文件包含漏洞

已于 2024-08-06 16:35:24 修改
阅读量553 收藏 9
点赞数 30
文章标签： 网络安全 web安全
于 2024-07-25 13:48:53 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/apple_74953689/article/details/140687814
版权

文件包含概述

文件包含漏洞主要出现在PHP和JSP应用中，应用在运行过程中动态加载其他脚本文件，且加载的文件路径由外部输入变量控制。

文件包含漏洞分为两类：本地文件包含（Local File Inclusion）和远程文件包含（Remote File Inclusion）。

以PHP为例,常用的文件包含函数有以下四种：
require():找不到被包含的文件会产生致命错误，并停止脚本运行
include():找不到被包含的文件只会产生警告，脚本继续执行
**require_once()**与require()类似:唯一的区别是如果该文件的代码已经被包含，则不会再次包含
**include_once()**与include()类似:唯一的区别是如果该文件的代码已经被包含，则不会再次包含

路径穿越

在文件系统中，通过“…/”可以访问上一级目录。路径穿越是指用户通过这种方式访问应用程序预期之外的目录。例如，假设download.php实现文件下载功能，代码如下：

<?php
$filename = $_GET['filename'];
echo file_get_contents("files/$filename");

如果攻击者提交如下请求：

/download.php?filename=../../../../../etc/passwd

应用程序将返回/etc/passwd文件的内容。这种攻击叫作“路径穿越攻击”或“目录穿越攻击”，也叫“任意文件读取”漏洞。

（如果应用程序拼接了文件后缀名，也可以通过“\0”字符截断后缀名）


常见攻击手段

最常见的路径穿越攻击就是读取任意文件，攻击者可以读取应用程序中包含敏感数据的配置文件或源代码。

另一种常见的路径穿越攻击是执行代码，例如：

<?php
$template = 'blue.php';

if (isset($_COOKIE['TEMPLATE']))
    $template = $_COOKIE['TEMPLATE'];
include("/home/users/phpguru/templates/" . $template);

攻击者事先上传包含PHP代码的图像文件，然后通过路径穿越让应用程序通过include()函数载入文件，实现任意代码执行。


防御配置要点

一些开发者在防御路径穿越攻击时，只是简单判断用户传入的文件名或路径中是否存在..。

但在应用程序没有做目录拼接的情况下，如果用户传入的文件名是以“/”开头的，将直接穿越到根目录，因此仍然存在“任意文件读取”漏洞。

在nginx中，如果配置不正确，也存在路径穿越漏洞。例如，在如下配置中：

location /i {
    alias /data/w3/images/;
}

当用户访问/i../app/config.py时，实际读取的是/data/w3/images/../app/config.py文件，即/data/w3/app/config.py。原因是nginx匹配到/i路径后，将后面的内容拼接到alias，但是此时传入的是/i../,nginx并未意识到这是在跨目录，因而不会进行跨目录相关的处理。

正确的配置是，目录名以斜杠“/”结束：

location /i/ {
    alias /data/w3/images/;
}

防御方案：

  • 避免让用户直接提交文件名。维护一个ID与文件的映射关系，用户只提交索引ID。
  • 如果一定要让用户提交文件名，则应校验文件名的合法性，过滤目录分隔符“/”和“\”。更安全的做法是设置文件名白名单，只允许使用特定的文件名或字符。

Session读取

如果PHP应用中存在文件包含漏洞，攻击者将可以读取Session中的数据。

在默认配置下，PHP将Session存储在文件系统中，默认路径为/var/lib/php/sessions。用户通过文件包含漏洞读取属于自己会话的内容，如果其中包含了不应该让用户知道的信息，将造成信息泄露。

例如，在图形验证码场景中，服务端在生成图像后，通常将验证码的明文存储在Session中用于后续校验。攻击者通过文件包含漏洞读取明文验证码，就能绕过人机校验，实现程序自动化操作：

<?php
session_start();
$_SESSION['captcha'] = '9527'; // 用一个固定的验证码作为演示

if (isset($_GET['filename']))
    include($_GET['filename']);

攻击者提交的参数如下（后面的随机字符串是当前的SessionID）：

curl 'http://example.com/lfi.php?filename=../../../../../../var/lib/php/sessions/sess_621t0j12g57iumOkimlotv8a10'

返回结果中包含：

captcha|s:4:"9527";

如果用户能够控制Session中的内容，例如Web应用将当前的用户名存储在Session中，并且用户名中允许存在特殊字符，那么攻击者可以设置如下的用户名，就可以通过文件包含漏洞远程执行代码：

<?php phpinfo(); ?>

除了Session外，用户可控的其他内容同样可以用于实现文件包含，如日志文件、临时文件、上传的文件等。


PHP伪协议

常见伪协议：

file:// — 访问本地文件系统
http:// — 访问 HTTP(s) 网址
ftp:// — 访问 FTP(s) URLs
php:// — 访问各个输入/输出流（I/O streams）
zlib:// — 压缩流
data:// — 数据（RFC 2397）
glob:// — 查找匹配的文件路径模式
phar:// — PHP 归档
ssh2:// — Secure Shell 2
rar:// — RAR
ogg:// — 音频流
expect:// — 处理交互式的流

关于php://filter ，可以参考https://www.anquanke.com/post/id/202510#h3-9 ，写的很详细

本地文件包含漏洞（LFI）

当一个Web应用程序接收到用户输入并将其作为文件路径来包含文件时，如果没有进行适当的验证和清理，就可能被攻击者利用来访问或包含服务器上的其他文件。

一些常见的敏感目录信息路径:
Windows系统:

C:\boot.ini //查看系统版本
C:\windows\system32\inetsrv\MetaBase.xml //IIS配置文件
C:\windows\repair\sam //存储Windows系统初次安装的密码
C:\ProgramFiles\mysql\my.ini //Mysql配置
C:\ProgramFiles\mysql\data\mysql\user.MYD //MySQL root密码
C:\windows\php.ini //php配置信息

Linux/Unix系统:
/etc/password //账户信息
/etc/shadow //账户密码信息
/usr/local/app/apache2/conf/httpd.conf //Apache2默认配置文件
/usr/local/app/apache2/conf/extra/httpd-vhost.conf //虚拟网站配置
/usr/local/app/php5/lib/php.ini //PHP相关配置
/etc/httpd/conf/httpd.conf //Apache配置文件
/etc/my.conf //mysql配置文件

文件包含一般会指定后缀，这样我们就需要截断来绕过。

<?php
    $file = $_GET['name'];
    include($file . "html");
?>

在PHP5.2.x中我们可以通过使用%00来截断后面的内容、也可以使用路径长度截断，不过都在php5.3中被修复了。

payload：

http://127.0.0.1/test.php?name=D:\phpstudy\PHPTutorial\MySQL\my.ini%00

利用字符.或者/.或者./来截断。系统文件路径长度限制：windows 259个bytes linux 4096个bytes。

1、日志文件利用
当无法包含文件，或者找不到文件上传入口时，可以考虑利用日志文件


远程文件包含漏洞（RFI）

远程文件包含漏洞允许攻击者通过构造特定的URL或请求参数，使得服务器尝试加载一个远程控制的文件。这通常涉及到PHP的include或require语句，这些语句可以用来包含外部文件。如果这些语句没有得到适当的限制，攻击者就可以利用它们来包含恶意文件，如webshell，这是一种可以远程执行命令的脚本。

RFI存在的前提是在php.ini中配置allow_url_include、 allow_url_fopen为on。

对于RFI，我们可以使用?截断，不受版本限制：

http://127.0.0.1/test.php?name=http://127.0.0.1/1.txt?

防御方案：

  • 严格校验参数合法性，避免路径穿越。
  • 采用白名单文件名校验方式，或维护一个ID到文件名的映射关系，让客户端传入ID。
  • 禁止远程加载文件，通过设置allow_url_include=0防止远程文件包含。

CTF例题

简单的文件包含

1、源码如下:

2、输入
http://61.147.171.105:54882/?filename=php://filter/convert.base64-encode/resource=check.php 回显do not hack ,说明在check.php内对代码进行了过滤(使用string.rot13过滤器也不行)

3、只能逐个尝试过滤器,过滤器详情可以参考
https://blog.csdn.net/qq_44657899/article/details/109300335
这里尝试使用convert.iconv*,得知使用了正确的过滤器,但是应该是字符编码不符合

4、于是使用burpsuite抓包对字符编码进行爆破,常见的字符编码如下(不全):

UCS-4*
UCS-4BE
UCS-4LE*
UCS-2
UCS-2BE
UCS-2LE
UTF-32*
UTF-32BE*
UTF-32LE*
UTF-16*
UTF-16BE*
UTF-16LE*
UTF-7
UTF7-IMAP
UTF-8*
ASCII*
EUC-JP*
SJIS*
eucJP-win*
SJIS-win*
ISO-2022-JP
ISO-2022-JP-MS
CP932
CP51932
BASE64

5、得知有5种组合方式是有正常回显的,查看响应包,得到check.php的具体内容

6、我们选择EUC-JP和UCS-4作为字符编码,构造payload:
http://61.147.171.105:54882/?filename=php://filter/convert.iconv.EUC-JP*.UCS-4*/resource=check.php ,然后将check.php 改成 flag.php 即可得到flag


日志文件包含

easy_include

1、源代码如下

image-20240725171826807

2、我们使用?file=/var/log/nginx/access.log查看系统日志文件

image-20240725171955456

3、然后使用burpsuite抓包，在UA头处写上一句话木马再重新发包

image-20240725172430170

4、post传参payload以获得flag

image-20240725173218547


xianrenzhangmen
关注
文件包含漏洞全面详解
m0_46467017的博客
08-17 7万+
1.文件包含漏洞概述和SQL注入等攻击方式一样，文件包含漏洞也是一种注入型漏洞，其本质就是输入一段用户能够控制的脚本或者代码，并让服务端执行。什么叫包含呢？以PHP为例，我们常常把可重复使用的函数写入到单个文件中，在使用该函数时，直接调用此文件，而无需再次编写函数，这一过程叫做包含。有时候由于网站功能需求，会让前端用户选择要包含的文件，而开发人员又没有对要包含的文件进行安全考虑，就导致攻击者可以通过修改文件的位置来让后台执行任意文件，从而导致文件包含漏洞。以PHP为例,常用的文件包含函数有以下四种。...
文件包含漏洞实战
yuan_boss的博客
08-31 1714
可以看到，我们成功获取到了hosts文件，但是这并不能证明是文件包含漏洞，因为这仅仅是把hosts文件读取出来了，最多能确定的是文件读取漏洞，所以我们可以写一个把phpinfo.php放到www的一个目录中，我们尝试访问phpinfo.php，看看能否解析成功,解析成功了就说明是文件包含漏洞。我们仅仅可以使用文件包含漏洞，这个时候就需要考虑到php的一些封装协议了，利用封装协议，可以读取PHP文件源码，可以执行PHP命令。由上面的结果可知，我们利用php://input成功执行了php的命令。
文件包含漏洞详解
剁椒鱼头没剁椒的博客
12-01 4571
文件包含漏洞就是使用函数去包含任意文件的时候，当包含的文件来源过滤不严谨的时候，当存在包含恶意文件后，就可以通过这个恶意的文件来达到相应的目的。file : // #访问本地文件系统 http : // #访问HTTPs网址 ftp : // #访问ftp URL php : // #访问输入输出流 zlib : // #压缩流 data : // #数据 ssh2 : // #security shell2 expect : // #处理交互式的流 glob : // #查找匹配的文件路径。
【文件包含漏洞-02】文件包含漏洞原理、简单测试实例以及空字符绕过实例
m0_64378913的博客
06-15 3142
概述：文件包含漏洞：即file inclusion，意思是文件包含，是指当服务器开启allow_url_include选项时，就可以通过PHP的某些特性函数（include()，require()和include_once()，requir_once()）利用URL去动态包含文件，此时如果没有对文件来源进行严格审查，就会导致任意文件读取或者任意命令执行。定义：随着网站业务的需求，程序开发人员一般希望代码更灵活，所以将被包含的文件设置为变量，用来进行动态调用，但是正是这种灵活性通过动态变量的方式引入需要包含的
通达OA v11.8 getway.php 远程文件包含漏洞.md
09-07
通达OA漏洞合集
Web应用安全：文件包含漏洞简介.pptx
06-18
文件包含漏洞是Web应用安全领域中的一个重要话题，它主要源于开发者在编程时为了代码复用而采用的文件包含机制。这种机制允许程序动态地加载和执行存储在不同文件中的代码，但同时也为攻击者提供了可乘之机。下面将...
Apache Tomcat 文件包含漏洞（CNVD-2020-10487，对应 CVE-2020-1938）
03-05
CNVD-2020-10487 和 CVE-2020-1938 是同一个安全漏洞的不同命名，这个漏洞被称为“Apache Tomcat 文件包含漏洞”。此漏洞的存在使得攻击者有可能通过精心构造的请求，将恶意代码注入到Tomcat服务器上，从而执行任意...
一文解读，网络安全行业人才需求情况《网络安全产业人才发展报告》
weixin_59086772的博客
10-18 8491
随着近几天国家网络安全宣传周在全国各地开展活动，网络安全再一次成为热门话题。网络安全不再缩在小小的安全圈子里，惠及面越来越广。不少对网络安全颇有兴趣的朋友非常关心行业前景如何？该怎么提升自我能力，更快地加入网安行列。 今天雨笋君就10月13日在网络安全宣传周上发布的《2021网络安全人才报告》进行一个简单的行业前景分析。 一、网络安全行业市场发展情况 网络时代生活越来越离不开网络，与此同时发生的网络安全攻击事件、非法入侵等等一系列事件都威胁着普通人的生活。没有网络安全保障，个人和企业等重.
个人网络安全的几个重点与防御
最新发布
nn_84的博客
10-03 399
2 防火墙 大家都用windows 只需在 gpedit.msc 设置 但有什么未知漏洞就不得而知了 因为美国的计划问题。1 浏览器 firefox 这是第一选择 如果你真的不明白可以找找各个浏览器漏洞。3 移动设备带来的危害 比如u盘 等 对于你们认为杀毒可以 那免杀还干吗呢。网络端口溢出漏洞 但防火墙和随机地址的原因 已经可以防御。提权 这是以后遇到的问题 有些漏洞不是随机地址能够阻止。mail 的危险的 来自与代理和漏洞。浏览器溢出漏洞 实时注意更新就可以。
工业控制过等保三级需要的网络安全设备及详细讲解
weixin_59571541的博客
09-30 871
在工业控制系统（ICS）的安全性日益受到重视的背景下，网络安全等级保护（过等保）三级作为一种重要的安全标准，对保障工业控制系统的安全运行有着重要的意义。过等保三级主要针对那些对安全性要求较高的系统，如电力、石油、化工等关键基础设施，以下是实现过等保三级所需的主要网络安全设备及其详细讲解。
【网络安全】Cookie与ID未强绑定导致账户接管
等风来
10-02 338
DigiLocker 是一项在线服务，旨在为公民提供一个安全的数字平台，用于存储和访问重要的文档，如 Aadhaar 卡、PAN 卡和成绩单等。DigiLocker 通过多因素身份验证（MFA）来保护用户账户安全，通常包括 6 位数的安全 PIN 和一次性密码（OTP）验证。
Web安全 - 文件上传漏洞（File Upload Vulnerability）
小工匠
10-02 1807
文件上传漏洞是指Web应用允许用户上传文件，但没有对上传文件进行充分的验证和限制，导致攻击者可以上传恶意文件，如脚本、恶意代码等，进一步执行恶意操作。这种漏洞常见于文件管理、头像上传或文档管理等功能中。路径穿越结合文件上传：绕过文件上传目录限制，访问或执行敏感位置的文件。远程代码执行（RCE）结合文件上传：通过上传并执行恶意文件实现远程控制。跨站脚本（XSS）结合文件上传：通过文件传播恶意脚本，跨站点执行攻击。跨站请求伪造（CSRF）结合文件上传：在不知情的情况下诱使用户上传恶意文件。
网络安全（黑客）自学
白帽子凯哥聊黑客
09-29 1172
网络安全可以基于攻击和防御视角来分类，我们经常听到的 “红队”、“渗透测试” 等就是研究攻击技术，而“蓝队”、“安全运营”、“安全运维”则研究防御技术。无论网络、Web、移动、桌面、云等哪个领域，都有攻与防两面性，例如 Web安全技术，既有 Web 渗透，也有 Web 防御技术（WAF）。作为一个合格的网络安全工程师，应该做到攻守兼备，毕竟知己知彼，才能百战百胜。
如何用3个月零基础入门网络安全？_网络安全零基础怎么学习
2401_84466224的博客
09-29 771
我们知道计算机最早是在西方发明出来的，很多名词或者代码都是英文的，甚至现有的一些教程最初也是英文原版翻译过来的，而且一个漏洞被发现到翻译成中文一般需要一个星期的时间，在这个时间差上漏洞可能都修补了。”答案是否定的，黑客用的电脑,不需要什么高的配置,只要稳定就行.因为黑客所使用的一些程序,低端CPU也可以很好的运行,而且不占什么内存.还有一个,黑客是在DOS命令下对进行的,所以电脑能使用到最佳状态!观看学习近十年所有0day挖掘的帖，然后搭建环境，去复现漏洞，去思考学习笔者的挖洞思维，培养自己的渗透思维。
网络安全：保护您的数字世界
不迁怒，不贰过。小知识，大智慧。
09-29 1245
在当今数字化时代，网络安全已经成为每个人都应该关注的重要议题。随着互联网的普及和信息技术的快速发展，我们的个人信息、财务数据甚至国家安全都面临着来自网络的威胁。网络攻击日益猖獗，黑客利用漏洞和技术手段，威胁着我们的数字世界的安全。在这个信息爆炸的时代，数据的泄露和被篡改可能带来严重的后果，影响个人隐私、金融安全甚至国家稳定。因此，保护我们的数字世界免受网络攻击变得至关重要。本文将探讨网络安全的重要性，介绍网络安全的基本概念和最佳实践，帮助读者更好地了解如何保护自己在数字世界中的安全。让我们共同努力，建立一个
Web安全 - 构建全面的业务安全保护防御体系
小工匠
10-03 2126
业务安全是公司为了保护其业务流程和用户增长而制定的防护措施，主要应对的是黑产（黑色产业）的攻击。相比传统的基础安全，业务安全的特点更加复杂，主要体现在两个方面：攻击者的产业化和资源对抗。
PHP文件包含漏洞深度解析
文件包含漏洞的原理及特点：当应用程序允许用户控制包含文件的路径时，就可能出现文件包含漏洞。攻击者可以通过构造特定的输入，使得程序包含攻击者指定的文件，这可能是服务器上的任意文件，甚至远程服务器上的文件...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值