容所以先base64显示出来，然后再解码。
构造语句:

?path=php://filter/read=convert.base64-encode/resource=dle345aae.php

然后base64解密即可flag